Gyazoへの不正アクセス、133人の画像432件が第三者に閲覧・取得される―Helpfeelが第三報で侵入原因を公表

株式会社Helpfeelは2026年10月21日、画像共有サービス「Gyazo」への不正アクセスについて、外部のセキュリティ専門機関によるフォレンジック調査の結果を公表しました。これまで主にユーザー情報や画像メタデータの流出が報告されていましたが、追加調査により、133人のユーザーが所有する432件の画像ファイルについて、第三者による閲覧・取得が判明しました。

侵入原因は、アップロードした画像・動画の変換処理に存在した脆弱性です。攻撃者はサーバー上で任意のコマンドを実行し、内部のデータベースから大量のデータを読み取って外部へ送信していました。Helpfeelは原因となった脆弱性を9月12日に修正済みとしています。

Gyazo不正アクセス第三報のサマリー

• 公表日：2026年10月21日。10月20日時点で確認された事項を取りまとめた第三報です。
• 画像ファイルへの被害：133人が所有する432件の画像について、第三者による閲覧・取得を確認しました。
• ユーザー関連データ：約2,362万アカウント分。実人数ではなく、メールアドレス未登録の匿名アカウントを含みます。
• 画像に関するメタデータ：約4.9億件。別区分として条件を絞って取得された約240万件、削除済み画像に関する約1.74億件も示されています。
• 侵入時期：9月11日午後から12日未明。画像・動画の変換処理の脆弱性を悪用されました。
• 調査で大量のデータベース読み取りと外部への大容量通信を確認。一方、通信内容を記録したログがなく、外部送信された全データの項目・件数を直接確定することはできません。
• 対応：133人には対象画像を示して連絡済み。削除済み画像のメタデータに関して、連絡可能な約5万7,000アカウントにも順次通知する方針です。
• 「Helpfeel」「Cosense」のシステムへの不正アクセスや情報漏えいの痕跡は確認されておらず、10月20日時点で本件に起因する二次被害も確認されていません。

※画像メタデータの各区分について重複の有無が明示されていないため、単純合算した数値を「流出した画像数」として扱いません。また、約2,362万件は被害人数を表すものではありません。

133人が所有する432件の画像への閲覧・取得を確認

Helpfeelによると、外部の専門機関による調査結果を受けて追加調査を行ったところ、特定の133人のユーザーが保存していた画像432件について、第三者に閲覧・取得されたことが分かりました。対象者には対象画像を明示したうえで、すでに個別連絡を行っています。

今回の発表で画像ファイルへの具体的な被害が確認された一方、画像ファイルが大量に取得されたことを示す記録は見つかっていません。削除済み画像のファイル本体についても、取得を示す記録は確認されていません。

ただし、流出したメタデータに含まれる画像URLを利用して、そのほかの画像が閲覧された可能性まで完全に否定されたわけではありません。このため、確認された432件以外の画像がすべて安全だったと断定することもできません。Helpfeelは不正アクセス前にアップロードされた画像の閲覧制限を維持しています。

なお、今回特定した133人の対象画像に「Helpfeel」「Cosense」の顧客情報は含まれていないと説明しています。

動画などの変換処理の脆弱性からデータベースへ侵入

外部専門機関による調査では、Gyazoの画像アップロードサーバーで、アップロードされた動画などを変換する際の入力値の処理に問題があったことが判明しました。本来データとして扱うべき外部入力がサーバーのコマンドとして解釈され、第三者が任意のコマンドを実行できる状態になっていたとしています。

攻撃者は2026年9月11日午後から12日未明にかけて、変換処理用のサーバーで不正な処理を実行し、内部環境を探索。そのサーバーから接続可能だったデータベースを大量に読み取り、外部サーバーへ情報を送信していたと認定されました。

専門機関は、データベースの読み取り記録と同じ時間帯に大容量の外部通信があったことを確認したものの、送信データの内容を直接記録したログはなく、流出したデータの項目・数量を完全に特定できたわけではありません。

Helpfeelは、今回の原因が委託先や外部ソフトウェア部品ではなく、自社で開発・運用するシステムの脆弱性だったと説明しています。侵入経路は9月12日未明までに遮断され、脆弱性は同日中に修正されました。調査対象の範囲では、ほかのシステムへの侵入拡大や再侵入用の不正プログラムの残置を示す記録はありませんでした。

約4.9億件の画像メタデータと432件の画像ファイルは別の被害

9月16日の第一報、9月25日の第二報では、約2,362万アカウント分のユーザー関連データと、大量の画像メタデータが流出の対象として公表されていました。画像メタデータには画像URLなどが含まれ得ますが、メタデータへのアクセスは直ちに画像ファイル本体の取得を意味しません。

第二報で明らかになった削除済み画像のメタデータ約1.74億件も、画像そのものが1.74億枚流出したという意味ではありません。これらの件数や、メールアドレス未登録の匿名アカウントを含む内訳については、セキュリティ対策LabのGyazo不正アクセス第二報の記事で整理しています。

ユーザー関連データには、アカウントごとに異なる情報が含まれ、パスワードについては平文ではなくハッシュ値が対象です。クレジットカード番号などの決済情報は今回の流出対象に含まれていないとしています。

削除済み画像のメタデータは60日で自動削除へ

Helpfeelは、削除済み画像のファイル本体とは別にメタデータを保持していたことについて、運用方針の見直しを発表しました。今後は、削除済み画像に関するメタデータを画像削除から60日が経過した時点で自動消去するポリシーを適用します。

過去に削除された画像のメタデータについても、法令に基づく保全や関係当局への報告に支障のない範囲で順次消去します。退会済みユーザーの情報を含む操作記録にも保持期間を設定する方針です。

あわせて、削除済み画像のメタデータの影響対象とみられ、連絡先メールアドレスが確認できる約5万7,000アカウントに対し、10月21日の発表後、順次個別通知するとしています。この約5万7,000件は、画像ファイル432件の閲覧・取得が確認された133人とは異なる集計です。

Gyazoは9月27日に再開、過去画像の公開再開は利用者が判断

Gyazoは9月27日にサービスを再開しました。ただし、不正アクセス以前の画像は原則として所有者本人のみが閲覧できる状態となっており、「Gyazo Teams」の画像については同一チームのメンバーも閲覧できます。

ユーザーが画像内容と以前の公開範囲を確認し、必要な画像だけ配信を再開する運用を恒久的に維持します。Helpfeelが一律に過去画像を元の公開状態へ戻すことはありません。操作方法と再開時の注意点は、Gyazoのサービス再開に関する記事で取り上げています。

利用者と企業が確認したい対策

個人利用者は、第三報を受けてHelpfeelから個別連絡が届いていないかを確認し、対象画像が示されている場合は、その内容に応じて連絡先やアカウントなどの保護を検討してください。Gyazoのパスワードを事件発生後に変更していない場合や、同じ・類似のパスワードを他サービスでも使用している場合は、それぞれ変更します。

同社は今回の案内メールでURLへのアクセスやリンク先での操作を求めないと説明しています。メールに記載されたリンクから認証情報を入力するのではなく、通常利用する公式サイトやアプリから直接確認してください。

企業の情報システム部門は、社内Wiki、チャット、開発チケット、手順書、サポート対応履歴などでGyazoを利用していたかを調べ、外部に公開した画像にAPIキー、認証情報、顧客情報、管理画面、社内文書が含まれていないかを優先的に点検します。該当する情報があれば、単に画像を非公開にするだけでなく、認証情報の無効化・再発行や取引先への連絡など、画像の内容に応じた対応を判断します。

また、過去画像が表示されないからといって全画像を一括で再公開するのではなく、業務上必要な画像を選別し、以前の公開範囲と内容を確認することが安全です。画像共有サービスの利用状況を把握し、機密データを含むスクリーンショットの保管先や共有権限、削除後のメタデータ保持方針も確認できます。

Helpfeelは、ソースコードの静的解析、アクセス制御とログ監視の強化、外部専門機関による脆弱性診断、SOCの設置などを再発防止策に挙げています。10月20日時点では本件に起因する二次被害は確認しておらず、流出情報の監視を少なくとも1年間継続するとしています。

出典

• 「Gyazo」への不正アクセスによる情報漏えいに関する調査結果のご報告とお詫び（第三報、2026年10月21日）―株式会社Helpfeel
• 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報、2026年9月25日）―株式会社Helpfeel
• 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第一報、2026年9月16日）―株式会社Helpfeel