Gyazoに不正アクセス ユーザー情報2,362万件と画像メタデータ4.9億件が流出

画像共有サービス「Gyazo」を運営する株式会社Helpfeelが、2026年9月16日、第三者による不正アクセスで利用者情報約2,362万件が外部に流出したと公表しました。画像に関するメタデータも約4.9億件が持ち出されており、そこには画像URLを構成する情報が含まれています。侵入経路の遮断と脆弱性の修正は完了しているものの、同社は利用者に対してパスワードの変更を呼びかけています。

発端は画像アップロードサーバーの脆弱性

侵入が起きたのは2026年9月11日です。Gyazoの画像アップロードサーバーに存在した脆弱性を突かれ、第三者がHelpfeelのシステム上で任意のコマンドを実行できる状態に持ち込まれました。任意コマンド実行は攻撃者がサーバーを自由に操作できることを意味するため、侵害の深さとしてはかなり重い部類に入ります。

同社は当日夜に不正な挙動を検知し、9月12日未明までに確認済みの侵入経路を遮断、不正な接続も切断しました。原因となった脆弱性の修正もこの時点で完了しています。その後の調査で、攻撃者がGyazoのデータベースまで到達し、データを外部へ持ち出していた事実が判明しました。

公表までの動きを整理すると、次のような流れです。

検知から公表までが5日間という速さは、インシデント対応としては評価できる部分です。一方で、9月14日の時点で流出が確認されてから公表までに2日を要しており、その間に何が起きていたのかは続報を待つことになります。

流出した利用者情報にセッションIDと連携トークンが含まれる

流出が確認された利用者データは約2,362万件です。含まれる項目は名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X（旧Twitter）連携用トークン、Google SSOのメールアドレス、プロフィール情報、利用言語、登録日時、最終ログイン日時、契約プラン、課金ステータス、利用統計と、かなり広い範囲に及びます。クレジットカード番号などの決済情報は含まれていないことが確認されています。

このリストで気になるのは、パスワードのハッシュ値よりもむしろログインセッションIDとX連携用トークンです。ハッシュ値は解析に手間がかかりますが、セッションIDやアクセストークンは、有効なうちはそれ自体が鍵として機能します。Helpfeelは漏えいした認証関連の情報について仕様と悪用可能性を精査したうえで、無効化や制限といった対策を既に実施したとしています。

なお約2,362万件という数字には、メールアドレスを登録していない匿名アカウントも含まれます。したがって個人情報の流出対象となる実際の人数はこれより少なくなる見込みで、その特定は現在も調査中です。

画像メタデータ4.9億件のほうが影響は読みにくい

もう一つの流出が、画像に関するメタデータ約4.9億件です。主に2019年1月以前に登録された画像が対象で、画像データ全体の約14.4パーセントに相当します。これに加えて、条件を絞って取得された約240万件分のメタデータも持ち出されています。

メタデータの中身は、画像ID、アップロード元のIPアドレス、User-Agent、画像に含まれていた場合のEXIF位置情報、画像のOCRテキスト、画像タイトル、取得元URLなどです。非公開画像のパスフレーズもハッシュ化された形で含まれていました。

問題は、画像IDがそのまま画像URLを構成する情報だという点です。URLを知っていれば閲覧できる設計のサービスでは、IDの流出はそのまま画像そのものへの到達を許します。Helpfeelは二次被害を防ぐため一部画像の閲覧を一時的に無効化し、対策完了後にアップロードされた画像から配信を再開しています。同社は非公開画像のファイル一覧が取得されていたことも確認しており、一部の非公開画像が第三者に閲覧された可能性は完全には否定できないとしています。

OCRテキストが含まれている点も見落とせません。Gyazoはスクリーンショットをワンアクションで共有できる手軽さから、作業画面やチャットの一部をそのまま貼る用途で広く使われてきました。画像の中身が文字として読める形で残っているなら、メタデータだけでも相当量の内容が推測できる可能性があります。

同社が提供する「Helpfeel」と「Cosense」はGyazoと異なるシステム構成で動いており、現時点でこれらからの情報流出は確認されていません。ただしGyazo経由で画像を表示していた箇所は、配信停止の影響で一部が見えない状態になっています。

利用者側で取れる対策

Helpfeelは影響を受けた可能性のある利用者へ、登録メールアドレス経由で個別に案内を送る予定です。匿名アカウントなどメールが届かない場合は、サービス画面上での告知に切り替えるとしています。

利用者側でまずやるべきはパスワードの変更です。そして同じパスワードや似たパスワードを他のサービスで使い回している場合は、そちらも合わせて変えておく必要があります。パスワードのハッシュ値が出ている以上、時間をかけて解析されたあとに他サービスへ流用される、いわゆるパスワードリスト攻撃の材料になり得ます。

もう一点、本件に便乗した不審なメールやメッセージにも注意が必要です。メールアドレスが流出しているため、Gyazoの案内を装ったフィッシングが届く可能性があります。パスワード変更は必ず自分でサービスにアクセスして行い、メール本文中のリンクからは操作しないようにしてください。

過去に業務上のスクリーンショットをGyazoへ上げた記憶がある場合は、公開範囲の設定を確認し、残しておく必要のないものは整理しておくのが無難です。

まとめ

Gyazoで発生した今回の不正アクセスは、利用者情報約2,362万件と画像メタデータ約4.9億件という規模で、画像URLを構成する情報まで含まれている点が特徴です。決済情報は含まれていないものの、セッションIDや連携トークン、非公開画像への到達可能性といった扱いの難しい情報が並びます。Helpfeelは外部専門機関によるフォレンジック調査を進めており、認証・認可の見直しや監視体制の強化も表明しています。利用者はまずパスワードの変更と使い回しの解消を済ませ、続報を確認していくのが現実的な対応になります。