图片分享和屏幕录制平台Gyazo确认于2026年9月11日遭到网络攻击。攻击者利用其一台服务器中的漏洞访问数据库，并窃取了约2362万条用户记录。运营该公司的Helpfeel宣布暂时停止服务，以进行维护和调查。
Gyazo于9月12日发现可疑活动，并表示已修复攻击所利用的漏洞，但数据当时已经被复制。根据公司声明，未经授权的访问涉及用户信息以及与上传图像相关的元数据。
哪些数据遭到了访问？
暴露数据的范围因账户而异，可能包括用户名或昵称、电子邮件地址、密码哈希、用户和设备标识符、登录会话标识符、与X的集成令牌、与通过Google登录相关联的电子邮件地址，以及个人资料详情、订阅信息、计费状态和使用统计数据。
数据还包括匿名账户，但Gyazo没有说明其占全部记录的比例。
4.9亿条图像元数据记录
公司表示，此次事件还波及约4.9亿条图像元数据记录，其中大多数与2019年1月之前上传的图像有关。这些数据包括用于生成图像链接的图像标识符、上传时的IP地址、User-Agent字符串、从EXIF中提取的位置数据、通过OCR技术提取的文本、图像标题和来源链接，以及私人图像的哈希密码短语。
Helpfeel承认，图像标识符可能被用于访问相应内容，因此暂时限制了受暴露记录影响的文件访问。攻击者还获得了用于标识私人图像的列表。尽管没有发现此次事件导致数据被删除的迹象，公司仍无法排除其中部分图像已被查看的可能性。
为什么这则消息很重要？
这里的风险并不局限于账户数据；图像元数据可能会暴露上传位置或从图像中提取的文本，图像标识符和链接也可能有助于将记录与内容关联起来。潜在数据中还包含会话标识符和集成令牌，这进一步凸显了响应措施的重要性，即使公司尚未宣布有证据表明这些元素已被使用。
Helpfeel没有发现Helpfeel和Cosense这两项其他服务的数据遭到窃取的证据。公司表示将直接通知受影响的用户，并在外部专家协助下调查此事，同时向有关部门报告。
Gyazo建议所有用户更改该服务上的密码，以及在其他平台重复使用相同密码的账户密码，并对可疑消息保持警惕。匿名记录的比例，以及私人图像是否确实被查看，仍是来源尚未确定的问题。