Gyazo图片分享和屏幕录制平台确认遭到黑客攻击。攻击发生于2026年9月11日，攻击者利用其一台服务器中的漏洞访问数据库，窃取了约2362万条用户记录。由Helpfeel运营的该公司宣布暂时停止服务，以进行维护和调查。
Gyazo于9月12日发现可疑活动，并表示已修复攻击所利用的漏洞，但数据当时已经被复制。根据公司声明，未经授权的访问涉及用户信息以及与上传图像相关的元数据。
哪些数据遭到了访问？
暴露数据的范围因账户而异，可能包括用户名或昵称、电子邮件地址、密码哈希、用户和设备标识符、登录会话标识符、与X的集成令牌、与通过Google登录相关联的电子邮件地址，以及个人资料详情、订阅信息、计费状态和使用统计数据。
数据还包括匿名账户，但Gyazo没有说明其占总记录数的比例。
4.9亿条图像元数据记录
公司表示，此次事件还影响了约4.9亿条图像元数据记录，其中大多数与2019年1月之前上传的图像有关。这些数据包括用于构成图像链接的图像标识符、上传时的IP地址、User-Agent字符串、从EXIF中提取的位置数据、通过OCR技术提取的文本、图像标题和来源链接，以及私人图像的哈希密码短语。
Helpfeel承认，图像标识符可能被用于访问相应内容，因此暂时禁用了记录中涉及文件的访问权限。攻击者还获取了标明私人图像的列表。尽管公司尚未发现此次事件导致数据被删除的迹象，但无法排除部分私人图像已被查看的可能性。
为什么这则消息很重要？
这里的风险并不局限于账户数据；图像元数据可能暴露上传地点或从图像中提取的文本，图像标识符和链接也可能有助于将记录与内容关联起来。潜在数据中还包含会话标识符和集成令牌，这进一步凸显了响应措施的重要性，尽管公司尚未宣布有证据表明这些元素已被使用。
Helpfeel没有发现其另外两项服务Helpfeel和Cosense的数据被窃取的证据，并表示会直接通知受影响的用户，在外部专家协助下调查事件，同时向有关部门报告。
Gyazo建议所有用户更改该服务上的密码，以及在其他平台使用相同密码的账户密码，并对可疑消息保持警惕。匿名记录所占比例，以及私人图像是否确实被查看，仍是消息来源尚未确定的问题。