調査中最終更新 2026-09-29
株式会社Helpfeel
情報通信（画像共有サービス「Gyazo」） ／ 未公表 ／ 京都
不正アクセス情報漏洩サービス停止
画像共有サービス「Gyazo」の画像アップロードサーバーの脆弱性を悪用され、第三者にシステム上で任意のコマンドを実行された。データベースから、ユーザーに関するデータ約2,362万件と画像に関するメタデータ約4.9億件などの外部流出を確認した。第二報では、削除済み画像のメタデータ約1.74億件の流出も新たに判明した。二次被害防止のため画像配信とサービス提供を一時停止し、2026年9月27日に再開した。
用語をタップで解説 ›
きっかけ・侵入経路
公式発表侵入経路
2026年9月11日、「Gyazo」の画像アップロードサーバーに存在した脆弱性を悪用し、第三者が同社システム上で任意のコマンドを実行する不正アクセスが発生した。同日夜に不正な挙動を検知し、9月12日未明までに侵入経路の遮断と不正接続の切断を実施、原因の脆弱性を修正した。第三者はデータベースにアクセスし、ユーザー情報と画像メタデータを外部に流出させた。脆弱性の詳細（CVE等）は公表されていない。
攻撃者不明
被害・漏洩
公式発表漏洩件数
推定・上限（漏洩の可能性）
一部の非公開画像が第三者に閲覧された可能性を完全には否定できないとしている（件数不明）。流出した画像メタデータには画像URLを構成する情報が含まれ、対象画像が不正に閲覧されるおそれがある。
実際の漏洩はこれより少ない場合があります
確認済み（確定値）
ユーザーに関するデータ約2,362万件（メールアドレス登録なしの匿名ユーザー約1,801万件、登録ありのユーザー約562万件）。画像に関するメタデータ約4.9億件（主に2019年1月以前のアップロード分、総画像数の約14.4%）、条件を絞って取得されたメタデータ約240万件、削除済み画像のメタデータ約1.74億件（主に2023年2月以前の削除分）。非公開画像のファイル一覧の取得も確認。
漏洩した情報の種類
名前（氏名・ニックネーム等の任意文字列）メールアドレスパスワードのハッシュ値利用者ID端末IDログインセッションIDX（旧Twitter）連携用トークンGoogle SSOのメールアドレスプロフィール情報利用言語登録日時最終ログイン日時契約プラン課金ステータス利用統計画像ID（画像URLを構成する情報）アップロード元IPアドレスUser-AgentEXIF位置情報画像のOCRテキスト画像タイトル取得元URL非公開画像のパスフレーズ（ハッシュ化）非公開画像のファイル一覧
含まれない情報：クレジットカード番号等の決済情報は流出していない。削除済み画像の画像ファイル自体は流出に含まれない。画像ファイルそのものの流出件数ではなくメタデータの件数である。
組織が把握できていないこと
実際に個人情報の流出対象となる人数、条件を絞って取得された約240万件の範囲、非公開画像の閲覧有無は調査中。外部専門機関によるフォレンジック調査は継続中。
対応と結末
公式発表経営層への説明に効く身代金の要求
不明
身代金の支払い
不明
企業が公表していません
復旧手段
侵入経路の遮断と脆弱性修正を9月12日に完了。流出した認証関連情報を無効化・制限し、一部画像の閲覧を停止。二次被害防止のためサービス提供を一時停止し、9月27日に再開した。再開時、不正アクセス発生前にアップロードされた画像はすべて所有者本人のみが閲覧できる状態とし、利用者自身が配信再開を選択する方式とした。個人情報保護委員会へ9月15日に速報を提出し、総務省と海外のデータ保護当局（GDPR等）にも報告した。
再発防止策
サービス全体を対象とした追加のセキュリティリスクアセスメント、外部専門家を含むセキュリティ強化体制の構築、開発者向けセキュリティ教育の強化を進めるとしている。認証・認可とアクセス制御の見直し、監視・監査体制の強化、安全な設計・開発・レビュー体制の整備にも取り組むとしている。
経緯
2026-09-11
初期侵入
画像アップロードサーバーの脆弱性を悪用した不正アクセスが発生し、任意のコマンドを実行された。
2026-09-11
検知
同日夜に不正な挙動を検知し、調査と対応を開始。
2026-09-12
初動対応
未明までに侵入経路を遮断して不正接続を切断し、原因の脆弱性を修正。
2026-09-14
初動対応
情報の外部流出を確認し、画像配信の停止等の予防措置を実施。
2026-09-15
初動対応
追加措置を実施し、対策後のアップロード画像の配信を再開。個人情報保護委員会へ速報を提出。
2026-09-16
公表
不正アクセスと情報漏えいを公表（ユーザーデータ約2,362万件、画像メタデータ約4.9億件）。
2026-09-18
続報
「Helpfeel」「Cosense」への影響が確認されていないことと緊急セキュリティ点検の実施を公表。
2026-09-24
続報
第一報に、メンテナンスのため「Gyazo」のサービスを一時停止している旨を追記。
2026-09-25
続報
第二報。削除済み画像のメタデータ約1.74億件の流出とユーザーデータの内訳を公表。
2026-09-27
復旧
サービス提供を再開。既存画像は所有者本人のみが閲覧できる状態で再開した。
影響
サービス停止二次被害防止のため画像配信を停止し、その後サービス提供を一時停止したが、2026年9月27日に再開。
画像の閲覧制限不正アクセス前にアップロードされた画像は、再開後も所有者本人のみが閲覧できる状態とされた。
関連サービス「Helpfeel」「Cosense」でGyazoを利用して表示している一部画像が閲覧できない場合があった。
出典
最終更新 2026-09-29