使っていた人が、いますぐやること
- 1
Gyazoの利用者この件のあとパスワードを変えていなければ変える。同じか似たパスワードをほかで使っていれば、そちらも変える
- 2
仕事で使っていた人上げた画像に、パスワードやAPIキー、お客様の情報、社内の画面が写っていなかったか確かめる。写っていたら、そのパスワードやキーを変える
- 3
画像を公開に戻す人画像の中身と公開の範囲を確かめてから、配信を再開する
- 4
全員Gyazoや関係するサービスを名乗る不審なメールに注意する。会社はこの件でパスワードやカード番号を聞かないとしている
被害にあっているときの手順を見る →
漏れた可能性がある情報名前（ニックネームなど）、メールアドレス、パスワードのハッシュ値（元に戻せない形）、ログインのセッションID、X連携用トークン、契約プランなど。画像側は画像ID、アップロード元のIPアドレス、位置情報、画像から読み取った文字（OCR）、タイトルなど
含まれていないものクレジットカード番号などの決済情報、削除済み画像のファイル本体、HelpfeelとCosenseの情報
いまの状況（調査完了）9月27日に再開。調査結果の報告は第三報で最後とした。二次被害は確認されておらず、ダークウェブの見張りを1年以上続ける
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことで2026年9月11日、Helpfeelが提供するスクリーンショット共有サービス「Gyazo」で、動画などを変換する処理の脆弱性（作りの弱点）が悪用されました。第三者はサーバーの上で自由に命令を動かし、つながっていたデータベースから大量のデータを読み出して、外のサーバーへ送りました。ユーザー情報約2,362万件と、画像のメタデータ（画像に付いた情報）が流出し、133名の画像432件は閲覧・取得されていました。会社はサービスを止めて対策し、9月27日に再開、10月21日の第三報で調査結果を公表しました。
1Helpfeel ・ Gyazo（ギャゾー）変換処理の弱点を突いたコマンドの実行（コマンドインジェクション）
脆弱性とは →
- STEP 1弱点を突く
動画などを変換する処理で、外から送った文字がそのまま命令として動いてしまう弱点が悪用された
- STEP 2命令を動かす
変換用のサーバーの上で自由に命令を動かし、中を探った
- STEP 3データを送り出す
サーバーからつながっていたデータベースを大量に読み出し、外のサーバーへ送った
- STEP 4遮断と修正
11日の夜に検知し、12日未明までに遮断。同じ日に弱点を直した
くわしい内容を見る ↓
手口画像アップロード用サーバーで動画などを変換する処理に、外から送られた値が正しく扱われず、サーバーの命令として動いてしまう脆弱性がありました。第三者はこの弱点を使って変換用のサーバーで命令を動かし、そこからつながっていたデータベースのデータを外へ送りました。会社は、外部のソフト部品や委託先が原因ではなく、自社で作って動かしていたシステムの弱点が原因だとしています。
- 侵入
- 2026年9月11日午後〜9月12日未明
- 発覚
- 9月11日の夜に不正な動きを検知。9月14日にデータの流出を確認
- 公表
- 9月16日（第一報）、9月25日（第二報）、9月26日（再開のお知らせ）、10月21日（第三報・調査結果）
- ユーザー情報
- 約2,362万件（アカウント数で、人数ではない）。うちメールアドレスの登録が無い匿名ユーザー約1,801万件、登録があるユーザー約562万件
- 情報の種類
- 名前（ニックネームなど）、メールアドレス、パスワードのハッシュ値（元に戻せない形）、ログインのセッションID、X連携用トークン、契約プランなど。画像側は画像ID、アップロード元のIPアドレス、位置情報、画像から読み取った文字（OCR）、タイトルなど
- 画像
- メタデータ約4.9億件・約240万件・削除済み約1.74億件。画像ファイルは133名の432件が閲覧・取得された
- 含まれないもの
- クレジットカード番号などの決済情報、削除済み画像のファイル本体、HelpfeelとCosenseの情報
- いまの状況
- 9月27日に再開。調査結果の報告は第三報で最後とした。二次被害は確認されておらず、ダークウェブの見張りを1年以上続ける
- Gyazo
午後から不正アクセス。同じ日の夜に不正な動きを検知し、調査を始めた
- Gyazo
未明までに侵入の経路を遮断し、原因の脆弱性を直した
- Gyazo
データの流出を確認。全画像の配信を止めた
- Gyazo
認証の情報を無効にするなどの措置。個人情報保護委員会に速報を出した
- Gyazo
第一報。ユーザー情報約2,362万件と画像のメタデータ約4.9億件の流出を公表
- Gyazo
サービスを一時停止。外部の専門機関にフォレンジック調査を頼んだ
- Gyazo
第二報。削除済み画像のメタデータ約1.74億件の流出と、ユーザー情報の内訳を公表
- Gyazo
サービスを再開。前の画像は本人だけが見られる状態にした
- Gyazo
外部の専門機関から最終報告書を受け取った
- Gyazo
第三報。原因と、133名の画像432件が閲覧・取得されたことを公表
遮断と修正侵入の経路を遮断し、原因の弱点を直した。Gyazoの全ソースコードを点検し、重大な問題を直した
認証情報の無効化流出したおそれのあるログイン関係の情報と、外部サービスの連携の情報を無効にした
画像の公開を止める前の画像は本人が中身を確かめてから公開に戻す方式にし、この方式をずっと続ける
報告と相談個人情報保護委員会、総務省、約30の国・地域のデータ保護当局に報告し、京都府警察に相談した
データを持ちすぎない削除した画像のメタデータは60日で自動で消す決まりをつくり、過去の分も順に消す
再発防止AIを使ったソースコードの点検、外部の専門機関による脆弱性診断、ログの保存期間の延長と見張りの強化、SOC（見張りの専門の組織）の設置、開発者の教育
07ABOUT THE COMPANY
どんな会社？
AIを使って、企業のよくある質問やナレッジ（知識）を集めて届けるサービスを作る会社です。自己解決AIシステム「Helpfeel」、ナレッジベース「Cosense」、画像共有の「Gyazo」の3つの製品を出しています。
事業
- 自己解決AIシステム「Helpfeel」
- ナレッジベース「Cosense」
- 画像共有「Gyazo」
- 会社名
- 株式会社Helpfeel（英語名：Helpfeel Inc.）
- 創業
- 2007年12月21日（2020年12月4日に日本法人を設立）
- 本社
- 京都府京都市上京区御所八幡町110-16 かわもとビル5階
- 代表者
- 代表取締役/CEO 洛西 一周
- 従業員
- 213人（2025年8月現在）
- 資本金
- 1億円
出典：会社の公式サイト「会社概要」
