画像共有サービス「Gyazo」で不正アクセス、2360万件のアカウント情報と4.9億件の画像メタデータが流出

要点

• 画像共有サービス「Gyazo」において、アップロードサーバーの脆弱性を突いた不正アクセスにより、約2362万件のアカウント情報と約4億9000万件の画像メタデータが流出した。

• 流出したアカウント情報にはメールアドレスやパスワードハッシュなどが含まれる一方、クレジットカード番号をはじめとする決済情報は含まれていない。

• 画像メタデータには閲覧用URLを構成する画像IDやEXIF位置情報、OCRテキストが含まれており、第三者によって無断で画像が閲覧されるリスクが生じている。

• 非公開設定にされていた画像の一部が閲覧された可能性も否定できず、運営元のHelpfeelは一部画像の公開停止や認証情報の無効化を実施するとともに、ユーザーにパスワード変更を呼びかけている。

• 京都に拠点を置く株式会社Helpfeelは2026年9月16日、同社が運営するスクリーンショット・画像共有サービス「Gyazo」が第三者による不正アクセスを受けたと発表した。このインシデントにより、約2362万件のユーザーレコードおよび約4億9000万件に及ぶ画像のメタデータが外部に流出したことが明らかになった。攻撃者は画像アップロードサーバーの脆弱性を悪用してシステム上で任意のコマンドを実行し、データベースに侵入したという。

サーバー脆弱性を突いた侵入と大規模なアカウント情報流出

発表によると、攻撃者はGyazoの画像アップロードサーバーに存在していた脆弱性を突いて侵入を果たし、システム上で不正なコマンドを実行した上でデータベース内の情報へアクセスした。現時点で脆弱性の具体的な種類や詳細については公表されていない。

流出したユーザーレコードは約2362万件に達している。この件数にはメールアドレスを登録せずに利用していた匿名アカウントも含まれており、実際に個人情報が流出した対象者の総数については現在も調査が進められているという。

流出したユーザー情報に含まれる項目は以下の通りで、アカウントごとの利用状況によって含まれるデータは異なる。

• 氏名やニックネームなど、ユーザーが任意に入力したテキスト
• メールアドレス
• パスワードハッシュ（パスワードを不可逆な暗号化アルゴリズムで変換したデータ）
• ユーザーIDおよびデバイスID
• ログインセッションID
• X（旧Twitter）連携トークン（アカウントを連携していた場合）
• Google SSO（Googleアカウントを用いたシングルサインオン連携機能）で使用されたメールアドレス
• プロフィール情報、言語設定、登録日時、最終ログイン日時
• 契約プランおよび請求ステータス（決済状況）
• 利用統計データ

なお、クレジットカード番号をはじめとする支払い関連の情報については、今回のインシデントでの流出は確認されていないとHelpfeelは説明している。同社は流出した認証情報を精査し、無効化や利用制限といった必要な対策を講じたとしているが、具体的にどの項目が無効化されたのかは明らかにされていない。通常Gyazoでは新しいIPアドレスからのログイン時に認証コードをメール送信する仕組みが備わっているものの、漏洩したセッションIDが現在も有効であるかどうかについて言及はない。

4.9億件の画像メタデータ流出とURL推測リスク

今回の不正アクセスでは、アカウント情報に加えて約4億9000万件の画像メタデータレコードも流出した。これはHelpfeelが保有する画像関連データの約14.4%に相当し、主に2019年1月以前に登録された画像が対象となっている。これとは別に、特定の条件で抽出された約240万件の画像メタデータも取得されたことが判明しているが、抽出条件や対象時期の重複などに関する詳細は明かされていない。

流出したメタデータには、以下の情報が含まれていた。

• 画像ID（Gyazoの画像URLを生成するための識別情報）
• アップロード時のIPアドレスおよびユーザーエージェント（ブラウザや端末の識別情報）
• EXIF位置情報（写真データに付与される撮影場所の緯度経度情報、該当画像のみ）
• OCRテキスト（画像内の文字を自動認識してテキスト化したデータ）
• 画像タイトル、参照元URLなどのメタ情報
• 非公開画像用のパスフレーズハッシュ

Gyazoでは、各画像に32文字の文字列で構成される固有の画像IDが割り当てられ、そのIDを含むURLによって画像が共有される仕組みとなっている。ヘルプページによると、初期設定の画像はリンクを知っている人だけがアクセスできる仕様であり、「IDが十分に長いためURLの推測は不可能」と説明されてきた。しかし、今回この画像IDを含むメタデータが漏洩したことで、本来はリンクを知らないはずの第三者が画像を閲覧できる状態に陥った。無料プランのユーザーは自身の管理画面上で最新10件の画像しか一覧表示できないが、過去の画像自体は削除されずURLを知っていれば閲覧可能であるため、過去の古い画像も影響を受ける可能性がある。

非公開画像の閲覧可能性とユーザーへの対応要請

さらに攻撃者は、非公開設定が施された画像を特定するリストも入手していた。Helpfeelは「第三者によって一部の非公開画像が閲覧された可能性を排除できない」と述べている。Gyazoにおける非公開機能には、有料プラン向けに提供されている「自分のみ（Only me）」設定やパスワードによるロック機能が存在するが、今回の事案でどちらの設定がどのように閲覧された恐れがあるのかについての具体的な説明はなされていない。また、検索機能のために有料プランで提供されているOCR機能（「自分のみ閲覧可能」と案内されている機能）のテキストデータも流出対象に含まれている。

Helpfeelはさらなる被害の発生を防ぐため、一部の画像について一時的に閲覧を停止する措置を講じた。なお、調査の結果として画像データ自体の破損や消失は確認されていないという。どの画像が閲覧停止となっているかや、ユーザーが自身の画像が対象に含まれているかを確認する方法は明示されていない。

同社はすべてのGyazoユーザーに対し、パスワードの変更を行うとともに、同一または類似のパスワードを使い回している他のすべてのサービスでもパスワードを変更するよう強く要請している。あわせて、今回のインシデントに関連する不審なメールやメッセージへの警戒を怠らないよう呼びかけている。