Gyazo 침해 사고, 2,362만 건 이용자 레코드·4억 9,000만 건 이미지 메타데이터 노출

일본 교토에 본사를 둔 Helpfeel이 수요일 공개한 공지에 따르면, 자사 이미지 공유 서비스 Gyazo가 침해를 당해 이메일 주소와 비밀번호 해시를 포함한 약 2,362만 건의 이용자 레코드가 노출됐다.

또한 주로 2019년 1월 이전에 등록된 이미지에 대한 약 4억 9,000만 건의 이미지 메타데이터도 유출됐으며, 여기에는 Gyazo 이미지 링크를 구성하는 이미지 ID가 포함돼 있다.

Helpfeel은 해당 ID를 이용하면 허가 없이 이미지를 열람할 수 있다며, 일부 이미지에 대한 열람을 임시 비활성화했다고 밝혔다.

Helpfeel은 모든 Gyazo 이용자에게 비밀번호를 변경하고, 동일하거나 유사한 비밀번호를 사용하는 다른 서비스의 비밀번호도 변경할 것을 요청했다. 또한 이번 사고와 관련된 의심스러운 이메일이나 메시지에 주의하도록 당부했다.

회사 측 설명에 따르면, 공격자는 Gyazo 이미지 업로드 서버의 취약점을 통해 접근 권한을 획득하고, Helpfeel 시스템에서 임의 명령을 실행한 뒤 Gyazo 데이터베이스에 접근했다. 취약점의 종류는 공개되지 않았다.

Helpfeel은 신용카드 번호를 포함한 결제 정보는 노출되지 않았다고 밝혔다. 노출된 이용자 레코드에는 아래 항목이 포함될 수 있으며, 항목 구성은 이용자마다 다르다.

• 이름(이용자가 입력한 텍스트로, 성명 또는 닉네임)
• 이메일 주소
• 비밀번호 해시
• 이용자 ID
• 기기 ID
• 로그인 세션 ID
• X(구 Twitter) 연동 토큰(계정 연결 시)
• Google 싱글 사인온(SSO)에 사용된 이메일 주소(연결 시)
• 프로필 정보
• 언어 설정
• 가입 일시
• 마지막 로그인 일시
• 구독 플랜
• 결제 상태(신용카드 번호 등 결제 상세 정보 제외)
• 사용 통계

2,362만이라는 수치는 레코드 기준이다. Helpfeel은 이메일 주소가 등록되지 않은 익명 계정도 포함돼 있으며, 개인정보가 실제로 노출된 이용자 수를 파악 중이라고 밝혔다.

Helpfeel은 노출된 인증 데이터를 검토해 "무효화 및 제한을 포함한 필요한 조치"를 취했다고 했으나, 어떤 항목을 무효화했는지는 밝히지 않았다.

Gyazo는 새로운 IP 주소에서 로그인이 시도될 경우 인증 코드를 이메일로 발송하는 방식으로 로그인 시 추가 검증을 수행한다. Helpfeel은 노출된 세션 ID의 유효 여부에 대해서는 언급하지 않았다.

Gyazo의 모든 캡처 이미지에는 32자리 이미지 ID로 구성된 링크가 부여된다. Gyazo 도움말 페이지에 따르면, 캡처 이미지는 링크가 공유되기 전까지 비공개 상태이며, 링크를 가진 사람이라면 누구나 볼 수 있고, ID가 충분히 길어 링크를 "추측할 수 없다"고 설명돼 있다. 기본 설정의 캡처 이미지에서는 링크 자체가 유일한 보호 수단이며, 유출된 이미지 ID는 링크를 추측 불가능하게 만드는 핵심 요소다.

무료 계정은 Gyazo 사이트에서 최근 캡처 10개만 탐색할 수 있으나, Gyazo에 따르면 이전 캡처는 삭제되지 않고 URL을 아는 누구에게나 접근 가능한 상태로 유지된다.

이번에 영향을 받은 메타데이터 레코드는 주로 2019년 1월 이전에 등록된 이미지에 해당하며, Helpfeel의 전체 이미지 관련 데이터의 약 14.4%를 차지한다고 회사 측은 밝혔다.

추가로 240만 건의 이미지 메타데이터가 Helpfeel이 "특정 필터링 기준"이라고 표현한 방식을 통해 별도로 유출됐다. 해당 필터의 내용, 두 데이터셋의 중복 여부, 두 번째 데이터셋에 최신 이미지가 포함되는지 여부는 공개되지 않았다.

Helpfeel이 공개한 유출 메타데이터 항목은 다음과 같으며, 기타 관련 정보도 포함된다.

• 이미지 ID(이미지 URL 생성에 사용되는 정보)
• 업로드 시 사용된 IP 주소
• User-Agent
• EXIF 위치 데이터(이미지에 포함된 경우)
• 이미지에서 추출된 OCR 텍스트
• 이미지 제목
• 원본 URL 및 기타 메타데이터
• 비공개 이미지의 해시된 패스프레이즈

Helpfeel은 추가 피해를 막기 위해 일부 이미지 열람을 임시 비활성화했으며, 이미지 데이터 자체의 손실은 조사에서 발견되지 않았다고 밝혔다. 어떤 이미지가 비활성화됐는지, 이용자가 자신의 캡처가 영향을 받은 데이터셋에 포함되는지 확인하는 방법은 공개되지 않았다.

또한 공격자가 비공개 이미지를 식별하는 목록도 입수했으며, 회사는 "제3자가 일부 비공개 이미지를 열람했을 가능성을 배제할 수 없다"고 밝혔다.

Gyazo에서 비공개 캡처는 도움말 페이지에서 링크를 알더라도 열람할 수 없다고 설명된 '나만 보기' 설정, 또는 비밀번호 잠금 설정을 의미할 수 있다. 두 설정 모두 유료 플랜에서만 이용 가능하며, Helpfeel은 어느 설정을 의미하는지, 그러한 이미지가 어떻게 열람될 수 있었는지 밝히지 않았다.

OCR 텍스트 항목은 이용자의 캡처에서 텍스트를 인식해 검색할 수 있게 해주는 Gyazo 기능에서 비롯된 것이다. Gyazo 도움말 페이지에는 이 기능이 이용자가 직접 활성화하는 유료 기능으로, 활성화 시 계정의 모든 이미지를 스캔한다고 설명돼 있다. 같은 페이지에는 "OCR 결과는 본인만 볼 수 있습니다"라고 명시되어 있다.

Helpfeel은 일본 시간으로 9월 11일 저녁 이상 활동을 감지했으며, 9월 12일 새벽까지 파악된 접근 경로를 차단하고, 공격자의 연결을 끊고, 같은 날 취약점을 패치했다고 밝혔다.

이미지가 로드되지 않는 동안 Gyazo의 이용자 공개 공지는 이를 '점검'이라고 표현했으며 침해 사실을 언급하지 않았다. Helpfeel이 9월 14일 이미지 전송을 중단했을 때, Gyazo 제품 업데이트 페이지는 일부 이미지에 대한 전송이 "긴급 점검으로 인해 중단됐다"고 안내했다. 9월 15일 신규 업로드 전송이 재개된 후, 두 번째 공지는 "일부 이미지는 긴급 점검으로 인해 이용할 수 없습니다"라고 안내했다.

Helpfeel은 9월 14일 데이터 노출을 확인하고, 9월 15일 일본 개인정보보호위원회에 신고했으며, 9월 16일 공식 공지를 발표했다고 밝혔다.

외부 전문가들이 현재 포렌식 조사를 진행 중이며, Helpfeel은 영향을 받은 것으로 파악된 이용자에게 이메일로 개별 통지하고, 익명 계정에 대해서는 Gyazo 웹사이트에 공지를 게시할 예정이라고 밝혔다. 이번 사고에 관한 문의는 Gyazo 지원 양식을 통해 접수 중이다.

Helpfeel의 다른 제품인 Helpfeel과 Cosense는 별도 시스템에서 운영되며, 해당 서비스에서의 데이터 노출은 발견되지 않았다고 회사는 밝혔다. 다만 이미지 전송이 중단되는 동안, 해당 서비스 내에서 표시되는 Gyazo 이미지는 로드되지 않을 수 있다.