【Gyazo】画像共有サービスに不正アクセス、約2,362万件のユーザー情報が流出、パスワードの変更を

Security Note
2026/10/5
2026/10/7

公表：2026年9月16日（第1報）、9月25日（第2報）、9月27日（サービス再開）／続報：9月29日（画像の閲覧仕様の追記）

3行でわかるポイント

  1. 画像共有サービス「Gyazo」の画像アップロード用サーバーの弱点を突かれ、外部から侵入されました。
  2. ユーザーに関するデータ約2,362万件のほか、画像の付随情報（メタデータ）約4.9億件などが流出しました。
  3. パスワードは暗号のような値（ハッシュ値）で流出しているため、Gyazoと、同じパスワードを使っている他サービスのパスワードを変えてください。

何が起きたか

Gyazoは、パソコンやスマホの画面を撮影して、すぐにURLで共有できるサービスです。仕事の資料のやり取りなどにも広く使われています。運営するHelpfeel社によると、画像をアップロードするサーバーの脆弱性（システムの弱点）を悪用され、外部から命令を実行される形で侵入されました。

同社は9月16日に第1報を出し、9月24日から二次被害を防ぐためにサービスを止め、9月25日に流出の範囲を公表しました。原因となった侵入経路はふさぎ、弱点は修正したとしています。サービスは9月27日に再開しました。

漏れた可能性のある情報

  1. ユーザーに関するデータ：約2,362万件。うちメールアドレスを登録していないユーザーが約1,801万件、登録しているユーザーが約562万件です。
  2. 含まれる場合がある項目：名前やニックネーム、メールアドレス、パスワードのハッシュ値、ユーザーID、端末ID、ログイン状態を保つためのID、X連携用の情報、Googleログイン用のメールアドレス、プロフィール情報など。
  3. 画像のメタデータ：約4.9億件（主に2019年1月以前にアップロードされたもの）。
  4. 削除済み画像のメタデータ：約1.74億件（主に2023年2月以前に削除されたもの）。
  5. クレジットカードなどの決済情報は含まれていないとしています。

生活や仕事への影響

パスワードはそのままの文字ではなく、元に戻しにくい値に変換して保存されていました。それでも、簡単なパスワードは解読される恐れがあります。同じパスワードを他のサービスでも使っていると、そちらにも勝手にログインされる危険があります。また、メールアドレスが知られたことで、Gyazoを装った偽メールが届く可能性もあります。

再開後の画像の扱い

再開にあたり、事件前にアップロードされた画像は、いったん「本人だけが見られる状態」に切り替えられました。以前に共有したURLを他の人が開けるようにするには、画像の内容を確認したうえで、自分で「配信を再開する」操作が必要です。

9月29日21時30分の公式追記では、Gyazo Teamsに事件前から保存されていた画像は、配信停止中でも同じチームのメンバーが閲覧できるよう変更されています。「自分のみ」の画像は対象外で、パスワード保護の画像には引き続きパスワードが必要です。配信を再開すると元の公開範囲に戻るため、チーム内で見られる状態と、外部への共有を区別して確認してください。

利用者が今すべきこと

  1. Gyazoのパスワードを変更する。同じパスワードを使い回している他のサービスも変更する。
  2. Gyazoを名乗るメールのリンクからはログインせず、公式サイトやアプリから確認する。
  3. 仕事で共有していた画像は、配信を再開する前に、見せてよい内容かどうかを確認する。

私たちが学べること

  1. パスワードはサービスごとに変える。覚えきれない場合はパスワード管理アプリを使う。
  2. 画面のスクリーンショットには、思わぬ個人情報や社内情報が写り込むことがある。
  3. 使わなくなった共有画像や、使っていないアカウントは、こまめに整理する。

経過

  1. 9月11日：不正なアクセスを検知し、調査を開始。
  2. 9月16日：不正アクセスを公表（第1報）。
  3. 9月24日：二次被害を防ぐため、サービスを一時停止。
  4. 9月25日：流出したデータの範囲を公表（第2報）。
  5. 9月27日：サービスを再開。過去の画像は本人のみ閲覧可能な状態に。
  6. 9月29日：Gyazo Teamsの過去画像は、配信停止中でも同じチーム内で閲覧可能にする仕様変更を追記（自分のみ設定を除く）。

出典

  1. Helpfeel：公式発表（第2報、9月25日）／サービス再開のお知らせ（9月29日追記を含む）
  2. ScanNetSecurity：画像共有サービス「Gyazo」に不正アクセス、約2,362万件のユーザーに関するデータが流出
  3. セキュリティ対策Lab：Gyazoがサービス再開 不正アクセス後の過去画像は「所有者本人のみ」



※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。

コメント

コメントはまだありません。