[해외보안뉴스] 인기 이미지 공유 서비스 Gyazo, 서버 취약점으로 2,300만 건의 사용자 기록 유출
· 2026-09-20 00:00
· 조회 17
· 원문 ↗
인기 스크린샷 및 이미지 공유 서비스인 Gyazo의 개발사 Helpfeel은 최근 자사 시스템에 심각한 데이터 침해 사고가 발생했다고 발표했습니다. 조사 결과, 공격자는 Gyazo의 이미지 업로드 서버에 존재하던 보안 취약점을 악용해 내부 시스템에 무단으로 침입한 것으로 확인되었습니다. 이로 인해 총 2,300만 건에 달하는 사용자 기록이 노출되는 대규모 보안 사고로 이어졌습니다.
이번 사고의 영향 범위는 Gyazo를 이용하는 전 세계 다수의 사용자에게 미치고 있습니다. 유출된 정보에는 사용자의 계정 데이터, 이메일 주소, 암호화된 비밀번호, 접속 IP 주소 및 업로드된 이미지 관련 메타데이터 등이 포함되어 있을 가능성이 있습니다. 비록 금융 정보의 직접적인 유출 여부는 파악 중이지만, 유출된 계정 정보를 이용한 자전적 대입 공격(Credential Stuffing) 등 2차 피해의 위험이 매우 높은 상황입니다.
이 사건과 관련해 Helpfeel 측은 취약점을 인지한 즉시 문제의 업로드 서버 패치를 완료하고 공격자의 무단 접근 경로를 차단했습니다. 현재 회사는 외부 보안 전문 업체와 협력하여 사고의 정확한 경위와 피해 규모를 조사하고 있으며, 관할 기관에 보고하는 등 후속 조치를 취하고 있습니다.
Gyazo 사용자들은 추가적인 피해를 예방하기 위해 즉시 서비스 비밀번호를 변경해야 합니다. 특히 Gyazo와 동일한 계정 정보를 다른 웹사이트에서도 사용하고 있다면 해당 사이트들의 비밀번호도 함께 변경할 것을 강력히 권장합니다. 아울러 유출된 이메일을 이용한 표적형 피싱 공격이나 스팸 메일에 대해 각별한 주의가 필요합니다.
이미지 업로드 서버의 취약점이 2,300만 건의 DB 유출로 이어진 것은 업로드 파이프라인과 코어 DB 간의 네트워크 격리(Segmentation)가 미흡했다는 방증입니다. 파일 업로드는 RCE(원격 코드 실행) 공격의 주요 타깃이므로, 단순 확장자 체크를 넘어 마법 바이트(Magic Bytes) 검증과 샌드박스 환경에서의 비동기 처리 로직이 필수적입니다. 무엇보다 미디어 처리 서버가 사용자 DB에 직접 접근할 수 없도록 '최소 권한 원칙'을 적용하여 아키텍처를 재설계해야 합니다.
이미지 업로드 기능은 파일 확장자 검증 미흡이나 파싱 라이브러리의 허점으로 인해 RCE(원격 코드 실행)까지 연결되기 쉬운 고위험 공격 벡터입니다. 공격자가 업로드 서버의 제어권을 확보한 후 내부 네트워크로 진입해 메인 DB까지 접근하는 전형적인 권한 상승 및 lateral movement 시나리오가 의심됩니다. 2,300만 건이라는 대규모 유출은 웹 애플리케이션의 엔드포인트 하나가 서비스 전체의 치명적인 데이터 침해로 이어질 수 있음을 잘 보여줍니다.
파일 업로드 서버의 취약점이 2,300만 건의 대규모 정보 유출로 이어진 이번 사고는 서비스의 가장 기본 접점에 대한 보안 관리가 얼마나 중요한지 재확인시켜 줍니다. 특히 이러한 이미지 공유 도구는 임직원들에 의해 '섀도우 IT(Shadow IT)'로 오용되어 조직의 중요 정보가 2차 노출될 리스크가 매우 큽니다. 서드파티 서비스에 대한 통제 정책을 정립하고, 외부 노출 서버 및 모듈에 대한 철저한 취약점 진단과 패치 거버넌스를 즉각 강화해야 합니다.