Gyazoに不正アクセス、ユーザー情報・画像メタデータと一部画像が流出（2026年）

何が起きたか

Helpfeelが運営する画像・動画共有サービスGyazoで、2026年9月11日に不正アクセスが発生しました。アップロード後の変換処理にあった脆弱性が悪用され、任意のコマンド実行、データベースからの読み取りと外部への送信につながりました。同社は11日夜に検知し、12日未明までに遮断、同日中に脆弱性を修正しています。10月21日の第三報

被害と影響

同社が公表したユーザー情報約2,362万件はアカウント数です。画像メタデータの約4.9億件、条件を絞って取得された約240万件、削除済み画像に関する約1.74億件も、画像本体や被害人数の数字ではありません。第三報では別に、133名が保存した画像432件の閲覧・取得が判明したと説明し、対象者へ個別に連絡済みです。被害範囲と画像の調査結果

画像本体の大量取得を示す記録は確認されていません。一方、流出したURLによる他の画像の閲覧可能性は完全には否定できないとしています。決済情報は対象外で、パスワードに関する情報はハッシュ値です。10月20日時点で、本件に起因する不正利用・なりすまし等の二次被害は確認されていないという説明です。情報漏えいの範囲・二次被害

利用者への案内

Gyazoには個人向けの利用プランもあり、私的に保存・共有する画像やアカウントも確認対象となります。Gyazoの利用案内

9月27日にサービスは再開しました。不正アクセス前の画像は、所有者が内容を確認して配信を再開する方式が続いています。事件後にパスワードを変更していない場合や、他サービスで同一・類似のパスワードを使う場合は変更が案内されています。利用者への対応

削除済み画像のメタデータについては、対象の可能性があり連絡先の分かる約5.7万アカウントへ順次通知予定です。この通知でURLへのアクセスやリンク先操作を求めることはなく、パスワード・カード番号も尋ねないとしています。通知と不審メールへの注意

出来事の時系列

公式の経緯