Gyazoに不正アクセスでアカウント2,362万件が流出、画像メタデータは4.9億件。非公開画像のID一覧も取得されていた

2026年9月18日

この記事のポイント

いつ：2026年9月11日夜に侵入を検知、9月16日に公式発表
何が：Gyazo（運営：Helpfeel）への不正アクセスで、アカウント情報約2,362万件・画像メタデータ約4.9億件が流出
画像は：画像ファイル本体の広範な流出は報じられていないが、非公開画像を含む画像ID一覧は取得済み。第三者による無断閲覧の可能性は否定できない
含まれないもの：クレジットカード番号等の決済情報は対象外
読者がすべきこと：Gyazoのパスワードを変更する。他サービスで使い回している場合はそちらも変更する

Gyazoを運営するHelpfeelは2026年9月16日、不正アクセスによる情報流出を公式発表した。アカウント情報が約2,362万件、画像に関するメタデータが約4.9億件流出したという規模の大きさに加え、「画像そのものが漏れたのか」という点で誤解が生じやすい発表内容になっている。何が起き、何がまだ分かっていないのかを整理する。

9月11日夜の侵入検知から9月16日の公表まで、5日間の対応の中身

Helpfeelの発表によれば、2026年9月11日、Gyazoの画像アップロードサーバーの脆弱性を悪用され、システム上で任意のコマンドを実行される不正アクセスが発生した。同社は同日夜に不審な挙動を検知し、9月12日未明までに侵入経路を遮断して不正な接続を切断している。

その後も対応は続いた。9月14日には一部画像の配信を停止してエラー表示に切り替え、9月15日に対策完了を確認したうえで新規アップロード画像の配信を再開。同日中に個人情報保護委員会への報告を行い、翌16日に公式発表とお詫びに至った。侵入検知から公表まで5日を要した計算になる。

流出した「2つの桁違いの数字」——アカウント2,362万件と画像メタデータ4.9億件の中身

流出したのは大きく分けて2種類のデータだ。1つはユーザーが登録したアカウント情報で、件数は約2,362万件。もう1つは画像に紐づくメタデータ（画像そのものではなく、画像に付随する属性情報）で、こちらは約4.9億件にのぼる。

アカウント情報の内訳は次の通り。パスワードは「ハッシュ値」（元のパスワードを一方向の計算で変換した文字列で、そのままでは元の文字列を復元できない仕組み）として保存されており、平文のまま流出したわけではない。

項目	内容
基本情報	利用者が設定した名前・ニックネーム、メールアドレス、利用者ID
認証関連	パスワードのハッシュ値、端末ID、ログインセッションID（ログイン状態を維持するためにサーバーが発行する識別子）
外部連携	X（旧Twitter）連携用トークン、Google SSO（シングルサインオン。1つのアカウントで複数サービスにログインできる仕組み）のメールアドレス・プロフィール情報
含まれないもの	クレジットカード番号等の決済情報

決済情報が対象外である点は、カード番号まで流出した可能性が報じられたRIZAP運営「APORITO」に不正アクセス、カード番号とセキュリティコードまで流出の可能性。対象は5月1日〜8月5日の利用者の事案とは対照的だ。なお一部報道では、約2,362万件には登録メールアドレスを持たない匿名アカウントも含まれており、実際に個人が特定され得る件数は別途調査中と指摘されている。

画像メタデータの内訳は次の通り。

項目	内容
識別・投稿情報	画像ID、アップロード元アプリ名、キャプチャ元のWebサイトURL、アップロード日時
抽出データ	OCR（画像内の文字を認識してテキスト化する技術）で抽出したテキスト、EXIF（写真撮影時に自動記録される日時・位置情報などの付属データ）の位置情報
通信情報	アップロード元IPアドレス、User-Agent
非公開画像	「パスフレーズ」のハッシュ値

対象は主に2019年1月以前に登録された画像（全体の約14.4%相当）で、これとは別に条件を絞って取得された約240万件分のメタデータも流出したという。

「画像は流出していない」ではない——画像ID一覧の取得と、否定しきれない閲覧可能性

ここが最も誤解されやすい部分だ。事実は単純なYES/NOではなく、3つの層に分かれている。

まず①画像そのものに付随するメタデータ約4.9億件は流出した。一方②画像ファイル本体が広範囲に外部流出したという直接の報道はない。しかし③非公開画像を含む「画像ファイル一覧（画像IDを含む）」自体は取得されており、そのIDを使えば画像を閲覧できる可能性があるため、「第三者が実際に非公開画像を閲覧した可能性は完全には否定できない」とHelpfeelは説明している。

つまり「画像は流出していません」と言い切ることも、「画像が全部見られた」と断定することもできない。同社はこの閲覧可能性を受けて、一部画像の閲覧を一時的に無効化する対応を取った。

パスワードは「方式不明のハッシュ化」——それでも変更が必要な理由

パスワードは前述の通りハッシュ化されて保存されており、平文そのものが流出したわけではない。ただし、bcryptなど具体的にどの方式でハッシュ化されていたか、ソルト（推測を難しくするための追加のランダム文字列）が付与されていたかは公表されておらず、現時点で分かっていない。

方式が公表されていない一方で、Helpfeelは利用者に対し、Gyazoのパスワード変更、および同一・類似パスワードを他サービスでも使い回している場合はそちらの変更も呼びかけている。X連携用トークンの流出自体は確認されているが、連携解除を推奨する文言を公式が明示しているかどうかは公表されていない。

対象範囲・二段階認証・強制ログアウトは「確認できていない」——公式発表の外側にある未確定要素

発表内容には、書かれていないことも多い。対象範囲が国内限定なのか全世界なのかについて明言する一次情報は明らかになっていない。2025年1月時点でGyazoの利用者数は世界242の国と地域に及ぶとされており、そこから全世界ユーザーがほぼ含まれるとする推測も見られるが、これは単一ソースによる推論にとどまる。

同様に、二段階認証の設定有無や、運営側による強制ログアウト・セッション・トークンの強制失効の実施についても、現時点では確認できていない。

Gyazoとシステム構成が異なるCosense、影響の有無はフォレンジック調査の結果待ち

Helpfeelが提供する「Cosense」など他サービスについては、Gyazoとシステム構成が異なり、発表時点で情報漏えいは確認されていないという。ただし、これは「現時点で」の話であり、調査の進展次第で変わり得る位置づけの情報だ。

同社は外部専門家によるフォレンジック調査（不正アクセスの手口や被害範囲を専門的に解析する調査）を実施しており、漏えいの範囲・影響を継続調査する方針としている。個人情報保護委員会など関係機関への報告・相談も続けるとしており、続報が出る可能性がある。

まとめ

Gyazoの不正アクセスでは、アカウント情報約2,362万件と画像メタデータ約4.9億件の流出が確認された一方、決済情報は対象外、パスワードもハッシュ化された状態での流出だった。画像そのものについては「流出していない」でも「全部見られた」でもなく、非公開画像を含む画像ID一覧が取得され閲覧の可能性が否定できない、という三層構造で理解する必要がある。

パスワードの方式や対象範囲、二段階認証・強制ログアウトの実施有無など公表されていない点も多く残る。利用者が今すぐできることは、Gyazoのパスワード変更と、使い回している場合は他サービスのパスワード変更だ。フォレンジック調査の続報を待ちつつ、現時点で確定している事実と未確認の事項を混同しないことが重要になる。