สรุปสั้น
บริษัท Helpfeel ผู้ให้บริการแชร์ภาพ Gyazo ซึ่งมีสำนักงานอยู่ที่เมืองเกียวโต ประเทศญี่ปุ่น ออกประกาศเมื่อวันที่ 16 กันยายน 2569 ว่าถูกเจาะระบบผ่านช่องโหว่ที่เซิร์ฟเวอร์อัปโหลดภาพ ทำให้ผู้โจมตีสามารถรันคำสั่งตามอำเภอใจบนระบบของบริษัทและเข้าถึงฐานข้อมูลของ Gyazo ได้ ผลคือข้อมูลบัญชีผู้ใช้ราว 23.62 ล้านรายการรั่วไหล ทั้งที่อยู่อีเมล ค่าแฮชของรหัสผ่าน รหัสผู้ใช้ รหัสอุปกรณ์ รหัสเซสชันการล็อกอิน รวมถึงโทเค็นที่ใช้เชื่อมบัญชีกับ X (ทวิตเตอร์เดิม) และอีเมลที่ใช้ล็อกอินผ่าน Google SSO ทั้งนี้บริษัทยืนยันว่าไม่มีข้อมูลการชำระเงินหรือหมายเลขบัตรเครดิตหลุดออกไป
นอกจากข้อมูลบัญชีแล้ว ยังมี metadata ของรูปภาพรั่วอีกราว 490 ล้านรายการ ซึ่งส่วนใหญ่เป็นภาพที่ลงทะเบียนตั้งแต่เดือนมกราคม 2562 หรือก่อนหน้า จุดที่น่ากังวลคือ metadata นี้รวมถึง “รหัสภาพ” ที่เป็นส่วนประกอบของลิงก์รูปภาพ Helpfeel ยอมรับว่ารหัสเหล่านี้อาจถูกนำไปเปิดดูรูปโดยไม่ได้รับอนุญาต และได้ปิดการแสดงผลของภาพบางส่วนชั่วคราว บริษัทขอให้ผู้ใช้ Gyazo ทุกคนเปลี่ยนรหัสผ่าน และเปลี่ยนรหัสผ่านของบริการอื่นที่ใช้รหัสเดียวกันหรือคล้ายกัน พร้อมเฝ้าระวังอีเมลหรือข้อความน่าสงสัยที่อ้างถึงเหตุการณ์นี้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า บริษัท Helpfeel ระบุในประกาศว่าผู้โจมตีเข้าถึงระบบผ่านช่องโหว่ในเซิร์ฟเวอร์อัปโหลดภาพของ Gyazo แล้วรันคำสั่งตามอำเภอใจบนระบบ ก่อนเข้าถึงฐานข้อมูล โดยบริษัทยังไม่เปิดเผยว่าเป็นช่องโหว่ประเภทใด ตัวเลข 23.62 ล้านนั้นนับเป็น “รายการ” ไม่ใช่จำนวนคน เพราะรวมบัญชีแบบไม่ระบุตัวตน (anonymous) ที่ไม่มีอีเมลลงทะเบียนไว้ด้วย บริษัทระบุว่ายังอยู่ระหว่างประเมินว่ามีผู้ใช้จริงกี่รายที่ข้อมูลส่วนบุคคลถูกเปิดเผย
ฟิลด์ข้อมูลที่อาจหลุดในแต่ละบัญชีต่างกันไป ครอบคลุมชื่อหรือชื่อเล่นที่ผู้ใช้กรอกเอง อีเมล ค่าแฮชรหัสผ่าน รหัสผู้ใช้ รหัสอุปกรณ์ รหัสเซสชันล็อกอิน โทเค็นเชื่อมบัญชี X อีเมลสำหรับ Google SSO ข้อมูลโปรไฟล์ การตั้งค่าภาษา วันเวลาที่สมัคร วันเวลาที่ล็อกอินล่าสุด แพ็กเกจที่สมัคร สถานะการเรียกเก็บเงิน (โดยไม่มีเลขบัตร) และสถิติการใช้งาน ด้าน metadata ของรูปภาพที่รั่วก็มีทั้งรหัสภาพที่ใช้สร้าง URL, ที่อยู่ IP ที่ใช้อัปโหลด, User-Agent, ข้อมูลตำแหน่ง EXIF (หากภาพมีฝังไว้), ข้อความ OCR ที่สกัดจากภาพ, ชื่อภาพ, URL ต้นทาง และค่าแฮชของรหัสผ่านสำหรับภาพส่วนตัว
Helpfeel เล่าไทม์ไลน์ว่าพบกิจกรรมน่าสงสัยในช่วงค่ำวันที่ 11 กันยายน ตามเวลาญี่ปุ่น และภายในช่วงเช้ามืดวันที่ 12 กันยายน ก็ได้ปิดเส้นทางการเข้าถึงที่ตรวจพบ ตัดการเชื่อมต่อของผู้โจมตี และแก้ไขช่องโหว่ในวันเดียวกัน ต่อมาวันที่ 14 กันยายนจึงยืนยันว่ามีข้อมูลรั่วจริง รายงานเหตุต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นในวันที่ 15 กันยายน และเผยแพร่ประกาศต่อสาธารณะในวันที่ 16 กันยายน อย่างไรก็ตาม ระหว่างที่ภาพโหลดไม่ขึ้น ประกาศต่อผู้ใช้ในช่วงแรกเรียกเหตุการณ์นี้เพียงว่าเป็น “การบำรุงรักษาระบบ” โดยไม่ได้กล่าวถึงการถูกเจาะ ปัจจุบันบริษัทว่าจ้างผู้เชี่ยวชาญภายนอกเข้าตรวจสอบทางนิติวิทยาศาสตร์ และจะทยอยแจ้งผู้ใช้ที่ได้รับผลกระทบทางอีเมล
วิธีการโจมตี
แม้ Helpfeel จะยังไม่เปิดเผยประเภทของช่องโหว่ แต่สิ่งที่ยืนยันแล้วคือผู้โจมตีอาศัยจุดอ่อนที่เซิร์ฟเวอร์อัปโหลดภาพเป็นทางเข้า จากนั้นยกระดับไปสู่การรันคำสั่งตามอำเภอใจบนระบบ (arbitrary command execution) แล้วจึงเข้าถึงฐานข้อมูล นี่เป็นรูปแบบการโจมตีที่จุดรับไฟล์อัปโหลดกลายเป็นช่องทางไปสู่การควบคุมเซิร์ฟเวอร์ ซึ่งเป็นความเสี่ยงคลาสสิกของบริการที่เปิดให้ผู้ใช้ส่งไฟล์เข้ามาประมวลผล
จุดที่ทำให้เหตุการณ์นี้ต่างจากการรั่วของรหัสผ่านทั่วไปคือธรรมชาติของลิงก์ Gyazo เอง ทุกภาพที่จับได้จะมีลิงก์ที่สร้างจากรหัสภาพความยาว 32 อักขระ หน้าช่วยเหลือของ Gyazo อธิบายว่าภาพจะเป็นส่วนตัวจนกว่าจะมีการแชร์ลิงก์ ใครก็ตามที่มีลิงก์จะเปิดดูได้ และรหัสนั้น “ยาวพอจนเดาไม่ได้” เมื่อรหัสภาพที่เป็นเกราะป้องกันชั้นเดียวนี้รั่วออกไป ภาพที่ผู้ใช้ตั้งค่าไว้แบบค่าเริ่มต้นจึงเสี่ยงถูกเปิดดูโดยผู้ที่ได้รหัสไป ยิ่งไปกว่านั้น ผู้โจมตียังได้รายการที่ระบุว่าภาพใดเป็นภาพส่วนตัว และบริษัทระบุว่า “ไม่อาจตัดความเป็นไปได้” ที่บุคคลภายนอกจะเปิดดูภาพส่วนตัวบางภาพไปแล้ว
ผลกระทบ
ผลกระทบมีสองชั้นซ้อนกัน ชั้นแรกคือข้อมูลบัญชีแบบมาตรฐาน — อีเมลและค่าแฮชรหัสผ่าน 23.62 ล้านรายการเปิดช่องให้เกิดการนำรหัสผ่านที่ใช้ซ้ำไปทดลองล็อกอินบริการอื่น (credential stuffing) โดยเฉพาะเมื่อผู้ใช้จำนวนมากใช้รหัสเดียวกันหลายเว็บ ส่วนโทเค็นเชื่อมบัญชี X และเซสชันล็อกอินที่หลุด หากยังใช้งานได้ ก็อาจถูกนำไปสวมสิทธิ์บัญชีได้โดยไม่ต้องรู้รหัสผ่าน ซึ่ง Helpfeel ระบุเพียงว่าได้ “ยกเลิกและจำกัด” ข้อมูลยืนยันตัวตนที่จำเป็นแล้ว แต่ไม่ได้บอกชัดว่ารายการใดถูกเพิกถอนบ้าง
ชั้นที่สองซึ่งอันตรายเฉพาะตัวคือเนื้อหาของภาพเอง Gyazo เป็นเครื่องมือจับภาพหน้าจอที่คนจำนวนมากใช้แชร์ภาพอย่างรวดเร็ว ภาพเหล่านั้นจึงมักมีข้อมูลอ่อนไหวติดมาโดยไม่ตั้งใจ เช่น บทสนทนา ข้อมูลภายในองค์กร หรือเอกสาร เมื่อข้อความ OCR ตำแหน่ง EXIF และรหัสภาพหลุดพร้อมกัน ผู้ไม่หวังดีจึงมีทั้งดัชนีสำหรับค้นหาว่าภาพใดน่าสนใจ และกุญแจสำหรับเปิดดูภาพนั้น สำหรับบัญชีฟรีที่ดูภาพเก่าย้อนหลังได้เพียง 10 ภาพล่าสุด แต่ภาพเก่ากลับไม่ถูกลบและยังเข้าถึงได้ผ่าน URL การรั่วครั้งนี้จึงเท่ากับเปิดคลังภาพสะสมหลายปีของผู้ใช้ให้ผู้ที่ถือรหัสภาพ
คำแนะนำ
ผู้ใช้ Gyazo ควรเปลี่ยนรหัสผ่านของบัญชี Gyazo ทันที และถ้าเคยใช้รหัสเดียวกันนี้กับบริการอื่นให้เปลี่ยนทุกที่ พร้อมเปิดการยืนยันตัวตนสองขั้นตอนในบริการที่รองรับ เพื่อลดความเสี่ยงจากการนำรหัสไปทดลองล็อกอินซ้ำ ควรระวังอีเมลหรือข้อความฟิชชิงที่อ้างถึงเหตุการณ์นี้หรือแอบอ้างเป็น Gyazo เพราะข้อมูลอีเมลที่หลุดมักถูกใช้ตั้งต้นแคมเปญหลอกลวง ผู้ที่เคยอัปโหลดภาพที่มีข้อมูลอ่อนไหว เช่น ภาพหน้าจอเอกสารภายในหรือบทสนทนา ควรพิจารณาว่าเนื้อหานั้นอาจถูกเปิดดูได้ และดำเนินการตามความเหมาะสม เช่น เปลี่ยนข้อมูลที่ปรากฏในภาพหากยังใช้งานอยู่ ส่วนองค์กรที่มีพนักงานใช้ Gyazo แชร์ภาพงานควรแจ้งเตือนภายในและทบทวนว่ามีข้อมูลลับรั่วผ่านช่องทางนี้หรือไม่