截圖分享服務 Gyazo 上傳伺服器漏洞遭利用，約 2,362 萬筆帳戶資料與 4.9 億筆圖片中繼資料外流

發生什麼

Helpfeel 表示，2026 年 9 月 11 日第三者利用 Gyazo 圖片上傳伺服器的漏洞，在其系統上執行任意指令；公司當晚偵測異常，9 月 12 日凌晨前切斷入侵路徑並修補漏洞，之後確認攻擊者存取資料庫並將資料外傳 ^[1][2]。

影響範圍

約 2,362 萬筆使用者資料外流，內容包括名稱、電郵、密碼雜湊、使用者與裝置 ID、登入工作階段 ID、X 連動權杖與 Google SSO 電郵等，其中也含未登錄電郵的匿名帳戶；另有主要為 2019 年 1 月以前登錄的約 4.9 億筆圖片中繼資料外流，公司稱信用卡等付款資料未外流 ^[1]。10 月 21 日的調查結果指出，133 名使用者保存的部分圖片遭第三者瀏覽與取得 ^[2]。

公司處置

公司已使外流的認證資訊失效、一度暫停服務，9 月 27 日恢復提供，並委託外部專業機構完成鑑識調查 ^[1][2]。

建議措施

公司請使用者變更密碼，並變更在其他服務使用的相同或相似密碼，同時提防相關可疑郵件與訊息 ^[1]。