画像共有サービス「Gyazo」を運営する株式会社Helpfeel（京都市）は2026年9月16日、Gyazoが第三者による不正アクセスを受け、ユーザーに関する情報約2,362万件と、アップロードされた画像に関するメタデータ約4.9億件が外部に流出したことを確認したと発表した。侵入の起点となったのは画像アップロードサーバーに存在した脆弱性で、第三者はこれを悪用して同社システム上で任意のコマンドを実行していた。流出したメタデータには画像URLを構成する情報が含まれており、同社は一部の画像の閲覧を一時的に無効化している。
9月11日に侵入、検知から公表まで5日
同社の公表によると、不正アクセスが発生したのは9月11日。Gyazoの画像アップロードサーバーの脆弱性が悪用され、第三者が同社のシステム上で任意のコマンドを実行できる状態に至った。同社は同日夜に不正な挙動を検知して調査と対応を開始し、9月12日未明までに確認された侵入経路の遮断と、第三者による不正な接続の切断を実施。原因となった脆弱性の修正も同日に完了したとしている。
その後の調査で、第三者がGyazoのデータベースにアクセスし、ユーザー情報とメタデータを持ち出していた事実が判明した。同社は9月14日にこれを確認し、二次被害防止を最優先として画像配信の停止などの措置を取っている。9月15日には追加措置を実施したうえで、対策完了後に新たにアップロードされた画像の配信を再開し、あわせて個人情報保護委員会への報告を行った。公表はその翌日の9月16日である。侵入の検知から公表まで5日、流出の確認からは2日という経過をたどった。
2,362万件の中身と、パスワードの「使い回し」リスク
流出が確認されたユーザー情報は約2,362万件。含まれる項目は、名前（ユーザーが指定する氏名やニックネーム等の任意の文字列）、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X（旧Twitter）連携用トークン、Google SSO（シングルサインオン）のメールアドレス、プロフィール情報、登録日時、最終ログイン日時、契約プラン、課金ステータス、利用統計など多岐にわたる。該当する情報の種類と範囲はユーザーごとに異なるとされる。
注意したいのは、この2,362万件が「被害者数」ではないという点だ。同社は、この件数にはメールアドレス等を登録していない匿名アカウントも含まれており、実際に個人情報の流出対象となる人数は調査中であると明記している。一方で、クレジットカード番号などの決済情報は流出していないことを確認したとしている。
漏えいした認証関連の情報については、仕様と悪用可能性を精査したうえで無効化や制限といった対策を既に実施済みだという。それでも同社がGyazoの利用者に求めているのは、パスワードの変更である。同一または類似のパスワードを他のサービスでも使っている場合は、そちらも変更するよう呼びかけている。パスワードのハッシュ値が流出した以上、総当たりによる解析と、他サービスへのログイン試行（パスワードリスト攻撃）に発展する余地は残る。
「メタデータだけ」では済まない画像流出
今回の事案でより厄介なのは、画像に関するメタデータ約4.9億件の流出のほうだ。対象は主に2019年1月以前に登録された画像に関するもので、画像に関するデータ全体の約14.4％にあたる。これに加えて、条件を絞って取得された約240万件の画像メタデータも流出している。
流出したメタデータに含まれるのは、画像ID（画像URLを構成する情報）、アップロード元IPアドレス、User-Agent、画像に含まれる場合は撮影場所を示すEXIF位置情報、画像内の文字を読み取ったOCRテキスト、画像タイトル、取得元URL、そして非公開画像のハッシュ化されたパスフレーズなどである。
つまり、画像そのものは持ち出されていなくても、画像URLを組み立てるための情報が第三者の手に渡った。同社も、この情報を用いて対象の画像にアクセスし不正に閲覧される恐れがあると認めており、二次被害防止のため一部画像の閲覧を一時的に無効化している。さらに、非公開画像のファイル一覧が取得されていたことも確認されており、一部の非公開画像が第三者に閲覧された可能性を完全には否定できないとしている。現時点までの調査で、不正アクセスによる画像データの消失は確認されていない。
Gyazoはスクリーンショットの共有に使われることが多いサービスであり、業務中の画面をそのまま撮って共有する用途で使われるケースも多い。同社は発表文書のなかで、ここでいう「画像」がスクリーンショット、GIF、動画などGyazoでキャプチャ・保存されたコンテンツを指すと補足している。流出項目に画像のOCRテキストが含まれている点は軽視できない。画面に写り込んでいた文字列が、画像とは別のテキストデータとして抜き出されている構造だからだ。
なお、同社が提供する「Helpfeel」および「Cosense」はGyazoとは異なるシステム構成で運用されており、現時点までの調査で両サービスのシステムからの情報流出は確認されていない。ただしGyazoの画像配信停止の影響で、両サービス上に表示している一部の画像が閲覧できない場合があるという。
自社の情報が、他社のサーバに残っていないか
この事案から日本企業の情報システム部門が受け取るべき論点は二つある。
一つは、外部サービスに預けた「画面」の扱いだ。スクリーンショット共有ツールは、導入のハードルが低く、部門やチームの判断で使われ始めることが多い。管理画面、社内システム、顧客とのやり取り、契約書類——業務で撮られるスクリーンショットには、自社だけでなく取引先や顧客の情報が写り込む。今回流出したメタデータにOCRテキストと画像URLの構成情報が含まれていたことを踏まえると、「非公開設定にしてあるから大丈夫」という前提は、サービス側が侵害された時点で成立しなくなる。自社の情報が、どの外部サービスの、どのアカウントに、どれだけ蓄積されているのかを棚卸しできている組織は多くない。
もう一つは、侵入されたあとに気づくまでの速さだ。今回の起点は脆弱性の悪用による任意コマンド実行であり、侵入者はそこからデータベースへ到達している。同社は当日夜に不正な挙動を検知し、翌未明までに経路を遮断した。侵入を完全に防ぎきることを前提にした設計ではなく、「侵入された後にどれだけ早く気づき、どこまで動きを止められるか」が被害の広がりを分けるという構図が、ここでも繰り返されている。検知から遮断までの速度は、監視の体制をどこまで整えているかで決まる。
同社は今後、外部の専門機関によるフォレンジック調査を進めるとともに、認証・認可およびアクセス制御の見直し、監視・監査体制の強化、安全な設計・開発・レビュー体制の整備に取り組むとしている。調査は継続中で、影響を受けた可能性のあるユーザーへの個別連絡も、調査状況を踏まえて順次行う予定だという。
同じ手口に、自社は備えられていますか？