Gyazoへの不正アクセス(2026年9月公表)
結論から
- 2026年9月11日、画像アップロードサーバーの脆弱性を悪用され、システム上で任意のコマンドを実行されました。データベースから情報が外部に流出しています。
- 流出したのはユーザーに関するデータ約2,362万件(うち約1,801万件はメールアドレスのない匿名ユーザー)と、画像のメタデータです。メタデータは約4.9億件(主に2019年1月以前のアップロード)、削除済み画像の約1.74億件などで、区分が違います。
- サービスは一時停止し、2026年9月27日に再開しました。過去の画像はいったん本人だけが見られる状態にし、利用者が確認してから公開を戻す方式をとっています。
概要
- 公表日
- 2026年9月16日
- 発生
- 2026年9月11日
- 検知・発覚
- 2026年9月11日
- 最新の公表
- 2026年9月25日
- 組織・業種
- Helpfeel「Gyazo」(画像共有SaaS / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- ユーザーに関するデータ約2,362万件(匿名約1,801万件・メール登録あり約562万件)。画像のメタデータ約4.9億件(主に2019年1月以前のアップロード)、条件を絞って取得された約240万件、削除済み画像のメタデータ約1.74億件(主に2023年2月以前の削除。第二報で判明)。画像ファイルそのものの件数ではない
- 業務への影響
- 二次被害を防ぐためサービスを一時停止し、2026-09-27に再開。過去の画像は本人のみ閲覧できる状態に変更
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 会社が個人情報保護委員会に2026-09-15に速報を提出。総務省、海外のデータ保護当局にも報告
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
第一報によると、2026年9月11日、画像アップロードサーバーにあった脆弱性を悪用され、第三者が会社のシステム上で任意のコマンドを実行しました。第三者はGyazoのデータベースにアクセスし、ユーザー情報と画像のメタデータを外部に持ち出しています。
脆弱性の具体的な内容は公表されていません。会社は、侵入経路を遮断し、原因となった脆弱性の修正を完了したとしています。
同じ会社の「Helpfeel」と「Cosense」は別のシステム構成で、今回の侵入経路とはつながっていないとしています。両サービスでは不正アクセスの痕跡も情報漏えいも確認されていません。
影響
ユーザーに関するデータは約2,362万件です。うち約1,801万件(約76%)はメールアドレスを登録していない匿名ユーザーで、メールアドレスの登録があるのは約562万件(約24%)です。項目は名前(任意の文字列)、メールアドレス、パスワードのハッシュ値、ログインセッションID、X連携用トークンなどで、ユーザーごとに異なります。カード番号などの決済情報は含まれていません。
画像のメタデータ(画像ID、アップロード元IPアドレス、位置情報、OCRテキストなど)は、区分ごとに公表されています。第一報の約4.9億件は主に2019年1月以前にアップロードされた画像の分(全体の約14.4%)で、ほかに条件を絞って取得された約240万件があります。第二報で新たに分かったのは、主に2023年2月以前に削除された画像の約1.74億件(約5.1%)です。
報道では「1.74億件」と「4.9億件」が並んで出ますが、公式の資料では別の区分です。合計は公表されていません。いずれもメタデータの件数で、画像ファイルそのものの流出件数ではありません。
メタデータには画像URLを作る情報が含まれ、非公開画像のファイル一覧も取得されていました。会社は、一部の非公開画像が閲覧された可能性を完全には否定できないとしています。業務面では、サービスを一時停止しました。二次被害は2026年10月9日時点で確認されていません。
会社の対応と再発防止策
会社は対策本部を置き、侵入経路の遮断と脆弱性の修正を終えました。流出した認証関連の情報は、悪用できるかを確かめたうえで無効化や利用制限をしています。X連携用トークンを含むOAuth連携の認証情報も無効にしました。
流出した情報で画像が見られないよう、一部画像の閲覧を止めました。2026年9月27日の再開時には、不正アクセス以前の画像をすべて本人だけが見られる状態にしています。利用者が内容を確認し、自分で「配信を再開する」を選ぶ方式です。
利用者にはパスワードの変更と、同じパスワードを使い回している他サービスでの変更を求めています。個人情報保護委員会への速報(9月15日)のほか、総務省と海外のデータ保護当局にも報告しました。
今後の対策として、サービス全体のリスク評価、外部の専門家を含む体制づくり、開発者向けのセキュリティ教育、認証・認可とアクセス制御の見直し、監視の強化を挙げています。外部専門機関によるフォレンジック調査は続いており、第三報は2026年10月9日時点で公表されていません。
この事案から学べること
- 利用者がファイルを上げる窓口は、外から最も触られやすい場所です。そこでコマンドを実行されると、データベースまで届きます。
- 削除した画像のメタデータも残っていて、流出しました。消したつもりのデータがどこに残るかを把握しておく必要があります。
- 件数は区分ごとに読む必要があります。「何の件数か」を書かずに数字だけ伝えると、受け手が混乱します。
- 公開範囲を一律に戻さず、利用者が確認してから戻す方式は、二次被害を抑える一つのやり方です。
自社で確認すること
- 1 ファイルのアップロードを受け付けるサーバーを、脆弱性診断の対象に入れていますか?
- 2 利用者が削除したデータや付随情報が、どこにどれだけ残るかを把握していますか?
- 3 社員が業務の画面キャプチャを外部の共有サービスに上げていないか、ルールを決めていますか?
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
利用しているSaaS・他社製ソフト
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
- バルテック (2026年10月22日) 業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
関連する事案
よくあるご質問
- Gyazoのメタデータの件数は1.74億件ですか、4.9億件ですか?
- どちらも公式の数字で、区分が違います。約4.9億件は主に2019年1月以前にアップロードされた画像のメタデータ(第一報)、約1.74億件は主に2023年2月以前に削除された画像のメタデータ(第二報で判明)です。合計は公表されていません。
- 画像そのものも流出したのですか?
- 会社が公表している件数は、画像のメタデータの件数です。画像ファイルそのものの流出件数ではありません。ただし非公開画像のファイル一覧が取得されており、一部の非公開画像が閲覧された可能性は完全には否定できないとしています。
出典
- 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び(第一報) ↗ (株式会社Helpfeel、2026-09-16)
- 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び(第二報) ↗ (株式会社Helpfeel、2026-09-25)
- 「Gyazo」サービス再開のお知らせ ↗ (株式会社Helpfeel、2026-09-27)
- Gyazo、不正アクセスで続報。過去に削除された画像のメタデータ約1.74億件も流出 ↗ (INTERNET Watch)
- Gyazo 不正アクセス(続報) ↗ (ScanNetSecurity、2026-09-28)