Gyazoの情報漏えい
流出情報・続報と利用者向け対策

流出した情報と、分かっていないこと

ユーザー関連データと画像のメタデータは別の対象です。人数や画像ファイル数へ置き換えず、合算せずに読みます。

数値と対象範囲：Helpfeelの第二報

ユーザー関連データの内訳は、メールアドレス未登録の匿名利用が約1,801万件、登録ありが約562万件です。総数の内数で、丸めによる差があります。全件にメールアドレスが含まれるとは限りません。

メタデータの件数は、画像ファイルの流出件数ではありません。第二報の追加確認分に削除済み画像ファイル自体は含まれず、実際の対象人数も、この表からは確定できません。

決済情報の流出、Helpfeel・Cosenseのシステムからの流出、個人情報の不正利用などの二次被害は、9月25日の調査時点で確認されていません。調査時点の結果として読みます。第二報の確認事項

続報で変わった点

1. 9月11日〜12日

   画像アップロードサーバーへの不正アクセスを検知。侵入経路の遮断と脆弱性の修正を実施。初報

2. 9月16日

   ユーザー関連データと画像メタデータの流出を公表。初報

3. 9月25日

   削除済み画像のメタデータ流出と、ユーザー関連データの内訳を追加説明。X連携トークン単体ではXへのログイン・操作はできず、OAuth認証情報は無効化済みと説明。第二報

4. 9月27日

   サービスを再開。過去画像は原則として所有者だけが閲覧でき、本人が配信再開を選ぶ仕組みに変更。再開すると以前の公開範囲に戻ります。再開告知

5. 9月29日追記

   Gyazo Teamsでは配信停止中の過去画像も同じチームのメンバーが閲覧できるよう変更。「自分のみ」は例外で、パスワード保護も継続。再開告知の追記

利用者が今やること

公式の案内に基づく対応

• Gyazoのパスワード設定を確認する。パスワードで利用している人は変更し、同一・類似のパスワードを使い回した他サービスも対応する。ログイン方法ごとの手続きが不明なら公式窓口へ。公式の変更案内
• 過去画像の公開範囲を見直す。一括で配信を再開する前に、機密情報と閲覧範囲を確認する。Teamsの同チーム閲覧という例外も踏まえて確認する。公式の配信再開手順

漏洩ウォッチによる一般対策

• 画像に秘密情報を載せていた場合は、該当する秘密を失効・再発行する。APIキーなどの権限と利用履歴を確認する。画像の削除だけを対応完了にしない。根拠：OWASPの漏えいした秘密への対応
• 不審なメールからログインしない。公式サイトを自分で開き、通知内容と対応を確認する。対象か分からない場合はGyazoの公式窓口へ。初報でも不審な連絡への注意が案内されています。

運営側が点検すべきこと

以下は、この事例の公表内容から整理した独自の一般対策です。Gyazoで未公表の実装や原因を推定するものではありません。

• アップロード処理とデータへの権限を分離する。画像処理ライブラリの更新、処理環境の権限、保存先を点検する。初報が示した画像アップロードサーバーの侵入を踏まえた確認点です。根拠：OWASPのファイルアップロード対策
• 対象の認証情報をサーバー側で失効させ、旧情報でのアクセスを検証する。セッションと連携認証を含めて対象範囲を特定する。根拠：OWASPのセッション失効
• 画像URLが知られても非公開画像や別チームの画像を読めないか確認する。画像ごとの認可とTeamsの境界を点検し、削除画像・アカウントのメタデータの保存期間と削除範囲も見直す。根拠：OWASPの認可確認

公式確認先と、このページの扱い

• Helpfeel：情報漏えいのお知らせ（初報・後日追記あり）
• Helpfeel：第二報（9月25日）
• Helpfeel：サービス再開と配信手順（9月29日追記あり）
• Gyazo：日本語お問い合わせ窓口

2026年10月6日に上記の公式発表を確認して独自に要約しました。新しい事故や人数としては加算せず、9月の既存掲載事例を詳しく説明するページです。調査の続報や個別の対象確認は公式の案内を優先してください。

2026年9月の公表一覧へ戻る

掲載内容の訂正・情報更新はこちら