클라우드 스크린샷·화면 녹화 공유 서비스 Gyazo에서 서버 취약점이 해킹에 악용돼 약 2,362만 건의 사용자 정보가 유출되었습니다. 유출 항목에는 이름, 이메일 주소, 비밀번호 해시(암호화된 형태), 로그인 세션 ID, X(구 트위터)·Google 연동 토큰 등 민감한 정보가 포함되어 있습니다. 이미지 메타데이터 4억 9,000만 건도 함께 유출되었으며, 업로드 당시의 IP 주소, EXIF 위치 정보, OCR 추출 텍스트까지 노출되었습니다. 운영사 Helpfeel은 취약점을 패치하고 서비스를 일시 중단했으며, 노출된 파일에 대한 접근을 차단한 상태입니다. Gyazo 사용자는 해당 서비스뿐만 아니라 동일한 비밀번호를 사용하는 모든 서비스에서 즉시 비밀번호를 변경해야 합니다.
2026년 9월 11일, 이미지 공유 플랫폼 Gyazo의 서버 취약점이 공격자에게 악용되어 데이터베이스에 무단 접근이 발생하였고, 약 2,362만 건의 사용자 레코드가 탈취되었습니다.
이름·닉네임, 이메일 주소, 비밀번호 해시, 사용자·기기 ID, 로그인 세션 ID, X 연동 토큰, Google SSO 이메일, 구독·결제 정보 등이 노출되었습니다. 4억 9,000만 건의 이미지 메타데이터(업로드 IP 주소, EXIF 위치 정보, OCR 추출 텍스트 포함)도 유출되었으며, 비공개 이미지 일부가 열람되었을 가능성도 배제할 수 없습니다.
서버 내 특정 취약점이 공격자에게 악용되어 데이터베이스에 무단 접근이 이루어졌습니다. 취약점의 구체적인 기술적 내용은 공개되지 않았습니다.
회사는 9월 12일 이상 활동을 탐지하고 취약점을 패치했습니다. 서비스를 일시 중단하고 노출된 레코드에 해당하는 파일 접근을 차단했으며, 외부 전문가와 함께 조사를 진행하고 당국에 신고했습니다. 영향을 받은 사용자에게는 개별 통보 중입니다.
세션 ID와 소셜 로그인 토큰이 유출되었으므로 Gyazo와 연동된 X, Google 계정의 앱 권한을 점검하고 불필요한 연동을 해제해야 합니다. Gyazo와 동일한 비밀번호를 사용 중인 모든 서비스의 비밀번호를 즉시 변경하고, 비밀번호 재사용 관행을 중단해야 합니다.
본문
이미지 공유 플랫폼 Gyazo가 데이터 침해 사실을 공식 확인했습니다. 해커들이 서버 취약점을 악용해 2,360만 건의 사용자 레코드를 탈취했습니다.
Gyazo는 Helpfeel이 운영하는 클라우드 기반 스크린샷·화면 녹화 도구로, 사용자의 화면 캡처를 자동으로 클라우드에 업로드하고 채팅, 포럼, 소셜 미디어 등에서 공유할 수 있는 링크를 제공합니다.
게임 커뮤니티에서 특히 인기가 높으며, 전 세계 2,300만 명의 사용자가 31억 개의 미디어를 업로드한 것으로 알려져 있습니다.
회사 발표에 따르면, 이번 사고는 2026년 9월 11일 발생했으며 공격자가 데이터베이스에 접근해 약 2,362만 건의 사용자 레코드를 획득했습니다.
현재 회사는 플랫폼을 오프라인으로 전환하고 유지보수를 진행 중입니다.
X에 올린 게시물에는 "현재 Gyazo 서비스는 예방 조치로 유지보수를 위해 일시 중단되었습니다. 불편을 드려 진심으로 사과드립니다. 서비스 복구까지 잠시 기다려 주시기 바랍니다"라고 적혀 있습니다.
회사는 9월 12일 의심스러운 활동을 감지하고 공격자가 플랫폼을 침해하는 데 사용한 취약점을 수정했으나, 그 시점에는 이미 데이터가 탈취된 후였습니다.
"이후 조사에서 제3자가 Gyazo의 데이터베이스에 접근하여 사용자 정보 및 업로드된 이미지와 연관된 메타데이터가 무단으로 외부에 공개되었음을 확인했습니다"라고 Gyazo는 이번 주 초 발표한 성명에서 밝혔습니다.
Gyazo의 조사 결과에 따르면, 노출된 데이터는 사용자마다 다르며 다음 항목 중 하나 이상이 포함될 수 있습니다:
- 이름/닉네임
- 이메일 주소
- 비밀번호 해시
- 사용자 및 기기 ID
- 로그인 세션 ID
- X 연동 토큰
- Google SSO 이메일 주소
- 프로필 세부 정보
- 구독 정보
- 결제 상태
- 사용 통계
유출된 데이터셋에는 익명 계정 레코드도 포함되어 있으나, Gyazo는 그 비율을 공개하지 않았습니다.
또한 이번 사고로 4억 9,000만 건의 이미지 메타데이터 레코드가 노출되었으며, 대부분은 2019년 1월 이전에 업로드된 이미지와 연관된 것으로 확인됐습니다.
해당 메타데이터에는 이미지 URL 생성에 사용되는 이미지 ID, 업로드 IP 주소, User-Agent 문자열, EXIF 위치 데이터, OCR 추출 텍스트, 이미지 제목, 소스 URL, 비공개 이미지의 해시 처리된 패스프레이즈 등이 포함됩니다.
Helpfeel은 이미지 ID가 해당 콘텐츠에 접근하는 데 잠재적으로 악용될 수 있다고 밝혔으며, 이 때문에 레코드가 노출된 파일에 대한 접근을 일시적으로 차단했습니다.
또한 해커가 비공개 이미지를 식별하는 목록도 획득했으며, 일부가 열람되었을 가능성을 배제할 수 없다고 밝혔습니다.
회사는 이번 사고로 인한 데이터 삭제 징후는 발견되지 않았다고 밝혔습니다.
또한 자사의 다른 서비스인 Helpfeel 및 Cosense에서는 데이터 탈취 증거가 발견되지 않았다고 전했습니다.
회사는 외부 전문가와 함께 조사를 진행하면서 영향을 받은 사용자에게 직접 통보하고 있으며, 관계 당국에도 신고를 완료했습니다.
모든 Gyazo 사용자는 해당 서비스 및 동일한 자격증명을 사용하는 다른 플랫폼에서 즉시 비밀번호를 변경하고, 의심스러운 통신에 각별히 주의할 것을 권고받았습니다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 그만두어야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리 예약하기
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
