Gyazoで画像432件の流出が判明｜133人が対象・2362万件の情報漏えいと削除済み画像を整理

HORIMEMOアイコン03 話題のニュース・SNS
https://x.com/gyazo_ja/status/2112807546805539022?s=20

画像共有サービス「Gyazo（ギャゾ）」を運営する株式会社Helpfeelは、2026年10月21日、不正アクセスによる情報漏えいについて第三報を公表しました。

外部のセキュリティ専門機関による調査の結果、133人の利用者が保存していた画像ファイル432件が、実際に第三者に閲覧・取得されていたことが明らかになりました。対象者には、すでに該当する画像を知らせる個別の連絡が行われています。

今回の問題では、これまでに約2,362万件のユーザー関連データ、約4.9億件の画像メタデータ、約1.74億件の削除済み画像メタデータなどの流出も公表されています。

ただし、これらの数字はすべて画像ファイルそのものが流出した件数を意味するわけではありません。特に、削除済み画像については、画像ファイル本体が取得されたことを示す記録は確認されていません。

Gyazoは9月27日にサービスを再開していますが、過去に保存された画像は現在も所有者が確認したうえで配信を再開する仕組みです。

この記事では、10月21日の第三報で判明した内容を中心に、432件の画像流出、約2,362万件のアカウント情報、削除済み画像への影響、対象者への連絡、パスワード変更や画像の公開設定について整理します。

Gyazoの情報漏えいで判明した影響範囲と最新状況

Gyazoは、パソコンやスマートフォンで撮影したスクリーンショット、GIF、動画などを保存・共有できるサービスです。

今回の不正アクセスは2026年9月11日に発生しました。画像アップロードサーバーの脆弱性が悪用され、第三者がデータベースにアクセスして大量の情報を外部へ送信していたことが確認されています。

運営会社は9月16日に第一報、25日に第二報を公表。その後、外部専門機関の調査を経て、10月21日に第三報を発表しました。

第三報で確認された主な状況は以下のとおりです。

項目2026年10月21日の第三報で確認した内容
対象サービスGyazo
運営会社株式会社Helpfeel
不正アクセス発生日2026年9月11日〜12日未明
画像本体の閲覧・取得133人が所有する432件を確認
ユーザー関連データ約2,362万件の流出
画像のメタデータ約4.9億件と、別の条件で取得された約240万件
削除済み画像のメタデータ約1.74億件
決済情報クレジットカード番号などの流出なし
削除済み画像のファイル本体取得を示す記録なし
侵入経路と脆弱性9月12日までに遮断・修正済み
サービス9月27日に再開済み
二次被害10月20日時点で確認されていない
外部専門機関による調査最終報告書を受領済み

今回の発表で重要なのは、ユーザー情報や画像のメタデータについては大規模な流出が公表されている一方、画像ファイル本体について確認された閲覧・取得は432件という点です。

ただし、432件以外の画像が絶対に閲覧されていないと確定したわけではありません。流出したメタデータに含まれる画像URLを使い、ほかの画像が閲覧された可能性についても、運営会社は完全には否定できないとしています。

第三報の全文はHelpfeelの公式発表（2026年10月21日）で確認できます。

画像432件の流出が判明｜133人にはすでに個別連絡

10月21日の第三報で新たに明らかになったのは、画像ファイルそのものが第三者に閲覧・取得されていた事実です。

Helpfeelは外部専門機関の調査結果を踏まえて追加調査を行い、特定の133人が所有していた画像432件について、第三者による閲覧・取得を確認しました。

対象となった133人には、アカウントに登録されたメールアドレス宛てに個別の連絡を送付しています。連絡では、対象となった画像も明示し、必要な対応を案内していると説明しています。

一方、画像ファイルを大量に取得したことを示す記録は確認されていません。

したがって、約4.9億件や約1.74億件というメタデータの流出件数を、そのまま画像ファイル本体の流出件数として扱うことはできません。

また、第三者に取得された432件の画像について、具体的にどのような内容が含まれていたのかは公表されていません。

そのため、住所や身分証明書、業務資料など、特定の情報が実際に含まれていたと断定することもできません。

なお、今回特定された133人の画像については、HelpfeelやCosenseの顧客情報が含まれていないことも確認されています。

432件は第三者による画像ファイルの閲覧・取得が確認された件数であり、約2,362万件のユーザー情報とは別の数字です。

2362万件の情報漏えいは何人が対象？匿名ユーザーも含まれる

今回の情報漏えいでは、Gyazoのユーザーに関するデータ約2,362万件が外部に流出したと公表されています。

ただし、これは約2,362万人の個人情報が流出したことを意味するわけではありません。

Gyazoはメールアドレスを登録せずに利用できる仕組みがあり、今回のデータには匿名ユーザーのアカウントも含まれています。

9月25日の第二報では、次の内訳が発表されました。

ユーザーの種類対象アカウント数割合
メールアドレス未登録約1,801万件約76％
メールアドレス登録あり約562万件約24％
合計約2,362万件約100％

※公表値は四捨五入されているため、内訳を合計しても総数と一致しない場合があります。

流出した可能性がある情報には、利用者が登録した氏名やニックネーム、メールアドレス、パスワードのハッシュ値、ユーザーID、端末ID、ログインセッションIDなどが含まれます。

また、プロフィール情報、登録日時、最終ログイン日時、契約プラン、課金ステータス、X（旧Twitter）連携用トークン、Google SSOのメールアドレスなども対象です。

ただし、これらの情報がすべてのアカウントについて流出したわけではありません。対象となる情報の種類や範囲は利用者ごとに異なります。

特に、メールアドレスが登録されていない約1,801万件について、メールアドレスが流出したとするのは正確ではありません。

今回の約2,362万件はアカウントに関するデータの件数であり、情報漏えいが確認された人数ではないという点に注意が必要です。

画像4.9億件の流出とは？画像ファイルとメタデータの違い

今回の情報漏えいでは、画像に関するメタデータ約4.9億件の流出も公表されています。

さらに、別の条件で選択された画像に関するメタデータ約240万件についても、外部に流出したと説明されています。

ここでいう「メタデータ」は、画像ファイルそのものではなく、画像に付随して保存される情報です。

例えば、画像を識別するIDや、アップロード時の接続元IPアドレス、画像に含まれる位置情報、画像から読み取った文字情報などが該当します。

今回の対象は次のように整理できます。

データの種類件数主な対象
画像のメタデータ約4.9億件主に2019年1月以前にアップロードされた画像
別条件で取得されたメタデータ約240万件特定の条件で選択された画像
削除済み画像のメタデータ約1.74億件主に2023年2月以前に削除された画像
閲覧・取得が確認された画像本体432件133人が所有する一部の画像

最初の約4.9億件は、Gyazoの画像全体に対して約14.4％に相当します。別の条件で取得された約240万件は約0.07％、削除済み画像のメタデータ約1.74億件は約5.1％と説明されています。

ただし、これらは異なる条件で集計されたデータであり、重複の有無も含めて単純に合計して画像の流出総数とすることは適切ではありません。

メタデータの流出件数と、画像ファイル本体の流出件数を混同しないことが重要です。

また、画像メタデータ自体に個人情報や業務上の情報が含まれる場合もあるため、画像ファイル本体が取得されていなければ問題がないというわけでもありません。

削除済み画像1.74億件は復元された？流出したのはメタデータ

9月25日の第二報では、過去に削除された画像に関するメタデータ約1.74億件についても、流出していたことが新たに判明しました。

主な対象は、2023年2月以前に削除された画像と、同時期までに削除されたアカウントが所有していた画像です。

この時期は、画像をアップロードした日ではなく、画像やアカウントを削除した日を基準としています。

ここで注意したいのは、削除した画像ファイルそのものが約1.74億件流出したわけではないことです。

Helpfeelは、削除済み画像のファイル本体が第三者に取得されたことを示す記録は確認されていないと説明しています。

一方、画像ファイルを削除した後も、画像の識別情報や関連する記録などのメタデータが保持されていたため、その情報が流出対象となりました。

メタデータに保存されていた項目によっては、画像の内容に関係する情報が残っている可能性があります。

そのため、過去にGyazoの画像を削除した人であっても、今回の事案と無関係とは限りません。

ただし、画像を削除したことがあるというだけで、必ず情報が流出したと断定することもできません。

対象となる期間やアカウントごとの状況については、運営会社の発表や個別の案内を確認する必要があります。

画像を削除してもデータが残っていた理由と60日後の削除方針

なぜ、削除済み画像のメタデータが大量に残っていたのでしょうか。

Helpfeelによると、Gyazoでは画像を削除した場合、画像ファイル本体については一定期間を経過した後に消去する一方、画像に関するメタデータは保存を続けていました。

これは、不正利用が疑われた場合の調査や、公的機関からの照会に対応するためだったと説明しています。

しかし、今回の不正アクセスにより、保存していた過去のメタデータも大量に流出する結果となりました。

これを受けて同社は、削除済み画像に関するメタデータについて、画像の削除から60日が経過した時点で自動的に消去する方針を発表しています。

また、過去に削除された画像のメタデータについても、関係当局への報告や法令に基づく保全に支障がない範囲で、順次消去する予定です。

退会済みユーザーの情報を含む操作記録などについても、保持期間を定めて削除するとしています。

なお、10月21日の第三報は今後の削除ポリシーを示したものであり、対象となる過去のメタデータがすべて消去済みになったと発表されたわけではありません。

また、運営会社のデータベースから削除できたとしても、すでに第三者へ流出した情報まで消去できるとは限りません。

流出したメタデータには何が含まれる？OCR文字や位置情報も対象

今回の情報漏えいで注意したいのが、画像メタデータの内容です。

Helpfeelの第一報では、流出した画像メタデータに含まれる情報として、画像ID、アップロード元のIPアドレス、User-Agent、画像に記録されていたEXIF位置情報、OCRテキスト、画像タイトル、取得元URL、非公開画像のパスフレーズのハッシュ値などが挙げられています。

OCRテキストとは、画像の中に写っている文字を読み取って保存した情報です。

例えば、画面のスクリーンショットに文字が含まれていた場合、画像ファイル本体とは別に、その文字情報がメタデータとして保存されている可能性があります。

また、EXIF位置情報は、撮影機器や画像の設定によって記録される位置情報です。

ただし、すべての画像にOCRテキストや位置情報が含まれていたわけではなく、保存されていた項目は画像ごとに異なります。

今回の問題では、画像URLを構成する情報も流出しているため、そのURLを使って第三者が画像にアクセスする可能性が指摘されています。

また、非公開画像の一覧が取得されたことも確認されています。

画像本体が大量に取得された記録はなくても、画像に関する文字情報や識別情報などが外部へ流出している点は、別の問題として考える必要があります。

自分の画像は対象？133人と約5.7万アカウントへの通知の違い

今回の不正アクセスについて、Gyazoを利用したことがある人の中には、自分の画像や情報が対象になっているのか気になっている人もいるかもしれません。

10月21日の第三報では、2種類の個別連絡について説明されています。

一つ目は、画像ファイル本体の閲覧・取得が確認された133人への連絡です。

こちらについては、対象画像を明示した個別の案内をすでに送付済みとしています。

二つ目は、削除済み画像のメタデータについて、流出対象となった可能性があるアカウントへの連絡です。

Helpfeelは、該当する可能性があり、連絡先メールアドレスを確認できる約5.7万アカウントを特定しました。

この約5.7万件には退会・解約済みのアカウントも含まれ、第三報の公表後、順次メールで案内するとしています。

注意したいのは、約5.7万件も人数ではなくアカウント数であり、画像本体の取得が確認された133人とも異なる対象だということです。

また、Gyazoにはメールアドレス未登録の匿名アカウントも多いため、案内メールが届かないことだけで、必ずしも今回の情報漏えいの対象外と判断できるわけではありません。

自分の利用状況が分からない場合は、Gyazoの公式案内やアカウント情報を確認し、必要に応じてGyazo公式サポートへ問い合わせてください。

パスワードやクレジットカード情報は流出したのか？

今回の不正アクセスでは、Gyazoのパスワードに関係する情報も流出しています。

ただし、流出したのはパスワードそのものではなく、ハッシュ化されたパスワードの値です。

ハッシュ化とは、元のパスワードをそのまま保存するのではなく、一定の計算処理で別の値に変換して保存する仕組みです。

そのため、今回の情報だけで直ちに元のパスワードが分かるという意味ではありません。

一方、パスワードの安全性や保存方式などによっては、元の文字列を推測される可能性を完全には否定できません。

Helpfeelは利用者に対し、Gyazoのパスワードを変更し、他のサービスでも同じか似たパスワードを使っている場合は、そちらも変更するよう求めています。

また、流出対象となったX（旧Twitter）連携用トークンについては、そのトークン単体ではXアカウントへのログインや操作はできないと説明しています。対象となるOAuth認証情報はすでに無効化されています。

一方、クレジットカード番号などの決済情報は今回の流出対象に含まれていないと確認されています。

ただし、カード情報が流出していないことと、アカウントのパスワード変更が不要であることは別です。

パスワードをまだ変更していない人は、Gyazoの公式サイトから変更手続きを行うことが推奨されています。

不正アクセスの原因は？画像変換処理の脆弱性が悪用された

10月21日の第三報では、不正アクセスの原因も詳しく説明されました。

外部専門機関の調査で確認されたのは、Gyazoの画像アップロードサーバーにある動画などの変換処理の脆弱性です。

この処理では、外部から受け取った入力値が適切に扱われず、サーバー上のコマンドとして解釈されてしまう問題がありました。

攻撃者はこの脆弱性を利用してサーバー上で不正なコマンドを実行し、そこから接続可能だったデータベースにアクセスしたと説明されています。

さらに、データベースから大量のデータを読み取り、外部のサーバーへ送信していたことが確認されています。

ただし、送信された通信内容そのものの記録がないため、外部へ送られたデータの具体的な項目や件数を、通信ログから直接確定することはできませんでした。

運営会社は、データベースへの大量の読み取りと外部への大容量通信などの記録に基づき、流出範囲の評価を行っています。

今回の問題は、外部委託先や外部ソフトウェア部品が侵害されたことによるものではなく、Gyazoを開発・運用するシステム自体の脆弱性が原因とされています。

原因となった脆弱性は9月12日に修正され、同じ侵入経路からの不正アクセスはその後確認されていません。

また、調査対象の範囲では、ほかのシステムへの侵入拡大や、再侵入するための不正プログラムを残したことを示す記録も確認されていません。

Gyazoは復旧した？9月27日に再開・過去の画像は公開制限中

Gyazoは、今回の不正アクセスへの対応として9月18日にサービスの提供を一時停止しました。

その後、セキュリティ対策と検証を行い、2026年9月27日からサービスの提供を再開しています。

ただし、再開したからといって、過去の画像がすべて以前の公開状態へ戻されたわけではありません。

不正アクセスが発生する前にアップロードされた画像については、現在も原則として所有者本人だけが閲覧できる状態になっています。

以前はURLを知っている人が閲覧できた画像であっても、所有者が配信を再開するまでは、第三者が閲覧できないように制限されています。

これは、流出したメタデータに含まれる画像URLを使って、第三者が意図せず画像へアクセスできる状態になることを防ぐためです。

画像の内容を確認したうえで、利用者自身が「配信を再開する」を選択すると、以前の閲覧範囲が適用されます。

ただし、Gyazo Teamsについては例外があり、9月29日から、配信停止中の画像であっても原則として同じチームのメンバーが閲覧できるようになっています。「自分のみ」に設定された画像は対象外です。

また、パスワード保護された画像では、引き続きパスワードの入力が必要です。

Gyazoのサービス自体は再開していますが、過去の画像の公開状態には現在も制限が残っているという点に注意が必要です。

過去の画像を再公開する方法｜無料プランは設定に注意

過去にアップロードした画像を再び第三者に共有したい場合は、Gyazoで画像の内容を確認し、配信を再開する必要があります。

公式案内では、画像ごとの再開、複数画像の選択による再開、全画像の一括再開という3つの方法が紹介されています。

画像ごとに確認する場合は、対象の画像ページを開いて「配信を再開する」を選択します。

複数の画像をまとめて再開する場合は、画像一覧で対象を選択し、サイドメニューから配信を再開できます。

すべての画像をまとめて再開する場合は、設定ページの「配信停止中の画像」から操作します。

ここで注意したいのは、配信を再開すると、不正アクセス前に設定されていた閲覧範囲に戻ることです。

以前「リンクを知っている全員」が閲覧できるように設定していた画像は、再開後に同じ設定が適用されます。

そのため、過去の画像をまとめて再公開する前に、現在も第三者へ見せて問題ない内容かを確認することが重要です。

特に無料プランでは、配信再開後にアクセス制御から「自分のみ」の状態へ戻す機能を利用できません。この機能はGyazo ProとGyazo Teams向けです。

一方、無料プランでも過去の画像を確認できるようにする特別措置が実施されています。通常は閲覧履歴をさかのぼれない古い画像についても、当面の間は確認できる状態になっています。

過去の画像を公開する必要がない場合は、無理に再開する必要はありません。

画像の配信再開方法については、Gyazoのサービス再開に関する公式案内で詳しく説明されています。

HelpfeelやCosenseにも影響はあったのか？

Gyazoを運営する株式会社Helpfeelは、ほかにもAIを活用した検索サービス「Helpfeel」や、情報共有サービス「Cosense」を提供しています。

今回の不正アクセスを受け、これらのサービスにも影響が及んだのか気になる人もいるかもしれません。

運営会社によると、HelpfeelとCosenseはGyazoとは異なるシステム構成で運用されており、今回の不正アクセスに利用された経路とは接続されていません。

両サービスを対象とした点検でも、HelpfeelやCosenseのシステムからの情報漏えい、不正アクセスの痕跡は確認されていないと説明しています。

また、画像432件の閲覧・取得が確認された133人の対象画像についても、HelpfeelやCosenseの顧客情報は含まれていないことを確認しています。

そのため、今回の発表だけを根拠に、HelpfeelやCosenseの利用者情報も流出したと判断することはできません。

ただし、運営会社は両サービスを含めた全サービスのセキュリティ点検や対策の強化を進めています。

不正利用や二次被害は確認された？偽メールにも注意

10月21日に公表された第三報によると、10月20日時点で、今回の不正アクセスに起因する個人情報の不正利用、なりすまし、その他の二次被害は確認されていません。

また、流出した情報がダークウェブなどで公開・売買されていないか、9月下旬から監視を続けていますが、同時点で該当する情報は確認されていないとしています。

運営会社はこの監視を少なくとも1年間続ける予定です。

ただし、二次被害が確認されていないことと、今後も悪用される可能性がないことは別です。

特に、今回の情報漏えいに便乗してGyazoやHelpfeelを名乗る不審なメールが送られる可能性には注意が必要です。

Helpfeelは、今回の件で送付する案内メールでは、URLへのアクセスやリンク先での操作を求めることはないと説明しています。

また、パスワードやクレジットカード番号をメールや電話で尋ねることもないとしています。

そのため、情報漏えいの案内を装ったメールが届いても、本文中のリンクから安易にログイン情報を入力しないようにしてください。

不審な案内が届いた場合は、メールのリンクを使わず、Gyazoの公式サイトや公式サポートから確認することが重要です。

Gyazo利用者が今確認しておきたいこと

今回の不正アクセスについて、Gyazoを利用している人が確認しておきたい点は、主にアカウントの認証情報と過去の画像の公開状態です。

Gyazoのパスワードを変更する
今回の事案が発生してからまだパスワードを変更していない場合は、Gyazoの公式サイトから変更してください。ほかのサービスでも同じか似たパスワードを使っている場合は、そちらも変更することが推奨されています。

運営会社からの案内を確認する
画像ファイルの閲覧・取得が確認された133人にはすでに個別連絡が行われています。また、削除済み画像のメタデータに関係する約5.7万アカウントについても、順次案内が送られます。登録メールアドレスと迷惑メールフォルダなどを確認してください。

過去の画像の公開状態を確認する
不正アクセス前に保存した画像は、現在も原則として所有者本人のみ閲覧可能な状態です。第三者に共有する必要がある場合は、画像の内容と以前の閲覧範囲を確認してから配信を再開してください。

不要な画像を一括で公開しない
配信を再開すると、以前の閲覧範囲が適用されます。特に無料プランでは配信再開後に非公開へ戻す機能に制限があるため、一括で再開する前に慎重な確認が必要です。

不審なメールに注意する
GyazoやHelpfeelを名乗るメールが届いても、パスワードやカード番号の入力を求めるリンクは開かないようにしてください。

なお、過去にGyazoを使っていたものの現在は退会している場合も、削除済み画像のメタデータが対象になっている可能性があります。

心当たりがある人は公式発表を確認し、必要に応じてGyazoの問い合わせ窓口へ相談してください。

Gyazoの調査は終了した？今後の再発防止策と対応

10月21日に公表された第三報は、外部専門機関によるフォレンジック調査の最終結果を踏まえたものです。

Helpfeelは、9月18日に外部専門機関へ調査を委託し、9月25日から10月15日にかけて調査が実施されたと説明しています。

10月15日に最終報告書を受領し、19日に内容の説明を受けたうえで、21日に調査結果を公表しました。

今回の第三報をもって、外部専門機関の調査結果に基づく報告はいったん最終となります。

一方、対象者への連絡や関係当局への報告、流出した情報の監視、再発防止策の実施は今後も続きます。

すでに完了した対策としては、不正アクセスの原因となった脆弱性の修正、侵入経路の遮断、一部認証情報の無効化、ソースコード全体の点検、内部システム間のアクセス制御強化などがあります。

今後は、AIを利用した継続的なソースコード解析、外部専門機関による脆弱性診断、監視体制の強化、セキュリティ専門組織の設置などを進める方針です。

また、削除済み画像のメタデータについても、新たな削除ポリシーを適用し、長期間保存し続ける運用を見直すとしています。

今回の調査では二次被害は確認されていませんが、今後、新たに公表すべき事実が明らかになった場合には、追加の案内を行う方針です。

Gyazoの情報漏えいと画像432件の流出まとめ

2026年10月21日、Gyazoを運営するHelpfeelは、不正アクセスに関する第三報を公表しました。

外部専門機関による調査と追加確認の結果、133人が所有する画像ファイル432件について、第三者による閲覧・取得が判明しています。

一方、約2,362万件のユーザー関連データ、約4.9億件の画像メタデータ、約1.74億件の削除済み画像メタデータなどの流出も公表されていますが、これらは画像ファイル本体が流出した件数ではありません。

削除済み画像のファイル本体についても、第三者による取得を示す記録は確認されていません。

ただし、流出したメタデータには画像URLやOCRテキストなどが含まれ、ほかの画像が閲覧された可能性を完全に否定することはできないとされています。

Gyazoは9月27日にサービスを再開していますが、過去の画像は原則として所有者本人のみが閲覧できる状態で、第三者への配信再開には利用者自身の確認と操作が必要です。

また、今回の不正アクセス以降にパスワードを変更していない人は、Gyazoや同じパスワードを利用するほかのサービスについて変更するよう求められています。

現在までに二次被害は確認されていませんが、今後も流出情報の監視や再発防止策の実施が続けられます。

なお、2026年9月末から10月にかけて発表された企業やサービスの情報漏えい・不正アクセスについては、関連記事「2026年9月末～10月の情報漏えいまとめ」でも整理しています。

主な参考資料と確認日

情報確認日：2026年10月22日。Helpfeelが2026年9月16日に公表した第一報、9月25日の第二報、10月21日の第三報、9月27日のサービス再開案内およびGyazo公式ヘルプを確認しています。10月21日の第三報は主に10月20日時点で確認された内容に基づいています。画像432件は第三者による閲覧・取得が確認された画像ファイル本体の件数であり、約2,362万件はユーザー関連データのアカウント数、約4.9億件・約240万件・約1.74億件は画像メタデータの件数です。確認されていない画像の閲覧可能性や今後の二次被害を完全に否定するものではなく、新たな発表により情報が更新される場合があります。

コメント

タイトルとURLをコピーしました