[속보] Gyazo 사용자 정보 2362만 건 유출…이미지 메타데이터도 노출

이미지 공유 서비스 Gyazo에서 사용자 정보와 이미지 메타데이터가 대규모로 유출됐다. 운영사 Helpfeel이 9월 16일 공개한 공식 공지에 따르면, 무단으로 외부에 노출된 사용자 관련 기록은 약 2362만 건이다. 회사는 모든 이용자에게 비밀번호 변경을 요청했다.

공격자는 9월 11일 이미지 업로드 서버의 취약점을 악용해 시스템에 접근하고 임의 명령을 실행했다. Helpfeel은 당일 저녁 이상 활동을 탐지했으며, 12일 새벽까지 확인된 접근 경로와 무단 연결을 차단했다. 악용된 취약점에 대한 조치도 마쳤다고 밝혔다.

유출된 사용자 정보에는 이름이나 닉네임, 이메일 주소, 비밀번호 해시, 사용자·기기 식별자, 로그인 세션 식별자 등이 포함됐다. 연결 여부에 따라 X 연동 토큰과 구글 로그인 이메일 주소도 대상에 들어갔다. 회사는 인증 정보의 악용 가능성을 검토해 무효화와 제한 조치를 시행했다고 설명했다.

2362만 건은 피해자 수가 아니라 데이터 기록 수다. 이메일 주소를 등록하지 않은 익명 계정도 포함돼 실제 개인정보가 유출된 인원은 조사 중이다. 신용카드 번호 등 결제 수단 정보는 유출되지 않았다고 회사는 밝혔다.

이미지 관련 피해도 확인됐다. 주로 2019년 1월 이전에 등록된 이미지의 메타데이터 약 4억9000만 건이 유출됐으며, 별도 조건으로 추출된 약 240만 개 이미지의 메타데이터도 노출됐다. 이미지 식별자와 업로드 IP 주소, OCR로 추출한 텍스트, 제목, 원본 URL 등이 포함됐고, 이미지에 위치 정보가 들어 있던 경우 EXIF 위치 데이터도 대상이다.

이미지 식별자는 해당 이미지 URL을 구성하는 데 쓰일 수 있다. 회사는 제3자가 이를 이용해 이미지를 열람할 가능성이 있어 일부 이미지의 열람을 일시 중단했다. 비공개 이미지를 식별하는 목록도 공격자가 확보한 것으로 확인됐으며, 일부 비공개 이미지가 열람됐을 가능성은 배제하지 않았다. 이미지 데이터 자체가 소실된 사실은 현재까지 확인되지 않았다.

Helpfeel은 9월 15일 일본 개인정보보호위원회에 사고를 신고했으며 외부 전문가의 포렌식 조사를 진행하고 있다. 영향이 확인된 이용자에게는 이메일이나 웹 화면으로 안내할 계획이다. Gyazo와 같거나 비슷한 비밀번호를 다른 서비스에서도 썼다면 함께 변경하고, 사고를 빌미로 한 의심스러운 이메일과 메시지에 주의해 달라고 당부했다.

출처: Gyazo 공식 공지 — https://updates.gyazo.com/notice-and-apology-regarding-a-data-breach-resulting-from-unauthorized-access-to-gyazo-1rvqoM