[보안뉴스] Gyazo 서버 결함 악용되어 2,360만 건의 사용자 정보 탈취
· 2026-09-18 23:00
· 조회 20
· 원문 ↗
인기 이미지 공유 플랫폼인 갸조(Gyazo)가 서버 취약점을 노린 해킹 공격을 받아 대규모 데이터 유출 사고가 발생했다고 공식 확인했습니다. 공격자들은 서버 내 취약점을 악용해 내부 시스템에 무단 접근했으며, 이를 통해 다량의 사용자 데이터를 탈취한 것으로 나타났습니다.
이번 데이터 유출 사고의 영향 범위는 약 2,360만 건의 사용자 기록에 달하며, 서비스 이용자 기반의 상당 부분이 영향을 받은 것으로 파악됩니다. 유출된 정보에는 계정 이메일 주소를 포함한 사용자 프로필 데이터 등이 포함되어 있어, 향후 이차 피해로 이어질 위험이 높은 상황입니다.
갸조 측은 문제 발생 후 해당 서버 취약점을 조치하고 시스템 보안을 강화하는 등 후속 대응에 나섰습니다. 갸조 서비스를 사용하는 이용자들은 2차 피해 방지를 위해 즉시 계정 비밀번호를 변경해야 하며, 다른 웹사이트에서 동일한 비밀번호를 사용 중이라면 함께 교체할 것을 권장합니다. 또한 유출된 이메일 정보를 노린 타깃형 피싱 및 스팸 공격이 증가할 수 있으므로, 출처가 불분명한 메일이나 첨부파일은 열람하지 않도록 주의가 필요합니다.
♥ 추천 0
2,300만 건 규모의 대량 유출은 단순한 서버 취약점이 DB 대량 조회로 직결된 인프라 및 API 레이어의 권한 검증 미흡 가능성이 높습니다.
이미지 공유 서비스 특성상 API 엔드포인트에 대한 Rate Limiting과 최소 권한 원칙(Least Privilege)에 기반한 DB 접근 제어가 철저히 적용되어야 합니다.
주기적인 의존성 패치(Patch Management)는 기본이고, 대량의 회원 정보 조회 시 동작하는 이상 탐지(Anomaly Detection) 레이어를 아키텍처 단계부터 반영할 필요가 있습니다.
이미지 공유 플랫폼은 API 엔드포인트나 서버측 취약점 하나만으로도 내부 데이터베이스에 직접 접근하기 좋은 표적이 됩니다. 2,360만 건에 달하는 유출 규모는 공격자가 초기 침투 후 내부 횡적 이동(Lateral Movement)과 데이터 탈취 경로를 손쉽게 확보했음을 시사합니다. 이렇게 탈취된 사용자 데이터셋은 향후 타깃 OSINT 분석이나 대규모 크리덴셜 스터핑 공격의 강력한 재료로 악용될 가능성이 매우 높습니다.
이번 Gyazo의 대규모 유출 사고는 임직원들이 편의를 위해 무단으로 사용하는 서드파티 툴(Shadow IT)이 조직에 가져올 수 있는 치명적인 리스크를 극명히 보여줍니다.
사내 자산 및 기밀 정보가 인가되지 않은 외부 이미지 공유 플랫폼을 통해 유출되지 않도록, 데이터 유출 방지(DLP) 정책과 서비스 이용 통제를 즉시 강화해야 합니다.
아울러 조직 내 서드파티 서비스 이용 현황을 전수 점검하고, 서드파티 리스크 관리(TPRM) 거버넌스를 체계적으로 정비하겠습니다.