何が起きたか
スクリーンショットツール Gyazo を運営する京都の Helpfeel は、2026年9月11日 に攻撃者が 画像アップロードサーバー の脆弱性を悪用して任意のコマンドを実行し、データベースに到達したと発表しました。同日夜に検知し、翌朝までにアクセスを遮断しています。
流出した情報
9月16日 の告知で確認されたのは:
- 約 2362万件のユーザー情報:氏名またはニックネーム、メールアドレス、パスワードハッシュ、端末・セッションID、X連携トークン
- 約 4億9000万件の画像メタデータ(主に2019年1月以前にアップロードされた画像):アップロード元IP、EXIFの位置情報、OCRで抽出したテキスト、画像URLの生成に使うID
最後の項目のため、Helpfeelは画像の閲覧を一時停止しました。決済情報は含まれません。
9月25日 の続報では、約 1801万件(約76%)がメールアドレスのない匿名アカウントであること、さらに ユーザーが削除済みの画像約1億7400万件のメタデータ(主に2023年2月以前)も流出したことが追加されました。削除済み画像のファイル自体は流出していません。脆弱性の詳細や攻撃者は公表されていません。
なぜ重要か
これは データ保持 の問題です。利用者は何年も前に画像を削除したのに、位置情報や画像内テキストを含むメタデータはサーバーに残っていました。
今すべきこと
- Gyazo利用者はパスワードを変更し、Xのアカウント設定で Gyazo連携を解除 する。
- 企業は社内の画面キャプチャがGyazoに送られていなかったか確認する。OCRテキストに機密が含まれる可能性がある。
- 自社のルールを見直し、「削除」でメタデータや索引も消えるようにする。