事案の概要データ
| 脆弱性の悪用 | 2026年9月11日 |
|---|---|
| 公表日 | 2026年9月16日（第一報） |
| 流出 | ユーザー関連データ 約2,362万件／画像メタデータ 約4.9億件 |
| 原因 | 画像アップロードサーバの脆弱性を悪用され、任意のコマンドを実行された |
| 流出項目 | 名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレス、プロフィール情報、契約プラン、課金ステータスなど |
図解：この事故の構造
何が起きたのか
Helpfeelは2026年9月16日、画像共有サービス「Gyazo」が不正アクセスを受け、ユーザー情報約2,362万件と画像に関するメタデータ約4.9億件が外部に流出したと公表しました。
原因は、画像アップロードサーバに存在した脆弱性を突かれ、システム上で任意のコマンドを実行されたことです。2026年9月11日に第三者が同サーバの脆弱性を悪用しました。
流出したユーザーデータには、名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレス、プロフィール情報、利用言語、登録日時、最終ログイン日時、契約プラン、課金ステータス、利用統計などが含まれます。
「セッションID」と「連携トークン」の重さ
この事案で特に注意すべきは、ログインセッションIDとX（旧Twitter）連携用トークンが含まれている点です。
セッションIDは、ログイン後に「この人は本人です」と証明するための札のようなものです。これを盗まれると、パスワードを知らなくてもログイン済みの状態を乗っ取れてしまいます。パスワードを変更するだけでは不十分で、全セッションを無効化する必要があります。
連携トークンも同様で、「GyazoからXに投稿する権限」を持った鍵です。これを使えば、本人になりすましてXに投稿することが可能になります。
利用者としては、(1)Gyazoのパスワード変更、(2)他サービスで同じパスワードを使っていればそちらも変更、(3)Xなど連携サービスの「連携アプリ」設定を確認し、不要な連携を解除する、という対応が必要です。
「画像のメタデータ4.9億件」とは
画像メタデータとは、画像そのものではなく「その画像に関する情報」です。いつアップロードされたか、誰がアップロードしたか、どんなURLで公開されているか、といったデータが該当します。
画像本体が流出したわけではありませんが、公開URLの情報が含まれていれば、本来は限られた人にしか共有していない画像にアクセスできてしまう可能性があります。
Gyazoは画面キャプチャを素早く共有するためのツールとして、仕事の現場でも広く使われています。業務の画面、資料の一部、社内システムの画像——意図せず機密情報が写り込んでいることは珍しくありません。利用している企業は、過去にアップロードした画像を見直す価値があります。
時系列で見る経過
- 2026年9月11日第三者が画像アップロードサーバの脆弱性を悪用し、任意のコマンドを実行
- 2026年9月中旬不正アクセスを検知し、調査を開始
- 2026年9月16日第一報を公表。ユーザー情報約2,362万件と画像メタデータ約4.9億件の流出を発表
- 2026年9月16日以降利用者へパスワード変更と連携解除を案内
中小企業が学ぶべきポイント
- セッションIDが流出したら、パスワード変更だけでは不十分。全セッションの無効化が必要。
- 外部サービスとの「連携」を定期的に見直し、使っていないものは解除する。
- 業務で画面キャプチャ共有ツールを使うなら、何を上げたかを記録し、定期的に削除する。
- 画像共有・ファイル共有サービスに、機密情報が写り込んでいないか確認する。
- 外部に公開しているサーバは、脆弱性情報が出たら即日対応する体制を持つ。
出典・参考
- Gyazoへの不正アクセスについてまとめてみた - piyolog
- Gyazoへの不正アクセスに関するご案内（第一報）- Gyazo ヘルプ
- 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。