対象：Gyazoを使ったことがある人と、画像や添付ファイルのアップロード機能を運営している人。本記事は運営会社の公式発表にもとづく解説で、攻撃手順は扱いません。
何が起きたのか（Helpfeelの発表より）
株式会社Helpfeelは2026年9月16日、同社が提供する画像共有サービス「Gyazo」への不正アクセスによる情報漏えいを公表しました。以下はすべて同社の公式発表に記載された内容です。
2026年9月11日
Gyazoの画像アップロードサーバーに存在した脆弱性を悪用し、第三者が同社のシステム上で任意のコマンドを実行する不正アクセスが発生。同日夜に不正な挙動を検知し、調査と対応を開始。9月12日未明
侵入経路の遮断と、第三者による不正な接続の切断を実施。9月14日
情報の流出を確認し、予防措置を実施。9月15日
二次被害防止の追加措置を実施。対策完了後にアップロードされた画像の配信を再開。個人情報保護委員会へ報告。9月16日
確認できた範囲と影響を公表。外部の専門機関によるフォレンジック調査を継続。
- ユーザー情報 約2,362万件
- 名前（任意の氏名・ニックネーム）、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X（旧Twitter）連携用トークン（連携していた場合）、Google SSOのメールアドレス（連携していた場合）、プロフィール情報、利用言語、登録日時、最終ログイン日時、契約プラン、課金ステータス、利用統計。ユーザーごとに含まれる項目は異なるとされています
- 画像のメタデータ
- 画像ID、アップロード元IPアドレス、User-Agent、EXIF位置情報、画像のOCRテキスト、画像タイトル、取得元URL、非公開画像のパスフレーズ（ハッシュ化されたもの）
- 画像そのもの
- 画像データの消失は確認されていない。ただし「一部の非公開画像が第三者に閲覧された可能性を完全に否定できない」
- 決済情報
- クレジットカード番号等の決済情報は流出していないことを確認
- 認証情報への対応
- 漏えいした認証関連の情報は、仕様と悪用可能性を精査したうえで必要な無効化・制限の対策を実施済み
- 原因
- 画像アップロードサーバーの脆弱性。修正済みで、不正アクセスに使われた経路はすべて遮断。脆弱性の具体名は公表されていません
読み方の注意：「2,362万件」は人数ではなく、「4.9億件」は画像ではない
約2,362万件には、メールアドレス等を登録していない匿名アカウントも含まれます。同社は実際に個人情報の流出対象となる人数は調査中としています。約4.9億件は画像についての情報（メタデータ）の件数で、画像ファイルそのものの件数ではありません。ただし、どちらも「安心してよい」という意味ではありません——メタデータの中身こそが、次の節で書くとおり見落とされやすい危険だからです。
画像より「画像についての情報」のほうが多くを語る
アップロードした1枚の画像
画像ID ／ タイトル ／ 取得元URL ／ User-Agent
OCRテキスト
画面に写っていた文字。キーや社内情報も含み得る
EXIF位置情報
写真を撮った場所。自宅が特定され得る
アップロード元IP
いつ・どこの回線から上げたか
変えれば終わるもの
- Gyazoのパスワード（ハッシュ値の流出）
- ログインセッション・連携トークン（同社が無効化・制限済みとしている）
- 使い回していた他サービスのパスワード
元の側で変えない限り終わらないもの
- スクショに写っていたAPIキー・パスワード・招待URL
- スクショに写っていた顧客情報・社内資料
- 写真に残っていた撮影場所（場所は変えられない）
利用者が今日やること
Gyazoのパスワードを変える
同社がまず求めているのがこれです。流出したのはパスワードそのものではなくハッシュ値ですが、ハッシュ化の方式は公表されておらず、短い・よくあるパスワードほど元に戻されやすいのが一般的な性質です（仕組みは パスワードハッシュとは）。変更はメールのリンクからではなく、自分でGyazoにアクセスして行ってください。
同じ・似たパスワードを使っている他のサービスも変える
同社は「同一または類似のパスワード」を使っている他サービスの変更も求めています。「似た」が入っているのが重要で、末尾の数字だけ変えたパスワードは同じものとして扱われます。棚卸しは パスワードマネージャー に任せるのが現実解です。
スクショに秘密が写っていなかったか思い出し、写っていたら無効化する
流出したメタデータには画像のOCRテキスト——画像に写っていた文字を読み取ったもの——が含まれます。開発中の画面、管理画面、ターミナル、設定ファイルをGyazoで共有した覚えがあるなら、そこに写っていたAPIキー・トークン・パスワード・招待URLは、発行元で無効化して再発行してください。流出したのは主に2019年1月以前の画像のメタデータとされていますが、長く使われている鍵ほどその頃から変わっていないものです。秘密の扱いは .envとAPIキーの基礎 と APIキーが漏れて不正課金された事例 にまとめています。
位置情報付きの写真を上げていたかを確認し、今後は消してから上げる
EXIF位置情報も流出項目に含まれます。スマートフォンで撮った写真をそのまま上げていた場合、撮影場所が残っていた可能性があります。場所は変えられないので、できるのは今後の設定です。カメラの位置情報記録を切るか、共有前に位置情報を削除する設定にしてください（スマホのセキュリティ基本）。
X連携やGoogleログインを使っていたなら、連携を確認する
X（旧Twitter）連携用トークンとGoogle SSOのメールアドレスも項目に含まれます。同社は認証関連の情報について無効化・制限を実施済みとしていますが、利用者側でもXの「連携しているアプリ」を開き、使っていない連携は外しておくと確実です。
便乗のなりすましメールに注意する
メールアドレスが流出項目に含まれています。事故のあとは運営会社を名乗る「パスワード再設定」メールが出回りやすくなります。リンクを踏まず、自分でサービスを開いて操作する——これが一番確実です（フィッシングとは）。
アップロード機能を運営している人へ
当サイトの視点：同じ日に気づけたことと、古いデータを持っていたこと
この事案には、防御側から見て評価すべき点と、考えさせられる点が1つずつあります。
評価すべき点は検知の速さです。不正アクセスが起きた9月11日の夜に検知し、翌未明に遮断、5日後に公表しています。同じ年に公表された国内の大型事案では、侵入から判明まで15日〜約3年かかった例が並んでいます（2026年の大型情報漏えい4件の比較）。入られること自体は防げなかったとしても、気づくまでの時間が被害の天井を決めることを示す例です。
考えさせられるのは、流出したメタデータの中心が「主に2019年1月以前」だったことです。何年も前にアップロードされた画像のOCRテキストや位置情報、アップロード元IPが、今回の事故の時点まで残っていた。サービスの性質上、画像を残すこと自体は利用者の期待でもありますが、その周りの付随情報（IPや位置情報）まで同じ期間持ち続ける必要があるかは別の問題です。持っていないデータは漏れない——付随情報ほど、保持期間を短くする余地があります。
原因とされた画像アップロードサーバーの脆弱性による任意のコマンド実行は、アップロード機能を持つサービスに共通する急所です。受け取ったファイルを処理する部分を本体から隔離し、最小の権限で動かす設計の考え方は ファイルアップロードの脆弱性と対策、用語は RCE（リモートコード実行）とは で扱っています。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない脆弱性の名称や侵入の詳細は推測していません。
- 株式会社Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日公表） — corp.helpfeel.com
- 各種報道（ITmedia NEWS／窓の杜、2026年9月16日） — いずれも上記公式発表にもとづく報道
更新履歴
2026-09-19：初版。Helpfeelの9月16日の公表内容にもとづく。同社はフォレンジック調査を継続中で、実際の流出対象者数や二次被害の可能性を調査しているため、続報が出た時点で更新します。
次に読む
- 同じ年の大型事案：2026年の大型情報漏えい4件（KDDI・アフラック・デジタル庁・さくら）に共通する教訓
- パスワード：パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 秘密の扱い：.envとAPIキーの基礎 ／ APIキーが漏れて不正課金された事例
- 運営側：ファイルアップロードの脆弱性と対策 ／ RCEとは
よくある質問
QGyazoの不正アクセスで何が流出したのですか？
運営会社の株式会社Helpfeelの2026年9月16日の発表によれば、ユーザー情報約2,362万件（名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレス、プロフィール情報、契約プラン、課金ステータス等）と、主に2019年1月以前に登録された画像に関するメタデータ約4.9億件（画像全体の約14.4％）、別途約240万件の画像メタデータです。メタデータには画像ID、アップロード元IPアドレス、User-Agent、EXIF位置情報、画像のOCRテキスト、画像タイトル、取得元URL、非公開画像のパスフレーズ（ハッシュ化されたもの）が含まれます。クレジットカード番号等の決済情報は流出していないと明記されています。
Q画像そのものは流出したのですか？
同社は、流出を確認したのは画像に関するメタデータであり、不正アクセスによる画像データの消失は確認されていないとしています。ただし、一部の非公開画像が第三者に閲覧された可能性を完全には否定できないとも説明しています。
Q何をすればよいですか？
同社はパスワードの変更と、Gyazoと同一または類似のパスワードを他のサービスでも使っている場合は、そのサービスのパスワード変更も求めています。当サイトはこれに加えて、Gyazoに上げたスクリーンショットにAPIキーやパスワード、社内情報などの秘密が写っていた覚えがある場合、その秘密を無効化・再発行することを勧めます。流出したメタデータには画像のOCRテキスト（画像に写った文字）が含まれているためです。
Q2,362万人の個人情報が漏れたということですか？
そうとは限りません。同社は、約2,362万件にはメールアドレス等を登録していない匿名アカウントも含まれており、実際に個人情報の流出対象となる人数は調査中だと説明しています。件数をそのまま人数として読まないでください。
Q原因は何ですか？
同社によれば、Gyazoの画像アップロードサーバーに存在した脆弱性を悪用し、第三者が同社のシステム上で任意のコマンドを実行する不正アクセスでした。脆弱性は修正済みで、侵入経路はすべて遮断したとしています。脆弱性の具体名は公表されていません。