不正アクセスの発生と対応の経緯

「Gyazo」を展開するHelpfeel社は、2026年9月16日、外部からの攻撃によって会員情報や画像に付随するデータが外部へ漏れたと明らかにしました。同社の説明によれば、9月11日に画像投稿用サーバーの弱点を突いた侵入を許し、システムを操作される事態となりました。同社は同日夜に異常を察知し、翌12日の未明には攻撃の入り口を塞ぐとともに、弱点の修正を終えています。

流出したユーザー情報と画像メタデータの詳細

今回の問題で漏えいが判明したのは、会員データ約2362万件と、画像に関連する情報約4億9000万件です。会員データには氏名やハンドルネーム、メールアドレス、暗号化されたパスワードなどが含まれますが、カード決済などの金銭情報は含まれていません。また、この件数にはメールアドレスを登録していない匿名利用者の分も含まれています。

画像関連の情報については、2019年1月までに登録されたものが大半を占め、特定の条件で抽出された約240万件も含まれます。流出したデータには、画像のURLや投稿時のIPアドレス、位置情報、暗号化済みの非公開画像用パスフレーズなどが含まれており、第三者が画像を閲覧できてしまう恐れがあると同社は注意を促しています。

二次被害の防止策と今後の対応

運営側は被害拡大を防ぐ目的で、対象となる一部の画像の閲覧を一時的に停止しました。また、同社が提供する「Helpfeel」や「Cosense」については、システム構成が異なるため、発表の時点で情報の流出は確認されていないと説明している。

同社は対象となるユーザーへ個別に連絡を進めており、パスワードの再設定や、他のWebサービスとログイン情報を共有しないよう強く推奨しています。