图床平台 Gyazo 遭黑客入侵，超 2360 万笔用户资料外泄

IT之家 9 月 28 日消息，开发商 Helpfeel 于 9 月 16 日披露，旗下图床平台 Gyazo 遭到黑客入侵，超过 2362 万条用户记录泄露。

公开信息显示，Gyazo 可将屏幕截图和视频上传至云端并生成分享链接，此次遭到黑客攻击的是 Gyazo 图片上传服务器，包括用户姓名、电子邮箱、密码哈希、用户及设备 ID、登录会话 ID、X 平台集成 Token 以及 Google SSO 邮箱等信息均遭外泄，此外还有约 4.9 亿条图片元数据遭到泄露。

Helpfeel 在公告中披露，黑客是利用了 Gyazo 图片上传服务器存在的漏洞取得系统访问权限，进而获得了远程执行任意指令的权限。公司于 9 月 11 日当天晚上发现异常情况，随后在 9 月 12 日凌晨封锁攻击者使用的访问路径并修复漏洞。

由于部分泄露的图片元数据可以用于生成图片 URL，攻击者可能利用这些信息访问和查看对应图片。Helpfeel 已暂时停用部分图片浏览功能，但目前无法排除部分用户的私密图片已经被查看。

Helpfeel 表示，目前公司已向相关主管部门报告，并委托外部专家展开调查，同时建议用户更换 Gyazo 平台以及其他相关服务使用的密码。