Gyazo情報漏えい——ユーザー約2362万件と画像メタ約4.9億件

2026年9月16日、株式会社Helpfeelは画像共有サービス「Gyazo」への不正アクセスにより、ユーザー情報約2,362万件と画像メタデータ約4.9億件などが外部に漏えいしたと発表しました（公式お知らせ／ITmedia／窓の杜）。

スクリーンショット共有として長く使われてきたサービスだけに、件数の大きさだけでなく、画像URLを組み立てられるメタが漏れた点も重いです。

何が起きたのか

公式の時系列を短くすると、次のとおりです（いずれも2026年）。

9月11日

画像アップロードサーバの脆弱性を悪用され、第三者がシステム上で任意のコマンドを実行。同日夜に不審な挙動を検知し、調査開始。

9月12日未明まで

侵入経路の遮断・不正接続の切断、原因となった脆弱性の修正を完了。

9月14日

DBへのアクセスと、ユーザー情報・画像メタの外部流出を確認。二次被害防止のため、一部の画像配信停止など予防措置。

9月15日

追加措置。対策後に新規アップロードした画像の配信を再開。個人情報保護委員会へ報告。

9月16日

確認できた漏えい範囲を公表。

侵入経路は遮断済み、とされています。調査は継続中で、数字は今後変わる可能性があります。

何が漏れたか

ユーザー情報（約2,362万件）

含まれる可能性があるもの（ユーザーごとに異なる）は、だいたい次の通りです。

名前／ニックネーム、メールアドレス
パスワードのハッシュ値
利用者ID、端末ID、ログインセッションID
X連携用トークン、Google SSO のメール（連携していた場合）
プロフィール、利用言語、登録・最終ログイン日時
契約プラン、課金ステータス、利用統計

クレジットカード番号などの決済情報は流出していない、と公式は明言しています。約2,362万件には匿名アカウントも含まれ、個人情報が実際に紐づく人数は調査中です。認証関連は仕様を精査したうえで無効化・制限などの対策を実施済み、とも書かれています。

画像メタデータ（約4.9億件＋約240万件）

主に 2019年1月以前に登録された画像のメタが約4.9億件（画像関連データの約14.4％）。加えて、条件を絞って取得された約240万件分も流出した、とされています。

メタ側に入っていたものの例:

画像ID（URLを構成する情報）
アップロード元 IP、User-Agent
EXIF 位置情報（画像に含まれる場合）
OCR テキスト、タイトル、取得元 URL など
非公開画像のパスフレーズ（ハッシュ）

ここが実務上いちばん痛い点です。画像IDからURLを組み立て、対象画像を不正閲覧できる恐れがある、と公式も書いています。そのため一部画像の閲覧を一時無効化。非公開画像のファイル一覧取得も確認されており、一部の非公開画像が第三者に見られた可能性を完全には否定できない、とのことです。画像ファイル自体の消失は、現時点では確認されていない、とされています。

他サービス

Helpfeel／Cosense 本体からの流出は、現時点では確認されていない、と説明されています。一方で、それら上で Gyazo 画像を埋め込んでいる場合は、配信停止の影響で見られないことがある、とのことです。

利用者側でやること

公式が求めているのは、ほぼ次の3つです。

Gyazo のパスワードを変更する
同じ・似たパスワードを他サービスでも使っているなら、そちらも変更する
本件を装った不審メール・メッセージに乗らない

影響がある可能性のあるユーザーには、登録メールへ案内予定。匿名アカウントなどは Web 画面経由の案内になる、とされています。問い合わせは日本語／English。

スクリーンショット文化のあるサービスなので、「公開のつもりで上げたもの」以外に、パス付き・非公開のつもりだったものや、OCR・EXIF に残った文字・位置もリスク面に入ります。昔の画像ほどメタが対象に入っている、という点も押さえておくとよいです。