京都のHelpfeelは、画像共有サービス「Gyazo」への不正アクセスによる情報漏えいを公表した。ユーザー情報約2,362万件と画像メタデータ約4.9億件が外部に流出しており、同社は二次被害の防止と影響範囲の調査を進めている。
Gyazo、ユーザー情報と画像メタデータが流出
2026年9月16日にHelpfeelが公表した内容によると、11日に「Gyazo」の画像アップロードサーバーに存在した脆弱性が悪用され、第三者がシステム上で任意のコマンドを実行する不正アクセスが発生した。
同日夜に不正な挙動を検知し、12日未明までに侵入経路の遮断と第三者による不正な接続の切断を実施した。原因となった脆弱性の修正も完了している。
その後の調査で、第三者が「Gyazo」のデータベースへアクセスし、ユーザー情報約2,362万件が外部に流出したことを確認した。
名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションIDなどが含まれ、連携していた場合はX連携用トークンやGoogle SSOのメールアドレスなども対象となった。
さらに、主に2019年1月以前に登録された画像のメタデータ約4.9億件と、別途条件を絞って取得された約240万件も流出した。画像ID、アップロード元IPアドレス、User-Agent、EXIF位置情報、OCRテキスト、画像タイトル、取得元URLなどに加え、非公開画像のパスフレーズのハッシュ値も含まれている。
流出したメタデータには画像URLに使用される情報も含まれるため、対象画像が不正に閲覧される恐れがあり、Helpfeelは一部画像の閲覧を一時的に無効化した。
15日には、対策完了後に新たにアップロードされた画像の配信を再開し、個人情報保護委員会への報告も実施している。
なお、決済情報の流出や画像データの消失は現時点で確認されていない。
今後は外部専門機関によるフォレンジック調査（※）などを進め、判明した事実を速やかに公表するとしている。
※フォレンジック調査：不正アクセスなどの際に、侵入経路や被害状況を調査する作業。
大規模流出が示す画像共有サービスの課題
今回の事案からは、画像共有サービスでは保存した画像だけでなく、画像に付随する情報も重要な管理対象になり得ると考えられる。
利便性を高めるために蓄積される情報が多いほど、漏えい時の影響も複雑になりやすいため、収集する情報を必要な範囲に抑える考え方が重要になりそうだ。
特に、画像の利用履歴や認証に関する情報は、別のデータと組み合わさることで、単独とは異なるリスクにつながる可能性がある。
保存する情報の種類や保持期間を見直すことも、影響を抑える選択肢になり得る。
ただし、保存やアクセスの制限を強めれば、画像の共有や閲覧といったサービスの利便性に影響する場合もある。安全性を高める施策を導入する際には、利用者が許容できる操作負担とのバランスをどう取るかも検討すべき論点になりそうだ。
今後の調査によって影響範囲が明確になれば、対象となる利用者や追加で必要となる対策がより具体化するとみられる。企業にとっては、サービスの機能だけでなく、画像に付随するデータまで含めた情報管理のあり方を考える契機になるかもしれない。
関連記事：
さくらインターネットが調査結果公表 約136万アカウントに影響の可能性
デジ庁GSSで個人情報24.6万件漏洩か VPN脆弱性を悪用
KDDIのメール基盤に不正アクセス ニフティやBIGLOBEなど最大1422万件漏えいの可能性
