適用對象：曾使用 Gyazo 的人，以及營運圖片或檔案上傳功能的人。本文以營運公司的官方通知為依據，不包含任何攻擊技術。
發生了什麼（依 Helpfeel 說明）
2026 年 9 月 16 日，Helpfeel 股份有限公司宣布，其圖片分享服務 Gyazo 遭未經授權存取，導致資料外洩。以下內容均取自公司的官方通知。
2026 年 9 月 11 日
第三方利用 Gyazo 圖片上傳伺服器的漏洞，在公司系統上執行任意指令。當晚即偵測到可疑行為，隨即展開調查與應變。9 月 12 日凌晨
封鎖入侵路徑，並切斷第三方的未授權連線。9 月 14 日
確認資料外洩，並採取預防措施。9 月 15 日
針對後續損害採取進一步措施。修復後上傳的圖片恢復提供。已向個人資訊保護委員會通報。9 月 16 日
公布已確認的範圍與影響。外部專家的鑑識調查仍在進行。
- 使用者紀錄，約 2,362 萬
- 顯示名稱（任何名稱或暱稱）、電子郵件地址、密碼雜湊、使用者 ID、裝置 ID、登入工作階段 ID、X（Twitter）整合權杖（若有連結）、Google SSO 電子郵件（若有連結）、個人檔案資料、語言、註冊與最後登入時間戳記、方案、帳單狀態、使用統計。各項目是否適用因使用者而異
- 圖片中繼資料
- 圖片 ID、上傳 IP 位址、User-Agent、EXIF 位置、圖片的 OCR 文字、標題、來源網址、私人圖片的雜湊化密語
- 圖片本身
- 尚未確認圖片資料遺失。但公司「無法完全排除部分私人圖片曾遭第三方檢視」
- 付款資料
- 信用卡號與其他付款資料未外洩，公司確認
- 驗證資料
- 公司表示，在檢視各項資料的運作方式及可能遭濫用的情形後，已使必要的項目失效或受到限制
- 原因
- 圖片上傳伺服器的漏洞，目前已修補，入侵所用的所有路徑均已封鎖。具體漏洞尚未公布名稱
如何解讀：2,362 萬不是人數，4.9 億也不是圖片數
約 2,362 萬的數字包含沒有註冊電子郵件地址的匿名帳號；公司表示，實際個人資料外洩的人數仍在調查中。約 4.9 億的數字計算的是圖片相關資訊（中繼資料）的紀錄，而非圖片檔案。
兩者都不代表「沒有什麼好擔心」。如下一節所示，中繼資料的內容是容易被忽略的風險。
圖片相關資訊會揭露什麼
一張上傳的圖片
圖片 ID / 標題 / 來源網址 / User-Agent
OCR 文字
畫面上的文字，包括金鑰與內部資料
EXIF 位置
照片的拍攝地點，可能是你的住家
上傳 IP
你何時、透過哪個連線上傳
更換後即可解決
- 你的 Gyazo 密碼（其雜湊已外洩）
- 登入工作階段與整合權杖（公司表示已使其失效或受到限制）
- 你在其他服務上重複使用的密碼
不在來源處更換就無法解決
- 出現在截圖中的 API 金鑰、密碼、邀請連結
- 出現在截圖中的客戶資料或內部文件
- 照片的拍攝地點（位置無法更改）
使用者今天該做什麼
更換 Gyazo 密碼
這是公司的首要要求。外洩的是雜湊值，而非密碼本身，但雜湊方法尚未公開，一般而言，短密碼或常見密碼最容易被還原（運作方式請見：什麼是密碼雜湊）。請自行開啟 Gyazo 來更改，不要點擊電子郵件中的連結。
在每一個你使用相同或類似密碼的服務上更換
公司要求你在其他曾使用「相同或類似密碼」的服務上更換密碼。「類似」很重要：只改了結尾數字的密碼，也算是相同的密碼。密碼管理器是找出這些服務最實用的方法。
回想截圖是否顯示過機密，如有則撤銷
外洩的中繼資料包含 OCR 文字，也就是從每張圖片讀取出來的文字。如果你曾透過 Gyazo 分享過開發畫面、管理後台、終端機或設定檔，請在來源處撤銷並重新核發其中顯示的任何 API 金鑰、權杖、密碼或邀請連結。中繼資料被描述為多數來自 2019 年 1 月之前上傳的圖片，但長期使用的金鑰正是那段時間之後都未曾更換的。關於如何處理機密，請見.env 與 API 金鑰有哪些風險，以及外洩 API 金鑰導致產生費用的案例。
檢查是否上傳過含位置資料的照片，並從現在起移除
EXIF 位置是外洩項目之一。直接從手機上傳的照片，可能帶有拍攝地點。位置無法更改，因此你能做的是調整之後的設定：關閉相機的位置標記，或在分享前移除位置資訊（智慧型手機安全基礎）。
若你連結了 X 或以 Google 登入，請檢查連線
X（Twitter）整合權杖與 Google SSO 電子郵件地址也在外洩項目之中。公司表示已使驗證資料失效或受到限制，但仍值得自行開啟 X 的已連線應用程式清單，並移除你不再使用的連線。
留意冒充的電子郵件
電子郵件地址也是外洩項目之一。資料外洩後，常會出現冒充營運方的「重設密碼」電子郵件。不要點擊其中的連結，請自行開啟服務（什麼是網路釣魚）。
給營運上傳功能的人
本站的看法：他們當天就發現了，但仍保留舊資料
從防禦者的角度來看，這起事件有一項值得肯定之處，以及一項值得深思之處。
值得肯定的是偵測速度。入侵發生於9 月 11 日，當晚即被偵測到，隔日凌晨前已封鎖，並於五天後公開。同一年披露的日本主要案例中，從入侵到發現的時間介於 15 天到約三年之間（比較 2026 年四起日本主要資料外洩事件）。即使無法阻止入侵，越早發現，損害就越小。
值得深思的是，外洩的中繼資料集中在「主要為 2019 年 1 月之前」的圖片。數年前上傳的圖片之 OCR 文字、位置資料與上傳 IP，在本次事件發生時仍然存在。
保留圖片或許是使用者對此類服務的期待，但周邊資料（IP 與位置）是否也需要保留同樣長的時間，則是另一個問題。你不持有的資料無法外洩，而輔助資料正是最容易縮短保存期限的地方。
公司所述的原因，即透過圖片上傳伺服器的漏洞執行任意指令，是所有接受上傳的服務共同的弱點。將處理接收檔案的部分與主系統隔離，並以最小權限執行，此一設計原則請見檔案上傳漏洞；此術語本身請見什麼是 RCE。
資料來源
以上事實取自以下公開紀錄。不對未公布名稱的漏洞或入侵細節進行推測。
- Helpfeel 股份有限公司，關於 Gyazo 遭未經授權存取所導致資訊外洩的通知與致歉（2026 年 9 月 16 日發布，日文）— corp.helpfeel.com
- ITmedia NEWS 與 Mado no Mori 的報導（2026 年 9 月 16 日），依據上述通知
更新紀錄
2026-09-19：首版，依據 Helpfeel 9 月 16 日的通知。公司的鑑識調查仍在進行，包括實際受影響人數與後續損害的可能性；公布更多細節後將更新本文。