Gyazo情報漏えい、自分も対象？画像そのものは流出した？約2362万件・4.9億件の中身を整理

Gyazo情報漏えい、自分も対象？画像そのものは流出した？2362万件・4.9億件を整理

画像共有サービス「Gyazo」で大規模な情報漏えいが確認されました。

運営するHelpfeelによると、2026年9月11日にGyazoの画像アップロードサーバーが不正アクセスを受け、その後の調査でユーザーに関するデータ約2362万件と、画像に関するメタデータ約4.9億件などが外部へ流出していたことが分かりました。

まず、数字だけを見て、

「2362万人の個人情報が漏れた」
「4.9億枚のスクリーンショットそのものが盗まれた」

と受け取るのは正確ではありません。

約2362万件はユーザーデータの件数で、メールアドレスを登録していない匿名アカウントも含まれます。実際に個人情報が漏えいした人数は現在も調査中です。

約4.9億件についても、外部流出が確認されたのは画像ファイルそのものではなく、画像に関するメタデータです。

ただし「画像本体は無事だから問題ない」とも言えません。

流出した情報にはGyazoの画像URLを構成する画像IDが含まれており、Helpfeelはそれを利用して画像が不正に閲覧される恐れがあると説明しています。非公開画像のファイル一覧が取得されていたことも確認され、一部が第三者に閲覧された可能性も調査中です。

利用者が今すぐ優先したいのは、Gyazoのパスワード変更です。同じ、または似たパスワードをほかのサービスでも使っている場合は、そちらも変更するようHelpfeelが呼びかけています。

では、自分が今回の対象になり得るのか、昔アップロードした画像や非公開画像はどうなのか、現在分かっている範囲を整理します。

Gyazoで何が起きた？9月11日に不正アクセス

Helpfeelによると、不正アクセスが発生したのは2026年9月11日です。

Gyazoの画像アップロードサーバーに存在していた脆弱性が悪用され、第三者がHelpfeelのシステム上で任意のコマンドを実行しました。

同社は11日夜に不審な挙動を検知。調査と対応を始め、12日未明までに確認された侵入経路を遮断し、不正な接続も切断しています。

原因となった脆弱性についても修正済みです。

その後、第三者がGyazoのデータベースへアクセスし、ユーザー情報と画像に関するメタデータを外部へ流出させていたことが判明しました。

つまり、9月16日時点で確認されている侵入経路がそのまま開いているわけではありません。

一方で、影響範囲を調べるフォレンジック調査はまだ続いています。これから新しい事実が判明する可能性があることもHelpfeel自身が明記しています。

約2362万件は「2362万人」という意味ではない

今回の発表で最初に注意したい数字が約2362万件です。

Helpfeelの表現は、

「Gyazoのユーザーに関するデータ約2,362万件」

となっています。

これは「2362万人分」と同じ意味ではありません。

約2362万件の中には、メールアドレスなどを登録していない匿名アカウントも含まれています。

そのためHelpfeelも、

実際に個人情報の流出対象となる人数は現在調査中

としています。

昔Gyazoを使ったことはあるものの、アカウントを正式に登録した記憶がないという人も、匿名利用だから今回と無関係とは言い切れません。

反対に、

「過去に一度でもGyazoを使った人は全員対象」

とも発表されていません。

無料ユーザー、Gyazo Pro、Gyazo Teamsなど、契約形態ごとの対象件数も現時点では明らかになっていません。

メールアドレスやパスワードは？流出したユーザー情報を整理

Helpfeelが9月16日時点で公表しているユーザー関連情報は次の通りです。

ここで重要なのは、約2362万件すべてについて、この全項目がセットで流出したわけではないことです。

Helpfeelも、該当する情報の種類や範囲はユーザーごとに異なると説明しています。

たとえばXを連携していなかった人にX連携用トークンが存在するわけではありません。

パスワードそのものが漏れたわけではないが、変更は必要

流出したのは、Gyazoのパスワードそのものを読める形で保存した「平文」ではなく、パスワードのハッシュ値です。

ハッシュ値はパスワードから生成される別の値で、通常は元のパスワードをそのまま保存しないために使われます。

ただし、

「ハッシュだから安全なので何もしなくてよい」

という話ではありません。

Helpfeelは今回、Gyazo利用者にパスワード変更を明確に求めています。

さらに、Gyazoと同一または似たパスワードを別のサービスでも使っている場合は、そちらも変更するよう案内しています。

今回使われていたハッシュ方式や、どの程度解析が困難なのかについてHelpfeelは公表していません。

その安全性を利用者側で推測するより、公式案内どおりパスワードを変更するのが確実です。

XやGoogleアカウントまで乗っ取られる？

流出した情報には、利用状況によって、

X（旧Twitter）連携用トークン
Google SSOのメールアドレス

も含まれます。

ただし、ここから、

「Xアカウントが乗っ取られる」
「Googleのパスワードまで流出した」

とは言えません。

Helpfeelは、漏えいした認証関連情報について仕様と悪用可能性を精査し、必要な無効化・制限などの対策をすでに実施したと説明しています。

9月16日時点では、全利用者に対し「X連携を解除してください」「Googleアカウントのパスワードも変更してください」という追加対応までは求めていません。

Googleについて今回公表されているのは、Google SSOを使った場合のメールアドレスです。GoogleアカウントのパスワードがGyazoから流出したという発表ではありません。

クレジットカード番号は流出していない

有料プランを使っていた人は、カード情報も心配になるかもしれません。

この点はHelpfeelが明確にしており、クレジットカード番号などの決済情報は流出していないことを確認済みです。

流出したユーザー情報には「課金ステータス」が含まれますが、これはカード番号そのものとは別です。

今回の事案だけを理由にクレジットカードを停止したり、再発行したりするような案内も出ていません。

約4.9億件は「画像そのもの」ではなくメタデータ

次に、より大きな数字として報じられている約4.9億件です。

Helpfeelが外部流出を確認しているのは、

主に2019年1月以前に登録された画像に関するメタデータ約4.9億件

です。

これはGyazoが保有する画像関連データ全体の約14.4％にあたります。

さらに別に、条件を絞って取得された約240万件の画像メタデータも流出しています。

したがって、

「4.9億枚のスクリーンショットそのものが外部へ丸ごとコピーされた」

と確認されたわけではありません。

また、約4.9億件と約240万件について、重複がないと公式に説明されているわけでもないため、単純に足して「4億9240万枚」と数えるのも避けた方がよいでしょう。

Helpfeelは9月16日19時の追記で、今回いう「画像」には静止画のスクリーンショットだけでなく、GIFや動画などGyazoでキャプチャ・保存されたコンテンツも含むと説明しています。

画像メタデータには何が含まれていた？

流出したと確認されている画像関連メタデータには、次の情報が含まれています。

EXIF位置情報については、すべての画像に位置情報が入っていたわけではありません。

公式も「画像に含まれる場合」としています。

OCRテキストも「スクリーンショットの中身がすべて完全に文字起こしされていた」という意味ではありません。今回外部流出したメタデータの項目として、画像から読み取られて保存されていた文字情報が含まれていたということです。

画像そのものは流出した？「見られた可能性」は残っている

今回、一番判断が難しいのがここです。

9月16日時点でHelpfeelは、

「約4.9億件の画像ファイルそのものが外部にコピーされた」

とは発表していません。

確認された外部流出は、画像に関するメタデータです。

しかし流出情報には画像IDが含まれています。

Gyazoではこの画像IDが画像URLを構成するため、Helpfeelは、

流出情報を使って対象画像へアクセスし、不正に閲覧される恐れがある

と説明しています。

つまり、

「画像ファイルそのものが4.9億枚流出した」

でもなく、

「メタデータだけなので画像本体は一切見られていない」

でもありません。

現時点の整理は、

外部流出が確認されたのはメタデータ。ただし、その情報を使って実際の画像へアクセスできる可能性があり、画像本体が第三者に見られた可能性は残っている

となります。

URLを誰にも送っていない画像も大丈夫とは言い切れない

Gyazoは画像をアップロードすると固有のURLを発行し、そのURLを共有して画像を見てもらうサービスです。

そのため、

「誰にもURLを送っていない画像なら大丈夫では」

と思うかもしれません。

しかし今回、そのURLを構成する画像IDが外部へ漏えいしています。

通常なら知られていない画像IDを第三者が取得しているため、「URLを一度も共有していなかった」というだけで安全とは判断できません。

実際にどの画像が閲覧されたかについては、現在も調査中です。

非公開画像や「自分のみ」の画像は？

Helpfeelは今回、非公開画像のファイル一覧が第三者に取得されていたことも確認しています。

さらに、

一部の非公開画像が第三者に閲覧された可能性を完全には否定できない

としています。

ここから「非公開画像はすべて見られた」と考えるのも正確ではありません。

どの公開範囲の画像を何枚閲覧されたのか、実際の閲覧範囲はまだ確定していません。

一方で、

「非公開設定だから今回の影響はない」

とも言えない状態です。

流出したメタデータには、非公開画像に使われるパスフレーズのハッシュ値も含まれています。

ただし、パスワード保護された画像がすべて突破された、「自分のみ」の画像がすべて閲覧された、とする発表もありません。

2019年1月以前の画像だけが対象？

今回の約4.9億件について、Helpfeelは、

「主に2019年1月以前に登録された画像」

と説明しています。

ここで「主に」を落とさないことが重要です。

「2019年1月までにアップロードした画像は全部対象」
「2019年2月以降なら絶対に安全」

という境界線ではありません。

さらに、約4.9億件とは別に、条件を絞って取得された約240万件の画像メタデータも流出しています。

その約240万件について、Helpfeelは「2019年1月以前だけ」と時期を限定していません。

したがって、アップロードした年月だけを見て、

「これは対象」
「これは安全」

と個別画像を判定することはできません。

昔削除したGyazo画像は？

「昔アップロードしたが、すでに削除した画像はどうなのか」という疑問もあります。

9月16日時点のHelpfeel公式発表では、削除済み画像が今回の外部流出データに含まれていたかどうかまでは明らかにされていません。

そのため、

「削除してあるから対象外」
「削除した画像もすべて漏れている」

のどちらも断定できません。

フォレンジック調査で新たな情報が出るのを待つ必要があります。

Gyazo利用者が今やるべきこと

利用者側の対応については、Helpfeelが明確に案内しています。

まず行うべきなのは、Gyazoのパスワード変更です。

同じパスワード、あるいは少し文字を変えただけの似たパスワードを別サービスでも使っているなら、そちらも変更してください。

反対に、不安だからとクレジットカードを止めたり、すべての画像を急いで削除したりするようHelpfeelが求めているわけではありません。

自分が対象か確認する方法はある？

9月16日時点では、メールアドレスやGyazoの画像URLを入力すると、

「今回の漏えい対象です」
「対象外です」

と判定できる一般公開の確認ページは確認できません。

Helpfeelは現在、影響を受けたユーザーの特定を進めています。

対象となる可能性のある利用者には、登録メールアドレスを通じて案内する予定です。

メールアドレスなどを登録していない匿名アカウントについては、Webサービス画面を通じて案内する予定としています。

そのため、現段階では、

「メールが届いていないから自分は対象外」

とも判断できません。

案内対象そのものを現在調査している途中だからです。

Helpfeelは今回の件について、Gyazo公式ヘルプ内に問い合わせ窓口も設けています。

Gyazoを装うメールやメッセージにも注意

Helpfeelは、今回の件に関連した不審なメールやメッセージに十分注意するよう呼びかけています。

実際に大規模なフィッシング被害が発生したとする発表ではありません。

ただ、今後「Gyazoの情報が漏れています」「確認のためログインしてください」など、本件に便乗した連絡が届く可能性を考え、リンク先や送信元をよく確認した方がよいでしょう。

昔のGyazo画像が表示されないのはなぜ？

今回の騒動後、「昔貼ったGyazo画像が見られない」と困っている人もいます。

これは必ずしも画像が攻撃者によって削除されたからではありません。

Helpfeelは、不正アクセスによる画像データの消失は現時点で確認されていないとしています。

一方、流出した画像IDを使った二次被害を防ぐため、9月14日から画像配信停止などの予防措置を実施しました。

9月15日には追加対策を行い、不正アクセス対策が完了した後に新たにアップロードされた画像については配信を再開しています。

したがって9月16日時点では、

新たな画像の配信は一部再開済み
一方で
過去画像を含む一部画像にはまだ閲覧制限がある

という状態です。

すべての過去画像がいつ閲覧可能へ戻るのか、全面復旧の日時はまだ発表されていません。

HelpfeelやCosenseも情報漏えいした？

今回不正アクセスを受けたのはGyazoです。

同社が提供する「Helpfeel」と「Cosense」はGyazoとは異なるシステム構成で、9月16日時点の調査では、今回の不正アクセスによる両サービスのシステムからの情報流出は確認されていません。

ただし、HelpfeelやCosenseのページ内でGyazoを使って画像を表示している場合は別です。

Gyazo側の画像配信停止により、ページ内のGyazo画像が表示できないケースがあります。

これは、

「HelpfeelやCosenseまで不正アクセスされた」

という意味ではありません。

不正アクセスによる情報漏えいの別事例については、つぶログでもデジタル庁GSSへの不正アクセスと個人情報24.6万件への影響を整理しています。今回のGyazoでは、画像IDやOCRテキストなど画像サービス特有の情報まで対象になっている点が大きく異なります。

不正アクセス発生から公表まで

今回の流れを時系列で整理すると、次の通りです。

Helpfeelは9月15日に個人情報保護委員会へ報告しています。

外部の専門機関によるフォレンジック調査も続けており、今後新しい事実が判明した場合は速やかに公表するとしています。

再発防止策としては、システムの認証・認可やアクセス制御の見直し、監視・監査体制の強化、安全な設計・開発・レビュー体制の整備などを進める方針です。

まとめ｜「4.9億枚の画像流出」ではないが、画像が見られた可能性は残る

Gyazoで2026年9月11日に不正アクセスが発生し、ユーザーに関するデータ約2362万件と、画像に関するメタデータ約4.9億件などの外部流出が確認されました。

約2362万件は「2362万人」という意味ではありません。匿名アカウントも含まれており、実際に個人情報が漏えいした人数は現在も調査中です。

また、約4.9億件について外部流出が確認されたのは画像メタデータであり、「4.9億枚の画像ファイルそのものが盗まれた」と発表されたわけでもありません。

ただし、流出したメタデータには画像URLを構成する画像IDが含まれています。

非公開画像のファイル一覧も取得されており、Helpfeelは一部の非公開画像が第三者に閲覧された可能性を否定できないとして調査を続けています。

「画像本体は全部流出した」と考えるのも、「メタデータだけだから画像は大丈夫」と考えるのも、どちらも現時点では正確ではありません。

利用者が今優先したいのは、Gyazoのパスワードを変更することです。同じ、または似たパスワードを他サービスでも使っている場合は、そちらも変更してください。

一方、クレジットカード番号などの決済情報は流出していないことが確認されており、X連携解除やGoogleアカウントのパスワード変更、画像の全削除などを全利用者に求める案内も現時点では出ていません。

自分のデータや過去画像が今回の対象だったかを個別に判定できる一般公開ページもまだ確認されていません。

Helpfeelは現在も対象ユーザーや実際の画像閲覧範囲を調査しています。今後の続報で個別の影響範囲が明らかになった場合には、今回の記事で最も更新が必要になる部分です。