日本Gyazo遭网络入侵致2362万用户记录与4.9亿条图片元数据外泄：公司延迟至第5日才公开披露

事件时间线值得关注。公司称于9月11日日本时间晚间察觉Gyazo系统上的可疑活动并启动应急响应；至9月12日凌晨，已封堵所识别的访问路径、切断攻击者连接并修复被利用的漏洞。9月14日，公司确认数据已被外泄，同日以防万一暂停了部分图片的对外分发；9月15日向日本个人信息保护委员会报告；9月16日才发布公开通报。在此期间，Gyazo面向用户的说明仅称图片加载异常系“紧急维护”，未提及数据泄露。

外泄的约2362万条用户记录可能包含姓名或昵称、电子邮箱、密码哈希、用户ID、设备ID、登录会话ID、X（原Twitter）集成令牌、Google单点登录邮箱（如适用）、个人资料与语言偏好、注册与最后登录时间戳、订阅计划与计费状态及使用统计。公司明确表示不包含信用卡号等支付信息。由于其中包含大量未注册邮箱的匿名账户，受影响自然人数量仍在核实中。

第二部分外泄数据风险更为隐蔽：约4.9亿条图片元数据包含图片ID、上传IP地址、User-Agent字符串、EXIF位置数据、从图片中提取的OCR文本、图片标题、来源URL以及保护私密图片的哈希口令。约大部分涉及2019年1月及之前注册的图片，约占其图片相关数据的14.4%；另有约240万张图片的元数据被以未说明的筛选条件单独拉取。Gyazo每张截图原本仅靠链接中不可猜测的32位图片ID保护，图片ID外泄直接削弱了这一防护，公司表示无法排除部分私密图片已被查看。

Helpfeel要求所有Gyazo用户修改密码（包括使用了相同密码的其他账户），并称将向已注册邮箱的用户发送邮件通知，匿名账户则通过网站公告告知。外部专家正在开展取证调查。截至通报发布，公司尚未说明哪些图片的查看权限仍处于禁用状态，也未说明已外泄的登录会话ID是否仍然有效。该事件凸显云上媒体分享服务在上传链路这一“低审视度入口”的安全短板，以及在72小时通报义务与公开披露节奏之间的合规张力。