대상 독자: Gyazo를 사용한 적이 있는 모든 분, 그리고 이미지나 파일 업로드 기능을 운영하는 분. 이 글은 운영사의 공식 공지를 바탕으로 작성되었으며, 공격 기법은 포함하지 않습니다.
무슨 일이 있었나요 (Helpfeel 발표 기준)
2026년 9월 16일 Helpfeel Inc.는 이미지 공유 서비스 Gyazo에 대한 무단 접근으로 인한 데이터 유출을 발표했습니다. 아래 내용은 모두 회사의 공식 공지에서 가져온 것입니다.
2026년 9월 11일
제3자가 Gyazo 이미지 업로드 서버의 취약점을 악용해 회사 시스템에서 임의의 명령을 실행했습니다. 같은 날 밤 의심스러운 동작이 탐지되었고, 조사와 대응이 시작되었습니다.9월 12일 새벽
침입 경로가 차단되었고 제3자의 무단 연결이 끊어졌습니다.9월 14일
유출이 확인되었고 예방 조치가 취해졌습니다.9월 15일
2차 피해에 대한 추가 조치가 이루어졌습니다. 수정 이후 업로드된 이미지에 대해 서비스 제공이 재개되었습니다. 개인정보보호위원회에 보고되었습니다.9월 16일
확인된 범위와 영향이 공개되었습니다. 외부 전문가의 포렌식 조사는 계속되고 있습니다.
- 사용자 기록, 약 2,362만 건
- 표시 이름(임의의 이름이나 닉네임), 이메일 주소, 비밀번호 해시, 사용자 ID, 기기 ID, 로그인 세션 ID, X(Twitter) 연동 토큰(연동한 경우), Google SSO 이메일(연동한 경우), 프로필 데이터, 언어, 등록 및 마지막 로그인 시각, 요금제, 결제 상태, 이용 통계. 해당 항목은 사용자마다 다릅니다
- 이미지 메타데이터
- 이미지 ID, 업로드 IP 주소, User-Agent, EXIF 위치 정보, 이미지의 OCR 텍스트, 제목, 원본 URL, 비공개 이미지의 해시된 패스프레이즈
- 이미지 자체
- 이미지 데이터의 유출은 확인되지 않았습니다. 다만 회사는 "일부 비공개 이미지가 제3자에게 열람되었을 가능성을 완전히 배제할 수 없다"고 밝혔습니다
- 결제 데이터
- 카드 번호 등 결제 데이터는 유출되지 않았다고 회사가 확인했습니다
- 인증 데이터
- 각 항목의 작동 방식과 악용 가능성을 검토한 뒤, 회사는 필요한 항목을 이미 무효화하거나 제한했다고 밝혔습니다
- 원인
- 이미지 업로드 서버의 취약점으로, 현재 수정되었으며 침입에 사용된 모든 경로가 차단되었습니다. 구체적인 취약점은 공개되지 않았습니다
해석 방법: 2,362만은 사람 수가 아니며, 4억 9천만은 이미지 수가 아닙니다
약 2,362만 건이라는 수치에는 등록된 이메일 주소가 없는 익명 계정이 포함되어 있습니다. 회사는 실제로 개인정보가 유출된 사람 수는 아직 조사 중이라고 밝혔습니다. 약 4억 9천만 건은 이미지 파일이 아니라 이미지에 관한 정보(메타데이터) 기록의 수입니다.
어느 쪽도 "걱정할 필요가 없다"는 뜻이 아닙니다. 다음 섹션에서 보듯이, 메타데이터의 내용은 쉽게 간과되는 위험입니다.
이미지에 관한 정보가 드러내는 것
업로드된 이미지 한 장
이미지 ID / 제목 / 원본 URL / User-Agent
OCR 텍스트
화면에 보이던 글자 — 키와 내부 데이터 포함
EXIF 위치
사진을 찍은 장소 — 집일 수도 있음
업로드 IP
언제, 어떤 연결에서 업로드했는지
변경하면 해결되는 항목
- Gyazo 비밀번호(해시가 유출됨)
- 로그인 세션과 연동 토큰(회사는 이를 무효화하거나 제한했다고 밝힘)
- 다른 서비스에서 재사용한 비밀번호
발급처에서 직접 변경하기 전까지 해결되지 않는 항목
- 스크린샷에 나타난 API 키, 비밀번호, 초대 링크
- 스크린샷에 나타난 고객 데이터나 내부 문서
- 사진을 찍은 장소(위치는 바꿀 수 없음)
지금 사용자가 해야 할 일
Gyazo 비밀번호 변경하기
이것은 회사가 가장 먼저 요청하는 조치입니다. 유출된 것은 비밀번호 자체가 아니라 해시이지만, 해싱 방식은 공개되지 않았고 일반적으로 짧거나 흔한 비밀번호가 가장 쉽게 복원됩니다(작동 방식: 비밀번호 해싱이란). 이메일의 링크가 아니라 직접 Gyazo를 열어서 변경하십시오.
같은 또는 비슷한 비밀번호를 쓴 모든 서비스에서 변경하기
회사는 "같은 또는 비슷한 비밀번호"를 쓴 다른 서비스의 비밀번호도 변경하라고 요청합니다. "비슷한" 것도 중요합니다. 뒤의 숫자만 바꾼 비밀번호는 같은 비밀번호로 간주됩니다. 이런 계정을 찾는 실용적인 방법은 비밀번호 관리자를 쓰는 것입니다.
스크린샷에 비밀 정보가 있었는지 기억하고, 있었다면 폐기하기
유출된 메타데이터에는 각 이미지에서 읽어낸 글자인 OCR 텍스트가 포함되어 있습니다. Gyazo로 개발 화면, 관리자 패널, 터미널, 설정 파일을 공유한 적이 있다면, 거기 보인 API 키, 토큰, 비밀번호, 초대 링크를 발급처에서 폐기하고 새로 발급받으십시오. 메타데이터는 주로 2019년 1월 이전에 업로드된 이미지에서 나왔다고 설명되어 있지만, 오래 유효한 키는 바로 그 이후로 바뀌지 않은 키입니다. 비밀 정보 관리 방법은 .env와 API 키의 위험성과 유출된 API 키로 요금이 청구된 사례에서 다룹니다.
위치 정보가 포함된 사진을 올렸는지 확인하고, 앞으로는 제거하기
EXIF 위치 정보도 유출된 항목에 포함됩니다. 스마트폰에서 바로 업로드한 사진에는 촬영 장소가 담겨 있을 수 있습니다. 위치는 바꿀 수 없으므로 할 수 있는 것은 앞으로의 설정을 바꾸는 것입니다. 카메라의 위치 태그를 끄거나, 공유하기 전에 위치 정보를 제거하십시오(스마트폰 보안 기본).
X 연동이나 Google 로그인을 사용했다면 연결을 점검하기
X(Twitter) 연동 토큰과 Google SSO 이메일 주소도 유출된 항목에 포함됩니다. 회사는 인증 데이터를 무효화하거나 제한했다고 밝혔지만, 그래도 X의 연결된 앱 목록을 직접 열어 더 이상 쓰지 않는 연결을 제거해 볼 가치는 있습니다.
사칭 이메일에 주의하기
이메일 주소도 유출된 항목에 포함됩니다. 사고 이후에는 운영사를 사칭한 "비밀번호 재설정" 이메일이 나타나기 쉽습니다. 링크를 누르지 말고 서비스를 직접 여십시오(피싱이란).
업로드 기능을 운영하는 모든 분을 위해
이 사이트의 견해: 같은 날 발견했지만, 오래된 데이터를 보관하고 있었습니다
방어자의 관점에서 이 사례에는 인정할 점 하나와 생각해 볼 점 하나가 있습니다.
인정할 점은 탐지 속도입니다. 침입은 9월 11일에 일어났고 그날 밤 탐지되었으며, 다음 날 새벽까지 차단되었고, 5일 뒤 공개되었습니다. 같은 해 공개된 일본의 주요 사례들에서는 침입부터 발견까지 15일에서 약 3년이 걸렸습니다(2026년 일본 주요 유출 사고 4건 비교). 침입을 막을 수 없더라도, 빨리 알아챌수록 피해는 작아집니다.
생각해 볼 점은 유출된 메타데이터가 "주로 2019년 1월 이전" 이미지에 집중되어 있었다는 것입니다. 수년 전에 업로드된 이미지의 OCR 텍스트, 위치 정보, 업로드 IP가 이번 사고 당시에도 남아 있었습니다.
이미지를 보관하는 것은 이런 서비스에서 사용자가 기대하는 바일 수 있습니다. 하지만 주변 데이터(IP와 위치)를 같은 기간 보관해야 하는지는 별개의 문제입니다. 보관하지 않는 데이터는 유출될 수 없으며, 부가 데이터는 보관 기간을 줄이기 가장 쉬운 대상입니다.
밝혀진 원인, 즉 이미지 업로드 서버의 취약점을 통한 임의 명령 실행은 업로드를 받는 모든 서비스에 공통된 약점입니다. 받은 파일을 처리하는 부분을 주 시스템에서 분리하고 최소 권한으로 실행하는 설계 원칙은 파일 업로드 취약점에서 다루며, 용어 자체는 RCE란에서 설명합니다.
출처
위의 내용은 다음의 공개 기록에서 가져왔습니다. 공개되지 않은 취약점이나 침입 세부 사항에 대한 추측은 포함하지 않습니다.
- Helpfeel Inc., Gyazo에 대한 무단 접근으로 인한 정보 유출에 관한 공지 및 사과문(2026년 9월 16일 게시, 일본어) — corp.helpfeel.com
- 위 공지를 바탕으로 한 ITmedia NEWS 및 Mado no Mori 보도(2026년 9월 16일)
업데이트 기록
2026-09-19: 9월 16일 Helpfeel 공지를 바탕으로 한 첫 번째 버전입니다. 회사의 포렌식 조사는 실제 피해자 수와 2차 피해 가능성을 포함해 계속되고 있으며, 세부 내용이 공개되는 대로 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 같은 해의 주요 사례: KDDI, Aflac, 디지털청, Sakura Internet 유출 사고 비교 / Times Car 유출 사고(운전면허증 이미지) / SourceNext 회원 데이터 유출(22,519,960건)
- 비밀번호: 비밀번호 관리자 고르기 / 다중 인증 고르기
- 비밀 정보 다루기: .env와 API 키의 위험성 / 유출된 API 키 사례
- 운영자용: 파일 업로드 취약점 / RCE란