Helpfeel Gyazo图像上传漏洞致2360万用户记录泄露

资讯专家

日本软件公司 Helpfeel 正在通知 Gyazo 用户，其部分信息遭未授权访问。Gyazo 是跨平台截图、GIF 和短屏幕录制工具，可生成分享链接。

Helpfeel 披露，近期检测到 Gyazo 服务器遭未授权访问。攻击者于 2026 年 9 月 11 日利用图像上传服务器中的漏洞执行恶意命令。攻击者次日被移出，但在此之前已访问存储约 2360 万条用户记录的数据库。

在约 2362 万条受影响记录中，包含无注册邮箱等信息的匿名账户记录。Helpfeel 表示仍在确定实际个人信息遭未授权披露的人数。

被泄露的 Gyazo 用户信息包括姓名、电子邮件地址、密码哈希、用户和设备 ID、X 集成令牌、个人资料信息、使用统计和账单信息。厂商称支付卡信息未泄露。

除用户记录外，攻击者还访问了约 4.9 亿条图像元数据记录。该元数据包含可能让威胁行为者重建并访问用户上传图像相关 URL 的信息。另有一份私密图像列表也遭泄露，但公司未披露数量。