株式会社Helpfeel、画像共有サービス「Gyazo」に不正アクセス — ユーザー関連データ約2,362万件と画像メタデータ約4.9億件が流出、第二報で削除済み画像のメタデータ約1.74億件の流出も判明

2026/09/19 （更新 2026/09/29）続報を注視中深刻情報通信・IT #不正アクセス

項目	内容
発生日	不正アクセス: 2026年9月11日／検知: 同日夜／遮断: 2026年9月12日未明
公表日	第一報: 2026年9月16日／第二報: 2026年9月25日
対象組織・業界	株式会社Helpfeel（京都府京都市上京区／検索特化型AIナレッジデータプラットフォームおよびSaaSの開発・運用）。侵害されたのは同社が運営する画像共有サービス「Gyazo」の画像アップロードサーバ
影響件数	ユーザー関連データ約2,362万件（うちメールアドレス未登録の匿名アカウントが約1,801万件・約76%、メールアドレス登録済みが約562万件・約24%）、画像に関するメタデータ約4.9億件、および第二報で判明した削除済み画像に関するメタデータ約1.74億件。実際に個人情報が流出した人数は調査中とされている。決済情報は含まれていない
攻撃手法	画像アップロードサーバに存在した脆弱性の悪用 → 同社システム上での任意のコマンド実行 → ユーザー関連データおよび画像メタデータの外部流出
情報源	株式会社Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日・corp.helpfeel.com）、ITmedia NEWS（2026年9月16日）、INTERNET Watch（2026年9月16日）、窓の杜（2026年9月16日）、サイバーセキュリティ.com（2026年9月18日）。第二報: 株式会社Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」（2026年9月25日・corp.helpfeel.com）、ITmedia NEWS（2026年9月25日）、INTERNET Watch（2026年9月25日）、ITmedia NEWS（2026年9月28日・サービス再開）、INTERNET Watch（2026年9月28日・サービス再開）

概要

株式会社Helpfeel（京都府京都市上京区／検索特化型AIナレッジデータプラットフォームおよびSaaSの開発・運用）は2026年9月16日、同社が運営する画像共有サービス「Gyazo」が不正アクセスを受け、利用者に関する情報が外部に流出したと公表しました。

流出が確認されたのは、ユーザー関連データ約2,362万件と、画像に関するメタデータ約4.9億件です。ユーザー関連データには、ユーザーが指定した氏名やニックネームなどの名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレス、プロフィール情報などが含まれます。ただしこの約2,362万件にはメールアドレスなどを登録していない匿名アカウントも含まれており、実際に個人情報が流出した人数については調査中と説明されています。

画像メタデータの側には、画像URLを構成する画像ID、アップロード元のIPアドレス、User-Agent情報、EXIFの位置情報、OCRで抽出したテキスト、画像のタイトル、取得元URL、そして非公開画像のパスフレーズのハッシュ値が含まれていました。大半は2019年1月以前に登録された画像のもので、これに別の条件で取得された約240万件が加わります。

画像ファイルそのものが持ち出された事実は確認されていません。ただし画像URLを構成する情報が第三者に渡ったため、それを使って画像が閲覧された可能性は否定できないと同社は説明しています。さらに非公開画像についてはファイルの一覧が取得されたことが確認されており、一部が第三者に閲覧された可能性について調査が続いています。決済情報は流出した情報に含まれておらず、不正アクセスによる画像データの消失も公表時点では確認されていません。同社の他サービス「Helpfeel」「Helpfeel Cosense」はシステム構成が異なるため影響を受けていないとしています。

同社は利用者に対しGyazoのパスワード変更を呼びかけ、他のサービスで同一または類似のパスワードを使っている場合はそちらも変更するよう依頼しています。

2026年9月25日の第二報では、追加の調査により、主に2023年2月以前にユーザーが削除した画像に関するメタデータ約1.74億件についても外部流出が確認されたと公表されました。ここには利用者が個別に削除した画像と、アカウントの削除にともなって削除された画像の双方が含まれます。第二報ではあわせて、ユーザー関連データ約2,362万件の内訳が示され、メールアドレスを登録していない匿名アカウントが約1,801万件、メールアドレスを登録しているアカウントが約562万件と説明されています。全体に占める割合はそれぞれ約76%と約24%です。

Gyazoは二次被害の防止のため9月22日にサービスの提供を一時停止し、一連の安全対策と検証を経て9月27日午前8時に再開しました。再開にあたり、不正アクセスの発生前にアップロードされた画像は、それまでの公開設定にかかわらず、いったん所有者本人だけが閲覧できる状態に変更されています。再び共有したい画像については、利用者側で公開設定をやり直す必要があります。

経緯

2026年9月11日: Gyazoの画像アップロードサーバに存在した脆弱性を悪用され、第三者が同社のシステム上で任意のコマンドを実行。同日夜、不審な挙動を検知
2026年9月12日未明: 確認された侵入経路を遮断し、不正な接続を切断。初期対応を完了し、原因となった脆弱性の修正も完了
2026年9月14日: 調査により情報が外部へ流出していたことを確認。二次被害の防止を最優先とし、画像配信サーバにおける一部画像の配信を停止（当該画像はエラー表示となる）
2026年9月15日: 追加の二次被害防止策を実施。対策完了後に新たにアップロードされた画像について配信を再開（一部の画像は引き続き閲覧できない状態）。同日、個人情報保護委員会へ報告
2026年9月16日: 事案を公表。利用者へパスワードの変更を呼びかけ。外部の専門家によるフォレンジック調査を継続
2026年9月22日: 利用者がより安全に使える状態にするための対応として、Gyazoのサービス提供を一時停止。保存されている画像データは保持されると案内
2026年9月25日: 第二報を公表。主に2023年2月以前に削除された画像に関するメタデータ約1.74億件の外部流出を新たに確認。ユーザー関連データ約2,362万件の匿名アカウントと登録済みアカウントの内訳も公表
2026年9月27日午前8時: 一連の安全対策と検証を経てサービスを再開。不正アクセス発生前にアップロードされた画像は、公開設定にかかわらず所有者本人のみが閲覧できる状態に変更

原因

画像アップロードサーバに存在した脆弱性を悪用され、第三者が同社システム上で任意のコマンドを実行したことが原因と公表されています。当該の脆弱性は修正済みとされています。

脆弱性の種類、それが自社で実装した処理にあったのか外部のソフトウェアに由来するものだったのか、またアップロードサーバから利用者情報や画像メタデータの保管先へどのように到達したのかは、いずれも公表されていません。

対策

侵入経路の詳細は公表されていません。以下は、外部からファイルを受け付けるサービスを運用している組織が、自社に当てはめて確認できることです。

1. ファイルを受け取るサーバから、利用者情報へ手が届くかを確認する

画像やファイルのアップロードを受け付けているなら、その処理を動かしているサーバが、どのデータベースやストレージまで参照できる権限を持っているかを見ます。受け取ったファイルを所定の場所へ置くところまでに権限を絞っておけば、そのサーバで任意のコマンドを実行されても、持ち出される範囲がアップロード中のファイルにとどまります。

2. メタデータにも保持期間を決め、削除がどこまで及ぶかを確認する

本件で流出した画像メタデータ約4.9億件の大半は、2019年1月以前に登録された画像のものでした。自社が保存しているアクセス元IPアドレスや位置情報、抽出済みテキストといった付随データについて、項目ごとに保持期間を決めて過ぎたものを消しておけば、同じ侵害が起きたときに持ち出される件数をその期間分に抑えられます。持っていないデータは漏れません。

第二報では、これに加えて利用者が削除した画像やアカウント削除にともなって削除された画像のメタデータ約1.74億件も流出していたと公表されました。自社のサービスで削除の操作がどこまで及んでいるか、つまり本体のファイルだけを消して付随するメタデータを別のテーブルに残していないかを確認します。削除の対象をメタデータまで広げておけば、利用者が削除した分は侵害時の対象件数から外れます。

ヤグラの視点 — 持ち出された範囲は、残っているログの分しか言えない

アップロードサーバで任意のコマンドを実行された後の攻撃者は、正規の権限で正規の経路を通るため、システムから見れば通常の処理として記録されます。検知された攻撃の79%がマルウェアを使わないという報告があるとおりです。その痕跡はアプリケーションサーバのアクセスログ、データベースの監査ログ、外向き通信の記録に分かれて残り、どれかが欠けていると「この範囲までは触れられていない」と言い切る根拠がなくなります。

ここで有効なのは、どのサーバからどのデータストアへ、どの経路でどれだけの量が読み出されたのかを、平常時から1か所に集めて記録しておくことです。平常時の読み出し量が分かっていれば、遮断した後にその差分を突き合わせるだけで、持ち出された範囲を期間で区切って言えるようになります。ただしこれらのログは量が多く、人手で全部を見切るのは現実的ではありません。AIによる24時間365日の横断的なログ監視を置くことで、検知から初動までを数分の単位に縮め、事後の影響範囲の特定にも同じログを使えます（→ ヤグラ AI SOC）。

今後の対応

実際に個人情報が流出した人数（匿名アカウントを除いた確定値）
非公開画像が第三者に閲覧されたかどうか、閲覧された場合はその件数
悪用された脆弱性の種類と、自社実装か外部ソフトウェア由来かの別
アップロードサーバから利用者情報および画像メタデータの保管先へ到達した経路
パスワードのハッシュ値やセッションID、X連携用トークンを用いた二次被害の有無
外部専門家によるフォレンジック調査の結果と、同社が公表する再発防止策
削除済み画像のメタデータが保持されていた経緯と、その取り扱いの見直し
サービス再開後、公開設定がいったん所有者本人のみに戻された画像の取り扱いに関する追加の案内
さらに追加の流出が判明するかどうか（第一報から第二報までの間に対象が広がっている）
個人情報保護委員会への報告を受けた対応

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-19	第一報を公開
2026-09-29	続報を反映（9月25日の第二報で判明した削除済み画像メタデータ約1.74億件の流出、ユーザー関連データ約2,362万件の匿名／登録済みの内訳、9月22日のサービス一時停止と9月27日午前8時の再開、再開時の公開設定の変更）。status を investigating から monitoring に変更