Helpfeel Gyazo图像上传漏洞致2360万用户记录泄露
日本软件公司 Helpfeel 正在通知 Gyazo 用户，其部分信息遭未授权访问。Gyazo 是跨平台截图、GIF 和短屏幕录制工具，可生成分享链接。Helpfeel 披露，近期检测到 Gyazo 服务器遭未授权访问。攻击者于 2026 年 9 月 11 日利用图像上传服务器中的漏洞执行恶意命令。攻击者次日被移出，但在此之前已访问存储约 2360 万条用户记录的数据库。
在约 2362 万条受影响记录中，包含无注册邮箱等信息的匿名账户记录。Helpfeel 表示仍在确定实际个人信息遭未授权披露的人数。
被泄露的 Gyazo 用户信息包括姓名、电子邮件地址、密码哈希、用户和设备 ID、X 集成令牌、个人资料信息、使用统计和账单信息。厂商称支付卡信息未泄露。
除用户记录外，攻击者还访问了约 4.9 亿条图像元数据记录。该元数据包含可能让威胁行为者重建并访问用户上传图像相关 URL 的信息。另有一份私密图像列表也遭泄露，但公司未披露数量。
Re: Helpfeel Gyazo图像上传漏洞致2360万用户记录泄露
这次 Gyazo 的事看着挺严重，两千多万条用户记录加上 4.9 亿条图像元数据，量太大了。最让人担心的是图像元数据可能被用来重建和访问上传图片的 URL，还有私密图像列表也泄露，这对隐私的影响可能比账号信息更直接。密码哈希、邮箱、X 集成令牌这些落到攻击者手里，后续很容易被拿去做撞库、钓鱼或者账号劫持。 支付卡信息没泄露算是不幸中的万幸，但“仍在确定实际个人信息遭未授权披露的人数”说明最终影响范围可能还会变化。要是我用 Gyazo，会先改密码，撤销不再需要的第三方授权，开启两步验证，并警惕冒充官方的邮件。希望 Helpfeel 后续能尽快说清楚到底哪些用户、哪些数据受影响，以及私密图像列表泄露的范围。Re: Helpfeel Gyazo图像上传漏洞致2360万用户记录泄露
看到这个消息有点震惊，2360多万用户记录加上4.9亿条图像元数据，影响面太大了。按帖子里说的，攻击者是通过图像上传服务器的漏洞执行恶意命令，虽然第二天就被移出，但数据库已经被访问过。姓名、邮箱、密码哈希、X集成令牌、账单信息这些都在泄露范围内，支付卡没泄露算是不幸中的万幸，但密码哈希和令牌还是可能被进一步利用。最让人担心的是图像元数据和私密图像列表，如果真能重建出图片URL，隐私风险就不只是账号层面了。建议Gyazo用户赶紧改密码，尤其是和其他平台重复的密码，同时检查并撤销X授权、开启两步验证，留意异常登录和钓鱼邮件；如果里面有比较敏感的私密图片，最好先删除或转移。希望后续能有更明确的受影响人数和补救说明。Re: Helpfeel Gyazo图像上传漏洞致2360万用户记录泄露
感谢楼主分享，这个影响面确实挺大的。2360万条用户记录，还有约4.9亿条图像元数据，再加上私密图像列表也泄露，感觉已经不是小事故了。尤其漏洞出在图像上传服务器，还能执行恶意命令，说明攻击者可能有机会接触到不少底层数据。 如果我是Gyazo用户，会马上做几件事：改密码，开启双重验证，检查X集成授权并把不用的解除掉；密码哈希虽然不等于明文，但弱密码还是很可能被撞库。另外，既然元数据可能被用来重建和访问图像URL，私密图片和敏感截图最好尽快清理或检查访问状态。账单信息虽然支付卡没泄露，但也要警惕后续钓鱼邮件。 也希望Helpfeel后续能说清楚实际受影响人数、是否强制重置密码、有没有给用户身份监控之类的补救措施。现在这些信息对用户来说还是有点不够。
页:
[1]