画像共有サービス「Gyazo（ギャゾー）」を運営するHelpfeelは2026年9月25日、不正アクセスに関する第二報を公表した。第一報後の調査で、ユーザーが過去に削除した画像に関するメタデータ約1億7400万件が、外部に流出していたことを新たに確認した。
事案の詳細
今回新たに流出が確認されたのは、ユーザーが過去に削除した画像に関するメタデータ約1.74億件である。対象には、ユーザーが画像を個別に削除した場合に加え、アカウントの削除に伴って画像が削除された場合も含まれる。
対象となるメタデータは主に2023年2月以前に削除された画像に関するもので、Gyazoが取り扱う画像データ全体の約5.1％に相当する。今回の第二報では、画像ファイルそのものではなく、削除済み画像に関連するメタデータの流出が新たに確認された。流出したメタデータの具体的な項目や、攻撃者が取得した経緯の詳細は現時点で不明である。
Helpfeelは9月16日の第一報で、ユーザー関連データ約2362万件のほか、主に2019年1月以前に登録された画像に関するメタデータ約4.9億件、別途条件を絞って取得された画像のメタデータ約240万件の外部流出を公表していた。今回の約1.74億件は、第一報後の調査で追加確認されたデータである。
新たに流出が確認された対象の画像は、現在閲覧できない状態とされている。該当するユーザーや企業には、調査完了後、順次メールで連絡する予定だが、連絡時期などの詳細は現時点で不明である。
影響と背景
今回の事案は、削除済み画像に関するメタデータが外部に流出した点に特徴がある。メタデータには、画像に付随する情報やサービス上の管理情報などが含まれる可能性があるが、今回流出した具体的な項目の全容は現時点で不明である。
Helpfeelは第一報で、Gyazoの画像アップロードサーバーが不正アクセスを受けたことを公表しているが、攻撃者、侵入経路、悪用された脆弱性などの詳細は現時点で明らかにしていない。第一報と第二報を合わせた流出データには、ユーザー関連データ約2362万件や、削除済みではない画像を含むメタデータも含まれるため、影響範囲は約1.74億件に限られない。
Helpfeelはサービスを停止しており、再開状況については9月29日までに公表するとしている。対象者への個別連絡や今後の調査結果を含め、最新の案内は運営元の告知を確認する必要がある。
対策・今後の展望
- 利用者向け：HelpfeelやGyazoから届く案内を確認し、自身または自社の利用状況が対象に含まれるかを確認する。Gyazoで共有していた情報や公開範囲を点検し、同じパスワードを他サービスでも使っている場合は、使い回しを避けて変更する。
- 組織向け：業務でGyazoを利用している部署やアカウントを特定し、共有URL、保存画像、利用者権限、画像に含まれる機密情報を棚卸しする。必要に応じて、取引先や関係者への説明、共有先の確認を行う。
- 再発防止の観点：外部サービスに保存・共有する情報を最小限にし、機密情報や個人情報を含む画像の取り扱いルールを明確化する。SaaSの利用状況、権限、公開設定、ログを継続的に確認し、サービス停止や情報漏えい時の連絡手順もあらかじめ整備する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、外部クラウドやSaaSの利用実態が把握されないまま、部署ごとに便利なツールが増えていく状況が目立つ。特に、共有URLの管理、権限の棚卸し、利用ログの確認、削除後のデータの扱いが未整備のままになっている例がある。今回のように、削除済み画像に関するメタデータが流出する事案もあるため、画面上で削除したことだけをもって情報が完全に消去されたと判断することはできない。
【平易な解説】写真本体ではなく、「写真に付いたラベルや管理台帳」に相当する情報が外部に出た可能性がある事案です。ただし、今回どのメタデータ項目が流出したかの全容は現時点で不明です。削除済み画像は現在閲覧できない状態とされていますが、過去に何をいつ共有したか、どのような情報が画像に付随していたかを確認する必要があります。
【今週中にできること】まず社内でGyazoを業務利用している部署、アカウント、共有先を確認し、利用目的と保存・共有していた情報の種類を聞き取ってください。次に、共有URLや画像に個人情報・機密情報が含まれていないかを点検し、必要に応じて関係者へ連絡します。最後に、HelpfeelおよびGyazoの公式告知を継続的に確認する担当者と、社内での報告・対応手順を決めてください。