# Gyazoへの不正アクセス(2026年9月公表)

> 2026年9月16日に公表された「Gyazo」への不正アクセスについて、画像アップロードサーバーの脆弱性という原因、ユーザーデータ約2,362万件と画像メタデータ約4.9億件・削除済み約1.74億件の区分、サービス停止と再開を出典つきでまとめました。2026年10月9日時点。

発行: 株式会社ウェステリア(https://westeria.jp) / 特集: 国内のデータ流出・不正アクセス事案まとめ(https://westeria.jp/security-incidents/) / 出典: https://westeria.jp/security-incidents/cases/gyazo-2026/

状態: 調査結果公表済み / 公開: 2026-10-06 / 最終更新: 2026-10-09

## 要点

- 2026年9月11日、画像アップロードサーバーの脆弱性を悪用され、システム上で任意のコマンドを実行されました。データベースから情報が外部に流出しています。
- 流出したのはユーザーに関するデータ約2,362万件(うち約1,801万件はメールアドレスのない匿名ユーザー)と、画像のメタデータです。メタデータは約4.9億件(主に2019年1月以前のアップロード)、削除済み画像の約1.74億件などで、区分が違います。
- サービスは一時停止し、2026年9月27日に再開しました。過去の画像はいったん本人だけが見られる状態にし、利用者が確認してから公開を戻す方式をとっています。

## 概要

- 公表日: 2026年9月16日
- 発生: 2026年9月11日
- 検知・発覚: 2026年9月11日
- 最新の公表: 2026年9月25日
- 組織・業種: Helpfeel「Gyazo」(画像共有SaaS / IT・SaaS・SI・BPO)
- 手口: [Webサービス・アプリ経由](https://westeria.jp/security-incidents/tactics/web-app/)、[利用しているSaaS・他社製ソフト](https://westeria.jp/security-incidents/tactics/saas-third-party/)
- 漏えいした情報・件数: ユーザーに関するデータ約2,362万件(匿名約1,801万件・メール登録あり約562万件)。画像のメタデータ約4.9億件(主に2019年1月以前のアップロード)、条件を絞って取得された約240万件、削除済み画像のメタデータ約1.74億件(主に2023年2月以前の削除。第二報で判明)。画像ファイルそのものの件数ではない
- 業務への影響: 二次被害を防ぐためサービスを一時停止し、2026-09-27に再開。過去の画像は本人のみ閲覧できる状態に変更
- 犯行グループ(企業・当局の認定): なし(攻撃者は公表されていない)
- 行政の対応: 会社が個人情報保護委員会に2026-09-15に速報を提出。総務省、海外のデータ保護当局にも報告
- 調査報告書・再発防止策: https://corp.helpfeel.com/news/news-20260925-01

## 経緯

- 2026年9月11日: 画像アップロードサーバーの脆弱性を悪用した不正アクセスが発生。同日夜に不正な挙動を検知 [1]
- 2026年9月12日: 未明までに侵入経路を遮断し、第三者の接続を切断 [1]
- 2026年9月15日: 個人情報保護委員会に速報を提出 [2]
- 2026年9月16日: 第一報。ユーザーに関するデータ約2,362万件と、画像のメタデータ約4.9億件などの流出を公表 [1]
- 2026年9月24日: メンテナンスのためサービスを一時停止 [1]
- 2026年9月25日: 第二報。削除済み画像のメタデータ約1.74億件の流出を新たに公表 [2]
- 2026年9月27日: サービスを再開。過去の画像は本人のみ閲覧できる状態にした [3]

## 侵入経路と原因

第一報によると、2026年9月11日、画像アップロードサーバーにあった脆弱性を悪用され、第三者が会社のシステム上で任意のコマンドを実行しました。第三者はGyazoのデータベースにアクセスし、ユーザー情報と画像のメタデータを外部に持ち出しています。

脆弱性の具体的な内容は公表されていません。会社は、侵入経路を遮断し、原因となった脆弱性の修正を完了したとしています。

同じ会社の「Helpfeel」と「Cosense」は別のシステム構成で、今回の侵入経路とはつながっていないとしています。両サービスでは不正アクセスの痕跡も情報漏えいも確認されていません。

## 影響

ユーザーに関するデータは約2,362万件です。うち約1,801万件(約76%)はメールアドレスを登録していない匿名ユーザーで、メールアドレスの登録があるのは約562万件(約24%)です。項目は名前(任意の文字列)、メールアドレス、パスワードのハッシュ値、ログインセッションID、X連携用トークンなどで、ユーザーごとに異なります。カード番号などの決済情報は含まれていません。

画像のメタデータ(画像ID、アップロード元IPアドレス、位置情報、OCRテキストなど)は、区分ごとに公表されています。第一報の約4.9億件は主に2019年1月以前にアップロードされた画像の分(全体の約14.4%)で、ほかに条件を絞って取得された約240万件があります。第二報で新たに分かったのは、主に2023年2月以前に削除された画像の約1.74億件(約5.1%)です。

報道では「1.74億件」と「4.9億件」が並んで出ますが、公式の資料では別の区分です。合計は公表されていません。いずれもメタデータの件数で、画像ファイルそのものの流出件数ではありません。

メタデータには画像URLを作る情報が含まれ、非公開画像のファイル一覧も取得されていました。会社は、一部の非公開画像が閲覧された可能性を完全には否定できないとしています。業務面では、サービスを一時停止しました。二次被害は2026年10月9日時点で確認されていません。

## 会社の対応と再発防止策

会社は対策本部を置き、侵入経路の遮断と脆弱性の修正を終えました。流出した認証関連の情報は、悪用できるかを確かめたうえで無効化や利用制限をしています。X連携用トークンを含むOAuth連携の認証情報も無効にしました。

流出した情報で画像が見られないよう、一部画像の閲覧を止めました。2026年9月27日の再開時には、不正アクセス以前の画像をすべて本人だけが見られる状態にしています。利用者が内容を確認し、自分で「配信を再開する」を選ぶ方式です。

利用者にはパスワードの変更と、同じパスワードを使い回している他サービスでの変更を求めています。個人情報保護委員会への速報(9月15日)のほか、総務省と海外のデータ保護当局にも報告しました。

今後の対策として、サービス全体のリスク評価、外部の専門家を含む体制づくり、開発者向けのセキュリティ教育、認証・認可とアクセス制御の見直し、監視の強化を挙げています。外部専門機関によるフォレンジック調査は続いており、第三報は2026年10月9日時点で公表されていません。

## この事案から学べること

- 利用者がファイルを上げる窓口は、外から最も触られやすい場所です。そこでコマンドを実行されると、データベースまで届きます。
- 削除した画像のメタデータも残っていて、流出しました。消したつもりのデータがどこに残るかを把握しておく必要があります。
- 件数は区分ごとに読む必要があります。「何の件数か」を書かずに数字だけ伝えると、受け手が混乱します。
- 公開範囲を一律に戻さず、利用者が確認してから戻す方式は、二次被害を抑える一つのやり方です。

## 自社で確認すること

- ファイルのアップロードを受け付けるサーバーを、脆弱性診断の対象に入れていますか?
- 利用者が削除したデータや付随情報が、どこにどれだけ残るかを把握していますか?
- 社員が業務の画面キャプチャを外部の共有サービスに上げていないか、ルールを決めていますか?
- 確認項目の全体: https://westeria.jp/security-incidents/guide/checklist/

## よくあるご質問

### Gyazoのメタデータの件数は1.74億件ですか、4.9億件ですか?

どちらも公式の数字で、区分が違います。約4.9億件は主に2019年1月以前にアップロードされた画像のメタデータ(第一報)、約1.74億件は主に2023年2月以前に削除された画像のメタデータ(第二報で判明)です。合計は公表されていません。

### 画像そのものも流出したのですか?

会社が公表している件数は、画像のメタデータの件数です。画像ファイルそのものの流出件数ではありません。ただし非公開画像のファイル一覧が取得されており、一部の非公開画像が閲覧された可能性は完全には否定できないとしています。

## 出典

1. [「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び(第一報)](https://corp.helpfeel.com/news/news-20260916-1)(株式会社Helpfeel、2026-09-16)
2. [「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び(第二報)](https://corp.helpfeel.com/news/news-20260925-01)(株式会社Helpfeel、2026-09-25)
3. [「Gyazo」サービス再開のお知らせ](https://corp.helpfeel.com/news/news-20260927-01)(株式会社Helpfeel、2026-09-27)
4. [Gyazo、不正アクセスで続報。過去に削除された画像のメタデータ約1.74億件も流出](https://internet.watch.impress.co.jp/docs/news/2143465.html)(INTERNET Watch)
5. [Gyazo 不正アクセス(続報)](https://scan.netsecurity.ne.jp/article/2026/09/28/56313.html)(ScanNetSecurity、2026-09-28)

## 関連ページ

- 2026年の事案一覧: https://westeria.jp/security-incidents/2026/
- 事案まとめ(ハブ): https://westeria.jp/security-incidents/

---

株式会社ウェステリアはAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。本ページは公式発表と報道で確認できた事実だけをまとめたものです。