适用对象：使用过Gyazo的人，以及运营图片或文件上传功能的人。本文基于运营方的官方通知撰写，不包含任何攻击技术内容。
事件经过（据Helpfeel通知）
2026年9月16日，Helpfeel株式会社宣布，其图片分享服务Gyazo遭未经授权访问，导致数据泄露。以下内容均来自公司的官方通知。
2026年9月11日
第三方利用Gyazo图片上传服务器的一个漏洞，在公司系统上执行了任意命令。当晚即检测到可疑行为，随即开始调查和应对。9月12日凌晨
封堵入侵路径，切断第三方未经授权的连接。9月14日
确认发生泄露，并采取了预防性措施。9月15日
针对二次危害采取进一步措施。修复后上传的图片恢复提供服务。已向个人信息保护委员会报告。9月16日
公布已确认的范围和影响。外部专业机构的取证调查仍在进行。
- 用户记录，约2362万条
- 显示名称（任意名称或昵称）、电子邮件地址、密码哈希、用户ID、设备ID、登录会话ID、X（Twitter）集成令牌（如已关联）、Google SSO电子邮件（如已关联）、个人资料数据、语言、注册和最后登录时间戳、套餐、计费状态、使用统计。具体包含哪些项目因用户而异
- 图片元数据
- 图片ID、上传IP地址、User-Agent、EXIF位置信息、图片的OCR文字、标题、来源URL、私密图片的哈希化口令
- 图片本身
- 尚未确认图片数据丢失。但公司表示"无法完全排除部分私密图片被第三方查看的可能"
- 支付数据
- 公司确认，银行卡号及其他支付数据未被泄露
- 认证数据
- 公司表示，在审查各项数据的运作方式及可能被滥用的方式后，已使必要的部分失效或受到限制
- 原因
- 图片上传服务器的一个漏洞——现已修复，入侵所用的所有路径均已封堵。具体漏洞尚未公布名称
如何理解：2362万不是人数，4.9亿也不是图片数
约2362万这一数字包括没有登记电子邮件地址的匿名账户；公司表示，实际个人数据泄露的人数仍在调查中。约4.9亿这一数字统计的是图片相关信息（元数据）的记录，而非图片文件。
两者都不代表"无需担心"。下一节将说明，这些元数据的内容是一个容易被忽视的风险。
图片相关信息能揭示什么
一张上传的图片
图片ID / 标题 / 来源URL / User-Agent
OCR文字
屏幕上的文字——包括密钥和内部数据
EXIF位置
照片拍摄地点——可能是你的住处
上传IP
你何时、通过哪个网络上传
修改后即可解决
- 你的Gyazo密码（其哈希已泄露）
- 登录会话和集成令牌（公司表示已使其失效或受到限制）
- 你在其他服务上重复使用的密码
不在源头修改就无法解决
- 截图中出现过的API密钥、密码、邀请链接
- 截图中出现过的客户数据或内部文档
- 照片的拍摄地点（位置信息无法更改）
用户今天应该做什么
修改Gyazo密码
这是公司首先提出的要求。泄露的是哈希值而非密码本身，但哈希方法尚未公布，而且一般来说，短密码或常见密码最容易被还原（原理参见：什么是密码哈希）。请自行打开Gyazo进行修改，不要点击邮件中的链接。
在每一个使用过相同或类似密码的服务上修改密码
公司要求你在其他使用过"相同或类似密码"的服务上修改密码。"类似"很重要：仅改动末尾数字的密码也算作相同密码。密码管理器是找出这些账户的实用方法。
回想截图中是否显示过机密信息，如有则撤销
泄露的元数据包括OCR文字，即从每张图片中识别出的文字。如果你曾通过Gyazo分享过开发界面、管理后台、终端或配置文件，请在源头撤销并重新签发其中显示过的任何API密钥、令牌、密码或邀请链接。据称元数据主要来自2019年1月之前上传的图片，但长期有效的密钥恰恰是自那时以来一直没有更换的。如何处理机密信息，参见.env和API密钥有哪些风险，以及泄露的API密钥导致产生费用的案例。
检查是否上传过带位置信息的照片，并从今天起去除位置信息
EXIF位置信息是泄露项目之一。直接从手机上传的照片可能带有拍摄地点。位置信息无法更改，因此你能做的是调整今后的设置：关闭相机的位置标记，或在分享前去除位置信息（智能手机安全基础）。
如果你关联过X或使用Google登录，请检查该关联
X（Twitter）集成令牌和Google SSO电子邮件地址也在泄露项目之列。公司表示已使认证数据失效或受到限制，但仍值得自行打开X的已连接应用列表，移除不再使用的关联。
提防冒充邮件
电子邮件地址也在泄露项目之列。数据泄露后，往往会出现冒充运营方的"重置密码"邮件。请不要点击其中的链接，应自行打开服务（什么是钓鱼）。
对于所有运营上传功能的人
本站观点：他们当天就发现了问题，但仍保存着旧数据
从防御者的角度看，此案例有一项值得肯定之处和一项值得反思之处。
值得肯定的是发现速度。入侵发生在9月11日，当晚即被检测到，次日凌晨前被封堵，并在五天后公开披露。同年公开披露的日本主要案例中，从入侵到发现的时间从15天到约三年不等（对比2026年日本四起重大数据泄露事件）。即使无法阻止入侵，发现得越早，损失越小。
值得反思的是，泄露的元数据主要集中在"主要为2019年1月之前"的图片上。在本次事件发生时，数年前上传的图片的OCR文字、位置数据和上传IP仍然存在。
保留图片或许是用户对此类服务的期望，但相关数据（IP和位置）是否也需要保留同样长的时间，则是另一个问题。你不持有的数据不会泄露，而辅助数据正是最容易缩短保存期限的地方。
公司所述原因——通过图片上传服务器的漏洞执行任意命令——是所有接受上传的服务共有的薄弱环节。将处理接收文件的部分与主系统隔离，并以最小权限运行，这一设计原则在文件上传漏洞中有所介绍；该术语本身的解释见什么是RCE。
信息来源
以上事实均来自以下公开记录。对于未公布名称的漏洞或入侵细节，本文不作任何推测。
- Helpfeel株式会社，关于Gyazo遭未经授权访问导致信息泄露的通知及致歉（2026年9月16日发布，日文）——corp.helpfeel.com
- ITmedia NEWS及窓の杜（Mado no Mori）的报道（2026年9月16日），依据上述通知
更新记录
2026-09-19：首次发布，依据Helpfeel于9月16日发布的通知。公司的取证调查仍在进行，包括实际受影响人数及二次危害的可能性；待详细信息公布后，本文将予以更新。
延伸阅读
- 同年的主要案例：对比KDDI、Aflac、数字厅及Sakura Internet的数据泄露事件 / Times Car数据泄露（驾驶执照图片） / SourceNext会员数据泄露（22,519,960条记录）
- 密码：如何选择密码管理器 / 如何选择多因素认证
- 机密信息处理：.env和API密钥有哪些风险 / 泄露的API密钥案例
- 面向运营方：文件上传漏洞 / 什么是RCE