2026-09-19

가야조(Gyazo) 유출로 2019년 이전에 올린 사진의 EXIF 위치 정보까지 새어나갔습니다 — 업로드 전 메타데이터 제거가 실제로 막아주는 것

2026년 9월 16일, 스크린샷·이미지 공유 도구 가야조(Gyazo)를 운영하는 헬프필(Helpfeel Inc.)은 공지를 통해, 공격자가 9월 11일 가야조의 이미지 업로드 서버에 있던 취약점을 이용해 임의 명령을 실행하고 데이터베이스에 접근했다고 밝혔습니다. 회사 측 집계에 따르면 약 2,362만 건의 사용자 계정 기록과 약 4억 9천만 건의 이미지 메타데이터 기록이 노출됐으며, 그중 대다수는 2019년 1월 이전에 업로드된 이미지와 연결돼 있었습니다. 더 해커 뉴스(The Hacker News)도 공지가 나온 당일 같은 수치를 보도했습니다. 헬프필은 같은 날 저녁에 침입을 감지해 몇 시간 안에 공격자의 접근을 차단했고, 9월 14일에는 무단 유출 사실을 확인했으며, 9월 15일에는 일본 개인정보보호위원회(Personal Information Protection Commission)에 사고를 신고한 뒤 16일에 공지를 발표했다고 설명합니다. 공지는 "가야조 이용자와 그 밖의 영향을 받은 모든 분들께 큰 심려를 끼쳐드린 점 진심으로 사과드립니다"라고 밝혔고, 공격자가 일부 비공개 이미지를 실제로 열람했을 가능성을 배제할 수 없다고 덧붙였습니다 — 조사가 진행되는 동안 해당 이미지들의 열람을 일시적으로 막은 이유이기도 합니다.

이 유출 사고를 여기서 다시 짚어볼 가치가 있는 이유는 규모 때문이 아닙니다. 데이터의 나이 때문입니다. 노출된 메타데이터 대부분은 침입이 일어나기 7년 또는 그 이상 전에 업로드된 이미지에 딸린 것들이었습니다 — 이번 유출은 물론이고, 애초에 스크린샷 도구가 사진 자체 옆에 무엇을 함께 보관하는지를 사람들이 신경 쓰기 한참 전에 올린 것들이라는 뜻입니다. "언제 이걸 올렸는가"와 "언제 그것이 새어나갈 수 있는가" 사이의 그 간격이, 업로드 전에 실행하는 메타데이터 제거 도구가 0으로 줄이도록 만들어진 부분이며, 정확히 어떻게 줄이는지 — 그리고 정확히 어디서부터는 더 이상 소용이 없는지를 분명히 밝힐 가치가 있습니다.

헬프필이 밝힌 노출 메타데이터의 실제 내용

공식 공지는 노출된 메타데이터 항목을 직접 나열합니다 — 이미지 ID, 업로더의 출처 IP 주소, User-Agent 문자열, EXIF 위치 데이터, 이미지에서 추출한 OCR 텍스트, 이미지 제목, 출처 URL, 그리고 비공개로 설정된 이미지의 경우 해시 처리된 패스프레이즈입니다. 공격자는 별도로 표적 필터링을 이용해 이 일반 집합 바깥에 있는 약 240만 건의 추가 이미지 메타데이터에도 접근한 것으로 알려졌습니다. 이 항목들 자체는 특이한 것이 아닙니다 — 이미지 호스팅 서비스가 파일을 저장할 때 그 옆 데이터베이스 행에 함께 남겨두곤 하는 몇 가지 항목일 뿐입니다. 다만 "EXIF 위치 데이터"는 구체적으로, 사진을 찍는 순간 휴대폰이나 카메라가 새겨 넣은 GPS 좌표가 원본 업로드 뒤 몇 년이 지나도록 그 자리에 그대로 남아, 서버 쪽 유출 사고 한 번이 그 데이터베이스 전체를 외부 누군가가 대량으로 읽을 수 있는 것으로 바꿔놓기를 기다리고 있었다는 뜻입니다.

업로드 전 스크럽이 실제로 바꾸는 부분

NearScrub은 파일이 기기를 떠나기 전, 브라우저 안에서만 전부 실행됩니다. JPEG나 PNG의 EXIF GPS 태그, XMP 블록, IPTC 필드가 그 시점에 이미 제거돼 있다면, 가야조 같은 호스팅 서비스가 애초에 파일 옆에 저장할 "EXIF 위치 데이터"라는 것 자체가 존재하지 않습니다 — 호스팅 서비스가 그 값을 잘 보호하겠다고 약속해서도, 나중에 지워줘서도 아니라, 애초에 보관할 데이터를 건네받은 적이 없기 때문입니다. 도착할 때 비어 있던 필드는 유출될 수 없습니다. 이것이 메커니즘의 전부이고, 동시에 그 한계이기도 합니다 — 이는 오직 메타데이터가 이미 사라진 뒤에 이루어지는 업로드에만 도움이 됩니다. 오늘 이미 서버에 원본 메타데이터가 그대로 담긴 채 놓여 있는 파일에는 아무 도움이 되지 않습니다 — 헬프필 스스로 밝힌 바에 따르면, 이번 유출보다 몇 년이나 앞서 업로드된 수백만 건의 이미지가 그런 경우입니다. 2018년에 이미 어딘가로 보낸 사진을 시간을 거슬러 올라가 지금 스크럽할 방법은 없습니다.

이것이 막지 못했을 것, 그리고 애초에 막는다고 말한 적 없는 것

유출된 나머지 항목에 대해서도 똑같이 분명히 말할 가치가 있습니다. 대부분은 파일의 메타데이터와 아무 관계가 없기 때문입니다. 헬프필이 나열한 사용자 계정 항목 — 이름, 이메일 주소, 비밀번호 해시, 기기 ID, 세션 ID, 연동된 X(트위터)·구글 로그인 토큰, 구독·결제 상태 — 은 이미지 파일이 아니라 가야조 자체의 계정 시스템에 속한 데이터입니다. 메타데이터 스크러버는 계정 데이터베이스에 전혀 손대지 않습니다 — 업로드 전에 NearScrub으로 파일을 처리한다고 해서 그 파일을 올린 계정에 대해 호스팅 서비스가 저장하는 정보가 달라지지는 않으며, 이 도구는 비밀번호 관리자도, 재사용한 비밀번호를 바꾸는 일을 대신해주는 수단도 아닙니다. 헬프필이 함께 노출됐다고 밝힌 OCR 텍스트는 분명히 짚고 넘어가야 할 두 번째 별개의 사례입니다 — OCR은 이미지에 실제로 눈에 보이는 픽셀을 읽어냅니다. 이메일 스레드 스크린샷, 채팅 로그, 터미널에 붙여넣은 API 키 같은 것들입니다. 그 텍스트가 사진 자체에 눈으로 보이는 형태로 담겨 있다면, 어떤 메타데이터 도구도 그것을 지우지 못합니다. 메타데이터 도구는 픽셀을 편집하지 않기 때문입니다. NearScrub은 이미지를 감싸고 있는 눈에 보이지 않는 필드를 제거하는 도구이지, 이미지 자체가 보여주는 내용을 가려주도록 만들어진 적이 없으며, 이번 유출 사고가 그 범위를 바꾸지도 않습니다. 그리고 노출된 이미지 중 GIF 형식이 있었다면 — 가야조 자체 캡처 기능이 만들어내는 형식입니다 — NearScrub은 그 형식을 아예 다루지 않습니다. 지원 범위는 JPEG·PNG·PDF·Office/ODF 문서뿐입니다.

업로드 전에 EXIF/GPS를 제거하면 호스팅 서비스가 애초에 저장해야 할 항목에서 그 필드가 빠지고, 몇 년 뒤 그 서버가 유출 사고를 겪어도 노출될 목록에서도 빠집니다. 계정 데이터, 이미지 자체에서 읽힌 OCR 텍스트, 이미 메타데이터가 그대로인 채 업로드된 파일에는 아무 영향을 주지 못합니다.

정직한 요약

가야조 유출은 서버 쪽 이야기입니다 — 남의 업로드 인프라에 있던 취약점, 그 데이터베이스에 닿은 공격자, 그리고 이미지 자체가 누구에게도 더 이상 중요하지 않게 된 뒤로도 몇 년이나 그 메타데이터를 계속 보관하고 있던 계정 시스템의 이야기입니다. NearScrub은 그 어느 것에도 닿지 못합니다 — 호스팅 서비스의 서버를 패치할 수도, 이미 일어난 유출 사고에서 계정 기록을 지워달라고 요구할 수도, 스크러버를 거치기 전에 이미 업로드된 파일을 지금 와서 되돌려 스크럽할 수도 없습니다. NearScrub이 바꾸는 지점은 그 모든 것보다 앞선 곳에 있습니다 — 어딘가에 업로드되기 전에 스크럽된 사진이라면, 헬프필이 유출 목록에 넣을 수밖에 없었던 그 EXIF 위치 필드 자체가 애초에 존재하지 않으며, 그 말은 곧 7년 뒤 무슨 일이 벌어지더라도 그 데이터베이스 안에 그 필드가 남아 있을 수 없다는 뜻입니다.