이미지 공유 및 화면 녹화 플랫폼 Gyazo는 2026년 9월 11일 자사 서버 중 한 곳의 취약점을 공격자들이 악용해 데이터베이스에 접근하고 약 2,362만 건의 사용자 기록을 훔친 해킹을 당했다고 확인했다. Helpfeel이 운영하는 이 회사는 유지보수와 조사를 위해 서비스를 일시적으로 중단했다고 발표했다.
Gyazo는 9월 12일 의심스러운 활동을 발견했으며, 해킹에 사용된 취약점을 수정했지만 데이터는 이미 복사된 상태였다고 밝혔다. 회사 성명에 따르면 무단 접근에는 사용자 정보와 업로드된 이미지에 연결된 메타데이터가 포함됐다.
어떤 데이터가 접근 대상이 되었나?
노출된 데이터의 범위는 계정마다 다르며, 사용자 이름 또는 별명, 이메일 주소, 비밀번호 해시, 사용자 및 기기 식별자, 로그인 세션 식별자, X 연동 토큰, Google 로그인과 연결된 이메일 주소, 프로필 세부 정보, 구독 정보, 청구 상태 및 사용 통계가 포함될 수 있다.
데이터에는 익명 계정도 포함됐지만, Gyazo는 전체 기록 중 익명 계정의 비율을 밝히지 않았다.
이미지 메타데이터 4억 9,000만 건
회사는 이번 사건으로 약 4억 9,000만 건의 이미지 메타데이터 기록도 영향을 받았으며, 대부분은 2019년 1월 이전에 업로드된 이미지와 관련된 것이라고 밝혔다. 이러한 데이터에는 이미지 링크를 구성하는 데 사용되는 이미지 식별자, 업로드 당시의 IP 주소, User-Agent 문자열, EXIF에서 추출된 위치 정보, OCR 기술로 추출된 텍스트, 이미지 제목, 원본 링크 및 비공개 이미지의 해시된 암호가 포함된다.
Helpfeel은 이미지 식별자가 해당 콘텐츠에 접근하는 데 사용될 수 있음을 인정했으며, 이에 따라 노출된 기록에 포함된 파일에 대한 접근을 일시적으로 차단했다. 공격자들은 비공개 이미지를 식별하는 목록도 확보했으며, 회사는 사건의 결과로 데이터가 삭제됐다는 징후를 발견하지 못했지만 일부 이미지가 열람됐을 가능성을 배제할 수 없다고 밝혔다.
왜 이 소식이 중요한가?
이 위험은 계정 데이터에만 국한되지 않는다. 이미지 메타데이터는 업로드 위치나 이미지에서 추출된 텍스트를 드러낼 수 있으며, 이미지 식별자와 링크는 기록을 콘텐츠와 연결하는 데 도움이 될 수 있다. 잠재적으로 노출된 데이터에 세션 식별자와 연동 토큰이 포함되어 있다는 점은 회사가 해당 요소의 사용 증거를 발표하지 않았더라도 대응 조치의 중요성을 높인다.
Helpfeel은 다른 두 서비스인 Helpfeel과 Cosense에서 데이터가 도난당했다는 증거를 발견하지 못했다고 밝혔으며, 영향을 받은 사용자에게 직접 통지하고 외부 전문가의 도움을 받아 사건을 조사하는 한편 당국에도 신고하고 있다.
Gyazo는 모든 사용자에게 서비스의 비밀번호와 동일한 비밀번호를 사용한 다른 플랫폼의 비밀번호를 변경하고, 의심스러운 메시지에 주의하라고 권고했다. 익명 기록의 비율과 비공개 이미지가 실제로 열람됐는지는 아직 출처가 확정하지 못한 사항으로 남아 있다.