原因公表 不正アクセス情報の漏えいサービスの停止

画像共有サービス「Gyazo」に不正アクセス、ユーザーデータ約2,362万件と画像のメタデータ約4.9億件が流出

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
株式会社HelpfeelのGyazo（画像共有サービス）で、不正アクセス・情報の漏えい・サービスの停止。
いつ
2026年9月16日に公表（発生・発覚は2026年9月11日）。
原因
公表：ソフトウェアの脆弱性。
影響
Gyazo のユーザー（匿名アカウントを含む）の情報、約23,620,000件（漏えい確認）。

原因

原因公表 ソフトウェアの脆弱性

公式の発表での原因
画像アップロード用サーバーにあった脆弱性を悪用され、第三者がシステム上で任意のコマンドを実行した。そこからデータベースにアクセスされた。
侵入の入り口
Gyazo の画像アップロードサーバー

影響

人数・件数
約23,620,000件（Gyazo のユーザー（匿名アカウントを含む））
注：約（ユーザーに関するデータの件数）。うちメールアドレス登録ありは約562万件、匿名ユーザーは約1,801万件。ほかに画像のメタデータ約4.9億件・約240万件・削除済み画像分約1.74億件
情報の種類
名前（任意の文字列）、メールアドレス、パスワードのハッシュ値、利用者ID・端末ID・ログインセッションID、X連携用トークン、Google SSOのメールアドレス、プロフィール・契約プラン・課金ステータス、画像のメタデータ（画像ID・アップロード元IPアドレス・EXIF位置情報・OCRテキスト・タイトルなど）
漏えい
漏えい確認
サービスの停止など
二次被害防止のため画像配信を止め、9月24日からサービス全体を一時停止。9月27日に再開（以前の画像は本人だけが見られる状態にした）

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • Gyazo のパスワードを変える
  • 同じか似たパスワードを使っている他のサービスもパスワードを変える
  • 不審なメールやメッセージに注意する

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ソフトウェアの脆弱性

  • 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
  • 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
  • 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
  • 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

経過

  1. 画像アップロードサーバーの脆弱性を悪用した不正アクセスが発生。同日夜に検知 ［出典s1］

  2. 侵入経路を遮断し、脆弱性の修正を完了 ［出典s1］

  3. Gyazo 内の情報が外部に流出したことを確認し、画像配信の停止などを実施 ［出典s1］

  4. 個人情報保護委員会へ報告 ［出典s1］

  5. 第一報を公表 ［出典s1］

  6. 第二報。削除済み画像のメタデータ約1.74億件の流出も判明し、ユーザーデータの内訳を公表 ［出典s2］

  7. サービスの提供を再開 ［出典s3］

出典（公式の発表）

  1. ［s1］Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日）
  2. ［s2］Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」（2026年9月25日）
  3. ［s3］Helpfeel「『Gyazo』サービス再開のお知らせ」（2026年9月26日）

この内容は2026年10月7日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

ソフトウェアの脆弱性の事件をすべて見る →