Gyazo、133人の画像432件の閲覧・取得を確認　削除済みデータの対象者にも追加通知

画像共有サービス「Gyazo」を運営するHelpfeelは2026年10月21日、不正アクセスの調査結果を公表しました。新たなポイントは、133人が保存していた画像432件の第三者による閲覧・取得が判明したことと、削除済み画像のメタデータに関する追加通知です。9月に発生した事案の続報で、10月21日に新たな侵入が起きたという発表ではありません。

この記事の確認時点：2026年10月21日17時10分（日本時間）。企業の第三報は10月20日時点の調査内容に基づきます。Helpfeelの第三報

画像本体とメタデータを分けて確認

今回確認された432件は、画像ファイルについての件数です。一方、過去に公表された約4.9億件、条件を絞って取得された約240万件、削除済み画像の約1.74億件は、画像に付随する「メタデータ」の件数です。これらを画像本体の流出枚数や被害人数として足し合わせることはできません。

ユーザー情報の約2,362万件も人数ではなく、匿名利用を含むアカウント数です。会社が示す従来の件数は第二報から変わっていません。外部調査では大容量の送信記録を確認したものの、送信内容そのもののログがなく、個々の送信項目・件数を直接照合できない限界も説明しています。第三報の影響範囲と調査上の限界

第一報によると、ユーザー情報には登録状況に応じてメールアドレス、名前・ニックネーム、パスワードのハッシュ値などが含まれます。メタデータには画像URLに関わる情報、画像から読み取った文字、タイトル、画像に含まれる場合の位置情報などがあります。画像本体とは別でも、内容や撮影場所を推測する手がかりになり得る情報です。クレジットカード番号などの決済情報は流出対象に含まれていません。9月16日の第一報

追加通知を待つ方と、今できる対応

約5.7万アカウントは、削除済み画像のメタデータが漏えい対象となった可能性があり、メールで連絡できる対象です。退会・解約済みも含まれます。133人への画像の個別通知とは対象の数え方が異なり、単純に合計して被害人数とはできません。Gyazo公式ヘルプの第三報・FAQ

• 事件後まだ変更していないGyazoのパスワードを変更する。同じ、または似たパスワードを使う別サービスも見直す。
• 登録メールと公式サービス画面の案内を確認する。画像の個別通知を受けた場合は、示された対象と対応を確認する。
• 過去画像の配信を戻す際は、内容と共有範囲を確認する。業務情報を含む画像は社内の担当者にも確認する。

画像の大量取得を示す記録は確認されていませんが、432件以外の画像がURLを通じて閲覧された可能性を完全には否定できないとしています。「連絡がないから、すべて無関係」とは断定しないことが大切です。公式FAQ

発生は9月、サービスは再開済み

不正アクセスは9月11日に発生し、同日夜に検知。12日に原因となった脆弱性を修正し、14日に流出を確認、16日に第一報を公表しました。今回の10月21日は、外部調査を踏まえた結果の公表日です。公式の経緯

サービスは9月27日に再開しており、ITmediaの9月28日報道でも、以前の画像は利用者が内容を確認して配信を戻す仕組みが紹介されました。現在もこの方針を継続し、Gyazo Teamsでは同一チームのメンバーも閲覧できる扱いがあります。

今後は削除済み画像のメタデータを削除後60日で自動消去する方針を整備・適用し、過去分も法令上の保全などに支障のない範囲で順次消去する予定です。すべて消去済みという発表ではありません。調査結果の報告は今回を最終としていますが、対象者への連絡や監視、再発防止は続きます。今後の対応

情報流出のお知らせを受け取った際の考え方は、企業サイバー被害と利用者の確認事項をまとめた過去記事でも整理しています。