画像共有「Gyazo」に不正アクセス。ユーザー情報約2,362万件と画像の付随情報が流出、パスワード変更を

01発表されている事実

1. 2026年9月11日

   不正アクセスが発生。同日夜に異常を検知

2. 9月12日

   未明に侵入経路を遮断し、脆弱性を修正

3. 9月14日

   情報の流出を確認。画像の配信停止などを実施

4. 9月15日

   個人情報保護委員会に速報

5. 9月16日

   公表

6. 9月25日

   第二報。削除済み画像のメタデータ約1.74億件の流出を公表

7. 9月27日

   8時にサービスを再開

ユーザー情報は約2,362万件で、うち約1,801万件はメールアドレスを登録していない匿名のユーザー、約562万件はメールアドレスの登録があるユーザーです。項目は、名前（ニックネームなど）、メールアドレス、パスワードのハッシュ値、ログインのセッションID、連携していればX（旧Twitter）の連携トークンなどです。カード番号などの決済情報は含まれません。Helpfeelは、X連携トークンだけではXアカウントへのログインや操作はできないとしています。

画像のメタデータは、主に2019年1月より前の画像の約4.9億件と、条件付きで取得された約240万件、削除済み画像の約1.74億件です。画像ID（画像のURLの一部）、アップロード元のIPアドレス、位置情報（EXIFにある場合）、画像から読み取った文字（OCRテキスト）、タイトルなどが含まれます。非公開画像のファイル一覧も取得されており、一部の非公開画像が閲覧された可能性は否定できないとしています。

02読者への影響と今すぐやること

1. Gyazoのパスワードを変える。同じか似たパスワードを他のサービスで使っていれば、そちらも変える
2. Gyazoに上げた画像に、ログイン情報、顧客の個人情報、社内の画面などが写っていなかったか思い出す。写っていたら、そのパスワードやAPIキーを変える
3. Gyazoや関連サービスを名乗る不審なメールに注意する

画像そのものではなく「画像から読み取った文字」もメタデータに含まれている点に注意が必要です。仕事でスクリーンショットを共有していた会社は、どんな画面を上げていたかを社内で確かめてください。

03同じことを防ぐには

ファイルのアップロード処理は、外から誰でもデータを送り込める入口で、脆弱性があると今回のようにサーバーを操作されます。アップロード機能を持つサービスを運営する企業は、その部分を重点に脆弱性診断を受けてください。Helpfeelは全社的なリスク評価と、開発者向けの教育の拡充などを挙げています。図鑑では、パスワード管理アプリと脆弱性診断のサービスを比べられます。