Gyazo情報漏えい調査結果、133人の画像432件に不正アクセス

画像共有サービス「Gyazo」を運営するHelpfeelは2026年10月21日、9月に発生した不正アクセスと情報漏えいについて、外部セキュリティ専門機関の調査結果を公表した。今回の第三報では、侵入経路や情報の対象範囲に加え、一部の保存画像が実際に閲覧・取得されたことが新たに明示された。報告内容は10月20日までに確認された事実に基づいている。

画像変換処理の脆弱性からデータベースに侵入

不正アクセスが起きたのは9月11日午後から12日未明にかけて。画像アップロードサーバーの動画等を変換する処理に問題があり、外部から渡された入力がサーバー上のコマンドとして解釈される脆弱性を悪用された。攻撃者は変換処理用サーバーから到達できるデータベースを読み取り、外部のサーバーへ大量のデータを送信したと同社は説明している。

同社は9月11日夜に不審な挙動を検知し、翌12日までに侵入経路を遮断して脆弱性を修正。9月18日にサービスを一時停止した後、点検を経て9月27日に再開した。外部機関の調査ではデータベースの大量読み取りと大容量通信を確認した一方、送信内容そのものを記録したログはなく、外部に送られた項目や件数を通信記録だけで直接確定することはできなかった。

133人の画像432件を閲覧・取得、メタデータ流出も

同社の追加調査で、133人のユーザーが保存していた画像432件が第三者に閲覧・取得されたことが判明した。対象者には個別に連絡済みという。ただし、画像ファイルが大量に取得されたことを示す記録や、削除済み画像のファイル本体が取得された記録は確認されていない。メタデータに含まれる画像URLを使った別の閲覧可能性は、完全には否定できないとしている。

情報の対象範囲として、ユーザー関連情報約2362万件、主に2019年1月以前の画像メタデータ約4.9億件、条件を絞って取得されたメタデータ約240万件、削除済み画像のメタデータ約1.74億件を挙げた。約2362万件は人数ではなくアカウント数で、匿名アカウントも含む。画像のメタデータ件数と画像ファイルの取得件数も別の数字だ。決済用クレジットカード番号は対象に含まれない。

削除データの保持期間見直しと利用者への案内

Helpfeelは、削除済み画像のメタデータを削除後60日で自動消去する方針を示し、過去分も法令上の保全に支障のない範囲で順次削除する。過去にアップロードされた画像は、所有者が確認して配信を再開する方式を継続する。また、別サービスの「Helpfeel」「Cosense」については、今回の侵入によるシステムへの不正アクセスや情報流出の痕跡は確認されていない。

同社によれば、10月20日時点で本件に起因する個人情報の不正利用などの二次被害は確認されていない。流出情報の監視を少なくとも1年間続ける方針だ。利用者にはGyazoのパスワード変更を求め、他サービスで同じか類似のパスワードを使っている場合はそちらも変更するよう案内している。対象者向け通知を装う偽メールへの警戒も呼びかけており、同社の案内メールでリンク先操作を求めることはないとしている。