일본 소프트웨어 기업 Helpfeel이 운영하는 스크린샷 공유 서비스 Gyazo가 해킹 공격을 받아 약 2,362만 건의 이용자 개인정보가 유출됐습니다. 공격자는 이미지 업로드 서버의 취약점을 악용해 시스템에 침투한 뒤 임의 명령을 실행(RCE, 원격에서 시스템을 마음대로 조작할 수 있는 공격)했으며, 이름·이메일·비밀번호 해시·로그인 세션 등 민감한 정보가 대거 노출됐습니다. 이미지 관련 메타데이터는 약 4억 9,000만 건에 달하며, GPS 위치 정보(EXIF)와 이미지 내 텍스트(OCR) 데이터까지 포함돼 피해 범위가 광범위합니다. 비밀번호를 재사용하고 있는 이용자는 다른 서비스 계정도 위험에 처할 수 있어 즉시 비밀번호를 변경해야 합니다. 현재 Gyazo 서비스는 점검 중이며 재개 일정은 미정입니다.
2026년 9월 11일, 공격자가 Gyazo 이미지 업로드 서버의 취약점을 악용해 시스템에 침투하고 데이터베이스에 무단 접근했다. 약 2,362만 건의 이용자 정보와 최대 4억 9,000만 건의 이미지 메타데이터가 탈취됐다.
유출 항목은 이름, 이메일, 비밀번호 해시, 세션 ID, X(구 트위터) 연동 토큰, Google SSO 이메일, EXIF 위치 데이터, OCR 텍스트 등이다. 비공개 이미지 목록도 획득됐으며 일부 열람 가능성을 배제할 수 없다. 결제 카드 정보는 유출되지 않은 것으로 확인됐다.
이미지 업로드 서버에 존재하던 취약점이 원인이다. 해당 취약점을 통해 임의 명령 실행(RCE)이 가능했던 것으로 조사됐다.
Helpfeel은 침해 인지 당일(9월 11일 밤) 공격 경로를 차단하고 공격자 접속을 끊었다. 9월 15일 일본 개인정보보호위원회에 신고했으며, 등록 이메일이 있는 이용자에게 개별 통보 예정이다. 서비스는 현재 점검 중이다.
Gyazo를 사용 중이거나 사용한 적 있는 임직원이 있다면 해당 계정 비밀번호를 즉시 변경하고, 동일 비밀번호를 사용하는 모든 계정(업무용 포함)도 함께 변경해야 한다. 세션 토큰과 소셜 연동 토큰이 유출됐으므로 X·Google 연동 앱 권한도 점검이 필요하다.
본문
일본 소프트웨어 기업 Helpfeel이 자사 스크린샷 공유 플랫폼 Gyazo에서 발생한 데이터 침해 사고를 공식 확인했다. 공격자는 이미지 업로드 서버의 취약점을 악용해 약 2,362만 건의 이용자 레코드와 수억 건의 이미지 관련 메타데이터를 탈취했다.
Gyazo는 클라우드 기반 스크린샷·화면 녹화 서비스로, 캡처 파일을 자동으로 업로드하고 채팅·포럼·소셜 미디어에 공유할 수 있는 링크를 생성해 준다.
회사 발표에 따르면, 공격자는 9월 11일 해당 취약점을 악용해 Gyazo 시스템에 무단 접근한 뒤 임의 명령을 실행했다. 같은 날 저녁 이상 징후가 감지됐으며, 9월 12일 새벽에는 접근 경로를 차단하고 공격자 접속을 끊었다.
"이후 조사를 통해 제3자가 Gyazo 데이터베이스에 접근했으며, 이용자 정보 및 업로드된 이미지에 연결된 메타데이터가 무단으로 유출된 사실을 확인했습니다."라고 회사 측은 밝혔다.
조사 결과 탈취된 이용자 레코드는 약 2,362만 건으로, 이름, 이메일 주소, 비밀번호 해시, 이용자 ID, 기기 ID, 로그인 세션 ID, 연동 계정의 X 통합 토큰, Google SSO 이메일 주소, 프로필 정보, 언어 설정, 가입 및 로그인 타임스탬프, 구독 플랜, 결제 상태 등이 포함된다.
"신용카드 번호를 포함한 결제 정보는 무단 유출되지 않은 것으로 확인했습니다."
이미지 메타데이터는 약 4억 9,000만 건으로 규모가 더 크며, 대부분 2019년 1월 이전에 업로드된 이미지(전체 이미지 데이터의 약 14.4%)에 해당한다.
별도로 특정 필터링을 통해 약 240만 건의 이미지가 추가로 추출됐다. 이 메타데이터에는 이미지 URL 생성에 사용되는 이미지 ID, 업로드 IP 주소, 사용자 에이전트(User-Agent), EXIF 위치 데이터(존재하는 경우), 이미지에서 추출된 OCR 텍스트, 이미지 제목, 소스 URL, 비공개 이미지를 보호하는 해시 처리된 패스프레이즈가 포함된다.
"제3자가 비공개 이미지 식별 목록을 획득한 사실도 확인했습니다. 일부 비공개 이미지가 제3자에게 열람됐을 가능성을 배제할 수 없어 상세 조사를 계속하고 있습니다."라고 회사는 덧붙였다.
또한 Helpfeel의 다른 두 서비스인 Helpfeel과 Cosense에서는 데이터가 유출된 흔적이 발견되지 않았다고 밝혔다. 다만 해당 서비스에 Gyazo를 통해 삽입된 일부 이미지는 Gyazo가 이미지 전송을 일시 중단함에 따라 현재 열람이 불가능할 수 있다.
Helpfeel은 9월 15일 일본 개인정보보호위원회에 사고를 신고했다. 등록 이메일이 있는 이용자에게는 개별 이메일로, 이메일이 없는 익명 계정 이용자에게는 Gyazo 웹 인터페이스를 통해 통보할 예정이다.
공지에는 "모든 Gyazo 이용자께서는 비밀번호를 변경해 주시기 바랍니다"라고 명시돼 있으며, 동일하거나 유사한 비밀번호를 사용하는 다른 계정에도 같은 조치를 권고했다.
"이번 사고로 Gyazo 이용자 및 관련 당사자 여러분께 심각한 우려와 불편을 드린 점에 대해 진심으로 사과드립니다."라고 Helpfeel은 밝혔다.
현재 Gyazo 홈페이지에는 여전히 점검 안내가 표시되고 있으며, 서비스 재개 일정은 공지되지 않았다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
