Gyazoに不正アクセス、ユーザー関連データ約2,362万件と画像メタデータ約4.9億件の情報が漏洩-アップロードサーバーの脆弱性を悪用

株式会社Helpfeelは2026年9月16日、画像共有サービス「Gyazo(ギャゾー)」への不正アクセスにより、ユーザー関連データ約2,362万件と、画像に関するメタデータ約4.9億件などが外部へ流出したと公表しました。

不正アクセスは9月11日に発生しました。Helpfeelによると、Gyazoの画像アップロードサーバーに存在した脆弱性が悪用され、第三者が同社システム上で任意のコマンドを実行しました。

同社は9月11日夜に不審な挙動を検知し、翌12日未明までに確認された侵入経路を遮断して不正接続を切断しました。原因となった脆弱性の修正も完了しています。

その後の調査で、第三者がGyazoのデータベースへアクセスし、ユーザー情報と画像メタデータを外部へ持ち出していたことが判明しました。

流出したユーザー関連データには、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレスなどが含まれる場合があります。

また、主に2019年1月以前に登録された画像に関するメタデータ約4.9億件に加え、別条件で取得された約240万件の画像メタデータも流出しました。メタデータには画像ID、アップロード元IPアドレス、User-Agent、EXIF位置情報、OCRテキスト、画像タイトルなどが含まれます。

画像IDは画像URLを構成する情報であるため、流出した情報を使って対象画像へアクセスされる可能性があります。Helpfeelは一部画像の閲覧を一時的に無効化しています。

一方、約2,362万件にはメールアドレスなどを登録していない匿名アカウントも含まれており、実際に個人情報流出の対象となる人数は調査中です。クレジットカード番号などの決済情報は流出していないことを確認しています。

Gyazo不正アクセスのサマリー

確認できている内容：

• Helpfeelは2026年9月16日、Gyazoへの不正アクセスと情報漏えいを公表しました。
• 不正アクセスは9月11日に発生しました。
• Gyazoの画像アップロードサーバーに存在した脆弱性が悪用されました。
• 第三者がHelpfeelのシステム上で任意のコマンドを実行しました。
• Helpfeelは9月11日夜に不審な挙動を検知しました。
• 9月12日未明までに、確認された侵入経路を遮断し、不正接続を切断しました。
• 原因となった脆弱性は修正済みです。
• 第三者がGyazoのデータベースへアクセスしたことを確認しています。
• ユーザー関連データ約2,362万件が外部へ流出しました。
• 約2,362万件には匿名アカウントも含まれるため、個人情報流出の対象人数は確定していません。
• 主に2019年1月以前に登録された画像メタデータ約4.9億件が外部へ流出しました。
• 上記とは別に、条件を絞って取得された約240万件の画像メタデータも流出しました。
• 非公開画像のファイル一覧が取得されていたことを確認しています。
• 一部の非公開画像が第三者に閲覧された可能性を否定できません。
• 不正アクセスによる画像データの消失は確認されていません。
• クレジットカード番号などの決済情報は流出していません。
• HelpfeelとCosenseはGyazoとは異なるシステム構成で、両サービスのシステムからの情報流出は確認されていません。
• 9月15日に個人情報保護委員会へ報告しました。
• 外部専門機関によるフォレンジック調査を継続しています。

現時点で未確定・調査中の内容：

• 個人情報流出の対象となる実人数
• ユーザーごとに流出した情報項目
• 漏えいした認証関連情報の悪用有無
• 非公開画像が実際に閲覧された件数
• 画像そのものが外部へ保存・持ち出された件数
• 二次被害の有無
• 脆弱性の具体的な技術内容
• 攻撃者や攻撃グループの特定
• 不正アクセスの全継続時間
• 9月16日以降の追加影響

項目	内容
公表日	2026年9月16日
不正アクセス発生日	2026年9月11日
対象サービス	Gyazo
原因	画像アップロードサーバーの脆弱性
攻撃内容	脆弱性を悪用し任意コマンドを実行
ユーザー関連データ	約2,362万件
画像メタデータ	主に2019年1月以前の約4.9億件
追加の画像メタデータ	約240万件
非公開画像	ファイル一覧の取得を確認、一部閲覧の可能性を否定できず
画像データ消失	確認されず
決済情報	流出を確認せず
Helpfeel／Cosense	システムからの情報流出は確認されず
脆弱性	修正済み
個人情報保護委員会	9月15日に報告
調査	外部専門機関によるフォレンジック調査を継続

9月11日、画像アップロードサーバーの脆弱性を悪用

Helpfeelによると、不正アクセスは9月11日に発生しました。

攻撃者はGyazoの画像アップロードサーバーに存在した脆弱性を悪用し、Helpfeelのシステム上で任意のコマンドを実行しました。

同社は同日夜に不審な挙動を検知し、調査と対応を開始しています。

9月12日未明までに、

• 確認された侵入経路の遮断
• 第三者による不正接続の切断

を実施しました。

原因となった脆弱性の修正も9月12日までに完了しています。

Helpfeelは脆弱性の具体的な種類や、どのようなリクエストで任意コマンド実行に至ったかは公表していません。

そのため、CVEの有無、認証が必要だったか、アップロード処理のどの部分に問題があったかなどは現時点では確認できません。

第三者がGyazoのデータベースへアクセス

侵入経路を遮断した後の調査で、第三者がGyazoのデータベースへアクセスしていたことが判明しました。

Helpfeelは、ユーザー情報とアップロード画像に関するメタデータが外部へ流出した事実を確認しています。

今回の事案は「情報流出の可能性」ではなく、一部データについて外部流出が確認されたインシデントです。

一方、すべてのデータ項目がすべてのユーザーについて流出したわけではなく、対象となる情報の種類や範囲はユーザーごとに異なります。

ユーザー関連データ約2,362万件が流出

Helpfeelが確認したユーザー関連データの流出件数は約2,362万件です。

含まれる可能性がある情報は次のとおりです。

• 名前
• メールアドレス
• パスワードのハッシュ値
• 利用者ID
• 端末ID
• ログインセッションID
• X（旧Twitter）連携用トークン
• Google SSOのメールアドレス
• プロフィール情報
• 利用言語
• 登録日時
• 最終ログイン日時
• 契約プラン
• 課金ステータス
• 利用統計

名前は、ユーザーが指定した氏名やニックネームなど任意の文字列です。

また、X連携用トークンやGoogle SSOのメールアドレスは、該当サービスと連携していたユーザーに限られます。

課金ステータスにはクレジットカード番号などの決済情報は含まれません。

「約2,362万人の個人情報漏えい」ではない

約2,362万件という数字は、個人情報が漏えいした人数ではありません。

Helpfeelは、対象データにメールアドレスなどを登録していない匿名アカウントも含まれると説明しています。

そのため、

「2,362万人の個人情報が漏えいした」

と表現することはできません。

9月16日時点で、実際に個人情報流出の対象となった人数は調査中です。

情報漏えい記事では、アカウント数、データ件数、レコード数、対象人数を区別する必要があります。

パスワードのハッシュ値やセッションIDも対象

流出データにはパスワードのハッシュ値、ログインセッションID、X連携用トークンなど、認証に関連する情報が含まれます。

Helpfeelは、これらの認証関連情報について仕様と悪用可能性を精査し、必要な無効化・制限措置をすでに実施したとしています。

ただし、

• パスワードのハッシュ方式
• ソルトの有無
• セッションIDの有効期間
• X連携用トークンの権限
• 実際にトークンやセッションが悪用されたか

は公表されていません。

そのため、漏えいしたハッシュから直ちに平文パスワードが取得できる、流出したセッションIDが現在も利用できる、と断定することはできません。

Helpfeelは利用者に対してGyazoのパスワード変更を求めています。

同じまたは類似のパスワードを他サービスでも使っている場合は、他サービス側のパスワードも変更するよう案内しています。

約4.9億件の画像メタデータが流出

ユーザー情報とは別に、画像に関する大量のメタデータも外部へ流出しました。

Helpfeelによると、主に2019年1月以前に登録された画像に関するメタデータ約4.9億件が対象です。

この約4.9億件は、Gyazoの画像に関するデータ全体の約14.4％に相当します。

さらに、これとは別に条件を絞って取得された約240万件の画像メタデータも流出しました。

公式発表では、この約240万件が約4.9億件と重複するかどうかまでは明示していません。

そのため、「合計4億9,240万件の異なる画像メタデータが流出した」と単純合算して断定することは避けます。

EXIF位置情報やOCRテキストも含まれる

流出した画像メタデータには次の情報が含まれます。

• 画像ID
• アップロード元IPアドレス
• User-Agent
• EXIF位置情報
• 画像のOCRテキスト
• 画像タイトル
• 取得元URLなどのメタデータ
• 非公開画像のパスフレーズのハッシュ値

EXIF位置情報は、画像そのものに位置情報が含まれていた場合に対象になります。

OCRテキストは、画像内に含まれる文字を自動認識した結果です。

例えば、スクリーンショットに社内システム、氏名、メールアドレス、チャット、文書などが写り込んでいた場合、OCR結果にその内容が含まれる可能性があります。

ただし、どの画像のOCRテキストが流出したか、その中にどの程度の個人情報や機密情報が含まれていたかは公表されていません。

画像ID流出で対象画像へアクセスされるおそれ

Helpfeelが特に注意を示しているのが画像IDです。

流出した画像IDは、Gyazoの画像URLを構成する情報です。

このため、流出したメタデータを利用して対象画像へアクセスし、不正に閲覧されるおそれがあります。

Helpfeelは二次被害防止のため、一時的に一部画像の閲覧を無効化しました。

9月15日には、不正アクセス対策完了後に新たにアップロードされた画像について配信を再開しています。

非公開画像のファイル一覧も取得

Helpfeelは、非公開画像のファイル一覧が第三者に取得されていたことも確認しました。

また、一部の非公開画像が第三者に閲覧された可能性を完全には否定できないとしています。

ここで確認されているのは、

• 非公開画像のファイル一覧が取得されたこと
• 一部非公開画像が閲覧された可能性を否定できないこと

です。

「すべての非公開画像が流出した」「すべての画像ファイルが攻撃者に持ち出された」とは公表されていません。

Helpfeelは引き続き詳細を調査しています。

画像データの消失は確認されず

9月16日時点の調査では、不正アクセスによって画像データが消失した事実は確認されていません。

今回確認された主な影響は、情報の外部流出と、流出したメタデータを利用した画像アクセスの可能性です。

画像が削除・破壊された可用性への影響は、現時点では確認されていません。

漏えいした情報はどのように悪用される可能性があるか

今回のGyazo不正アクセスでは、メールアドレス、パスワードのハッシュ値、ログインセッションID、X連携用トークン、IPアドレス、EXIF位置情報、OCRテキスト、画像IDなど、複数種類の情報が流出しています。

Helpfeelは9月16日時点で具体的な二次被害を公表していません。そのため、以下は「実際に悪用された事実」ではなく、流出した情報の性質から想定されるリスクです。

メールアドレスやプロフィール情報を使った標的型フィッシング

メールアドレス、名前、利用状況などを組み合わせることで、GyazoやHelpfeelを装ったフィッシングメールに悪用される可能性があります。

例えば、

• 「セキュリティ対応のためパスワード変更が必要」
• 「流出対象アカウントの確認が必要」
• 「画像が第三者に閲覧されたためログインしてください」

など、今回のインシデントに便乗したメールが送られる可能性があります。

実際のサービス名や登録情報を含むメールは、無差別型フィッシングよりも受信者が信じやすくなります。

パスワードハッシュからの認証情報推測

流出情報にはパスワードのハッシュ値が含まれます。

ハッシュ値は通常、平文のパスワードそのものではありません。ただし、ハッシュ方式、ソルトの有無、ユーザーが設定していたパスワードの強度などによっては、オフラインでの解析により元のパスワードが推測される可能性があります。

特に、短いパスワード、辞書にある単語、過去の漏えいで使われたパスワードなどは推測されやすくなります。

同じパスワードを他のサービスでも使い回していた場合、攻撃者が別サービスへのログインを試みる「クレデンシャルスタッフィング」につながる可能性があります。

セッションID・連携トークンの悪用

ログインセッションIDやX連携用トークンは、認証後の状態や外部サービスとの連携に使われる情報です。

Helpfeelは認証関連情報について必要な無効化・制限措置を実施したとしていますが、流出時点で有効だったトークンがどの程度悪用可能だったかは公表されていません。

一般論として、セッション情報やOAuthトークンが有効な状態で第三者に取得された場合、パスワードを知らなくても利用者になりすまして操作される可能性があります。

画像IDから非公開・過去画像へアクセスされる可能性

今回流出した画像メタデータには、Gyazoの画像URLを構成する画像IDが含まれています。

Helpfeel自身も、流出した画像IDを利用して対象画像へアクセスされる可能性があるとして、一部画像の閲覧を一時的に無効化しました。

画像そのものに、

• 社内システムの画面
• 顧客情報
• チャット
• 開発中の製品
• アクセスキーやトークン
• サーバー情報
• 会議資料

などが写り込んでいた場合、画像閲覧を起点に別の情報漏えいへ発展する可能性があります。

OCRテキストから機密情報を検索される可能性

画像メタデータにはOCRによって抽出されたテキストも含まれています。

OCRテキストには、スクリーンショットに写っていた文字列が含まれる場合があります。

例えば、

• メールアドレス
• 社員名
• 顧客名
• URL
• IPアドレス
• APIキー
• チケット番号
• 社内システム名

などです。

画像を1枚ずつ確認しなくても、OCRテキストを検索することで、攻撃者が機密情報を効率的に探せる可能性があります。

EXIF位置情報による所在地・行動範囲の特定

一部画像にはEXIF位置情報が含まれる可能性があります。

位置情報付き画像が対象だった場合、

• 自宅
• オフィス
• 工場
• 研究施設
• 出張先
• 顧客先

などの位置を推測される可能性があります。

個人利用では生活圏の特定、企業利用では非公開拠点や業務場所の推測につながる場合があります。

IPアドレスやUser-Agentを使った環境把握

流出したメタデータには、アップロード元IPアドレスやUser-Agentも含まれています。

これらの情報から、

• 利用しているOS
• ブラウザ
• 社内ネットワークの出口IP
• VPN利用状況
• 特定組織からのアクセス傾向

などを推測される可能性があります。

単独では直ちに侵入につながる情報ではありませんが、他の漏えい情報と組み合わせることで標的型攻撃の精度を高める材料になります。

古い画像でもリスクが残る

約4.9億件のメタデータは、主に2019年1月以前に登録された画像に関するものです。

古いデータだから安全とは限りません。

過去のスクリーンショットに、

• 現在も使用しているメールアドレス
• 長期間変更されていない社内URL
• 現在も有効な顧客情報
• 過去から継続利用しているアカウント名

などが含まれている場合、現在の攻撃に利用される可能性があります。

企業利用者は、古い画像も含めて「現在も公開されて問題ないか」を確認する必要があります。

利用者が確認したい対応

Gyazo利用者は、今回の漏えいを前提に次の点を確認できます。

• Gyazoのパスワードを変更する
• 同じパスワードを使っている他サービスも変更する
• GyazoやHelpfeelを装ったメール・SMSに注意する
• 不審なログインや連携アプリがないか確認する
• 過去にアップロードした画像に機密情報が含まれていないか確認する
• 不要な画像は削除を検討する
• 位置情報や認証情報を含む画像を業務でアップロードしていなかったか棚卸しする

企業でGyazoを利用していた場合は、個人ユーザー単位ではなく、社内でどの部署がどの用途で利用していたかを確認した方が影響範囲を把握しやすくなります。

特に、開発部門、CSIRT、ヘルプデスク、営業、カスタマーサポートなどがスクリーンショット共有に利用していた場合、画像内に社内情報や顧客情報が含まれていないかを確認する必要があります。

クレジットカード番号などの決済情報は流出せず

Helpfeelは、クレジットカード番号などの決済情報について、今回の不正アクセスによる流出がないことを確認しています。

ユーザー関連データには契約プランや課金ステータスが含まれる場合がありますが、カード番号そのものなどの決済情報は含まれません。

そのため、

「Gyazoからカード番号が漏えいした」

とすることはできません。

HelpfeelとCosenseへの情報流出は確認されず

HelpfeelはGyazo以外に「Helpfeel」と「Cosense」を提供しています。

両サービスはGyazoとは異なるシステム構成で運用されており、9月16日時点の調査では、今回の不正アクセスによってHelpfeelやCosenseのシステムから情報が流出した事実は確認されていません。

一方、HelpfeelやCosense上でGyazoを利用して表示している画像については、Gyazo側の画像配信停止の影響により、一部表示できない場合があります。

これはHelpfeelやCosenseの情報流出ではなく、Gyazoの画像配信制限に伴う表示上の影響です。

9月14日に情報流出を確認

Helpfeelが公表した時系列は次のとおりです。

日付	内容
9月11日	Gyazoへの不正アクセス発生。調査と対応開始
9月12日	初期対応完了。侵入経路を遮断し、原因となった脆弱性を修正
9月14日	Gyazo内の情報が外部へ流出したことを確認。画像配信停止などの予防措置を実施
9月15日	二次被害防止の追加措置。対策後の新規アップロード画像の配信を再開。個人情報保護委員会へ報告
9月16日	現時点で確認した情報漏えい範囲と影響を公表

9月11日の不正アクセス発生から、9月14日に情報流出の事実を確認し、9月16日に公表した流れです。

個人情報保護委員会へ9月15日に報告

Helpfeelは9月15日、個人情報保護委員会へ本件を報告しました。

今後も個人情報保護委員会などの関係機関へ必要な報告・相談を進めるとしています。

影響を受けた可能性のあるGyazo利用者には、登録メールアドレスを通じて案内する予定です。

メールアドレスを登録していない匿名アカウントなどについては、Webサービス画面を使って案内する予定です。

対象ユーザーの特定は現在も進められています。

利用者にはパスワード変更を要請

HelpfeelはGyazo利用者に対し、二次被害防止のためパスワード変更を求めています。

また、Gyazoと同一または類似のパスワードを他サービスで使用している場合は、他サービス側のパスワードも変更するよう案内しています。

今回、パスワードのハッシュ値が流出しているため、利用者側ではパスワードの再利用状況も確認した方がよいでしょう。

不審なメールやメッセージにも注意が必要です。

流出したメールアドレスやプロフィール情報、利用状況などを使ったフィッシングが今後発生する可能性は否定できません。

Helpfeelは認証・認可、アクセス制御を見直し

Helpfeelは再発防止策として、次の対策強化を挙げています。

• システムの認証・認可の見直し
• アクセス制御の見直し
• 監視・監査体制の強化
• 安全な設計・開発体制の整備
• レビュー体制の整備
• 他サービスに同様の問題がないか点検

また、外部専門機関によるフォレンジック調査を実施し、情報漏えいの範囲と影響について調査を継続します。

SaaS・画像共有サービス運用で確認したいポイント

今回の事案では、画像アップロードサーバーの脆弱性から任意コマンド実行につながり、その後データベースへのアクセスと大量のメタデータ流出が確認されました。

Webサービスを運営する企業では、次の点を確認できます。

• ファイルアップロード処理をアプリケーション本体と分離しているか
• アップロード処理を行うサーバーの権限を最小化しているか
• アップロードサーバーからユーザーデータベースへ直接アクセスできない構成にできるか
• Webアプリケーションから任意コマンド実行につながる脆弱性を定期的に診断しているか
• アプリケーションサーバーからデータベースへの大量アクセスを検知できるか
• データベースの大量読み出し・エクスポートを監視しているか
• セッションIDやOAuthトークンなど認証関連情報を漏えい時に一括失効できるか
• 非公開コンテンツをURLの秘密性だけに依存して保護していないか
• 画像や添付ファイルのメタデータも機密情報として棚卸ししているか
• EXIF位置情報やOCRテキストの保存要否を見直しているか
• データ保存期間を必要最小限にしているか
• 古い画像やメタデータを継続保存する必要性を定期的に確認しているか
• インシデント時に一部配信停止など被害拡大防止措置を迅速に適用できるか
• フォレンジック調査に必要なログを十分な期間保管しているか

今回の事案では、画像ファイル本体だけでなく、画像ID、IPアドレス、位置情報、OCRテキストなどのメタデータが大きな影響範囲になりました。

SaaSやクラウドサービスでは、主データだけでなく、検索用インデックス、ログ、メタデータ、OCR結果、連携トークンなども漏えい時の影響対象として管理する必要があります。

企業の情報漏えい対策については、情報漏洩対策とは？企業が実施すべき原因別の予防策と発生時の対応でも整理しています。

出典

• 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び – 株式会社Helpfeel