Gyazoに不正アクセス、画像メタデータ約4.9億件が流出
2026年9月16日、画像・動画共有サービス「Gyazo（ギャゾー）」を運営する株式会社Helpfeelは、第三者による不正アクセスを受け、ユーザーに関連するデータや画像に関するメタデータが外部へ流出したことを公表しました。
公表された規模は非常に大きなものです。
- ユーザー関連データ：約2,362万件
- 画像に関するメタデータ：約4.9億件
特に目を引くのが、約4億9,000万件という数字です。
数十万件、数百万件ではありません。
「億」という単位のデータが、一度のサイバーインシデントによって外部へ流出したことになります。
ただし、ここで誤解してはいけない点があります。
約4.9億件の画像そのものが流出したと発表されたわけではありません。
公表されているのは、画像に関連する「メタデータ」です。
一方でHelpfeelは、流出した情報から対象画像へアクセスできる可能性があり、一部の非公開画像について第三者に閲覧された可能性も否定できないとしています。
つまり今回の事案は、「画像データではなくメタデータだから問題が小さい」と単純に考えられるものでもありません。
そもそもGyazoとはどんなサービスなのか
Gyazoを使ったことがない方にとっては、「なぜ2,000万件を超えるユーザー情報が存在するのか」と疑問に感じるかもしれません。
Gyazoは、PCなどに表示されている画面をスクリーンショットとして撮影し、その画像をクラウドへアップロードして、発行されたURLを他人へ簡単に共有できるサービスです。
たとえば仕事中に、
- システムのエラー画面を同僚へ送る
- Webサイトの修正箇所を共有する
- デザイン案をクライアントへ見せる
- チャット上で画面を説明する
- 動画や会議画面の一部を記録する
といった用途に使えます。
スクリーンショットを撮影するとアップロードとURL生成までが行われ、そのURLをSlack、メール、SNSなどへ貼り付けるだけで画像を共有できる手軽さが特徴です。
Gyazo公式サイトによると、現在は世界242の国と地域で約2,300万人が利用し、累計アップロード数は32億回規模に達しています。
つまり、決して一部のユーザーだけが利用する小規模な画像サービスではありません。
世界規模で大量の画像・動画・関連情報を管理する、大規模なクラウドサービスなのです。
約2,362万件という数字はどれほど大きいのか
今回公表されたユーザー関連データは約2,362万件です。
数字だけでは感覚をつかみにくいかもしれません。
総務省統計局によると、2026年8月1日時点の日本の総人口は概算で約1億2,268万人です。
約2,362万という数字は、単純な規模の比較では日本の総人口の約19％、およそ5人に1人に相当する数です。
もちろん、これは「日本人の5人に1人の情報が流出した」という意味ではありません。
Gyazoは世界242の国と地域で利用されているサービスであり、今回の件数も日本国内の利用者だけを示したものではありません。
あくまで数字の規模感を比較したものですが、それでも2,000万件を超えるデータ流出がどれほど大きなインシデントなのかが分かります。
Gyazo個人情報流出が起きた理由
Helpfeelの公表内容や報道によると、不正アクセスが発生したのは2026年9月11日です。
今回攻撃の入口になったとされているのが、Gyazoの画像アップロードサーバーに存在した脆弱性です。
第三者がこの脆弱性を悪用し、Helpfeelのシステム上で任意のコマンドを実行する不正アクセスを行ったとされています。
同社は9月11日夜に不審な挙動を検知し、調査を開始。
翌12日までに確認された侵入経路を遮断し、不正な接続を切断するとともに、原因となった脆弱性の修正を行いました。
その後の調査によって、大量のユーザー関連データや画像メタデータが外部へ流出していたことが判明しました。
今回の流れ
- 2026年9月11日：第三者による不正アクセスが発生
- 画像アップロードサーバーの脆弱性が悪用されたと判明
- 第三者がシステム上で任意のコマンドを実行
- 同日夜：不審な挙動を検知し調査開始
- 9月12日までに侵入経路を遮断
- 不正接続を切断
- 原因となった脆弱性を修正
- 調査の結果、大量のデータ流出が判明
- 9月16日：Helpfeelが公表
なぜ「画像メタデータ4.9億件」が怖いのか
今回、個人的に最も注目したいのは約4.9億件という画像メタデータの規模です。
そもそもメタデータとは、画像そのものとは別に保存されている「画像に関する情報」です。
Gyazoでは画像や動画を保存する際、検索や整理を便利にするため、撮影元に関連する情報などを活用しています。
Gyazo公式ヘルプでも、画像に関連してアプリケーション名、タイトル、URLなどの属性情報を扱っていることが説明されています。
通常、こうした画像メタデータは初期設定では非公開とされています。
しかし今回のようにサービスを提供するシステムそのものへ不正アクセスが発生すると、「ユーザーから見えている公開・非公開設定」と「バックエンドでデータが守られているか」は別の問題になります。
これはクラウドサービスを利用する企業にとって非常に重要なポイントです。
スクリーンショットサービスだからこそのリスク
Gyazoのようなサービスでは、利用者自身が意識していない情報が画像に映り込む可能性があります。
たとえば企業で利用していた場合、
- 社内システムの画面
- 顧客名
- メールアドレス
- 受注情報
- 売上データ
- ソースコード
- エラー画面
- 社内チャット
- 開発環境
などがスクリーンショットとして保存されている可能性があります。
もちろん今回、これらの情報が実際に大量流出したと確認されたわけではありません。
しかし、画像共有サービスは一般的なSNSとは異なり、利用者が「誰かに見せるための画面」をそのまま保存する性質があるため、セキュリティ事故が発生した場合の情報価値について慎重に考える必要があります。
DX推進とセキュリティ対策を
別々に考えていませんか？
クラウド利用、SaaS導入、ERP刷新が進むほど、ID・権限・認証情報の管理は重要になります。システム導入だけでなく、運用設計やガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。
無料相談するもし自分がGyazoのDX・セキュリティ責任者だったら何を確認するか
ここからは今回のHelpfeelの具体的な内部体制を評価するものではありません。
公開情報だけでは、事前にどのようなセキュリティ対策が行われていたのか、脆弱性がいつから存在していたのか、どこまで検知・防御可能だったのかを外部から断定することはできないためです。
その前提で、もし自分がGyazoのような大規模サービスのDX・セキュリティ担当者だったとすれば、今回の事案を踏まえて少なくとも以下を確認します。
1．画像アップロードサーバーを「最重要の入口」として管理する
Gyazoにとって画像アップロード機能はサービスの中心です。
ユーザーから大量のデータを日常的に受け取るため、外部との接点が非常に多いサーバーでもあります。
こうしたインターネットへ直接公開されるシステムは、攻撃者からも狙われやすい領域です。
したがって、
- 継続的な脆弱性スキャン
- 外部からのペネトレーションテスト
- 依存ライブラリの脆弱性監視
- Web Application Firewall等による防御
- サーバー構成変更のレビュー
などを継続的に行う必要があります。
重要なのは、「サービス公開前に一度セキュリティテストをしたから安全」ではないということです。
2．アップロードサーバーを突破されてもデータベースまで簡単に到達させない
今回のような事案を考えるうえで、非常に重要なのが「侵入された後」の設計です。
インターネットに公開されているサーバーについて、「絶対に突破されない」という前提で設計することには限界があります。
そのため、
「入口を突破されたとしても、その先へ進めない」
という設計が重要になります。
具体的には、
- ネットワークセグメントの分離
- データベースへの直接接続制限
- サービスアカウントの最小権限化
- 管理系ネットワークの分離
- 機密データへのアクセス制御
などです。
玄関の鍵を突破されたとしても、すべての部屋の鍵まで同じにしない。
企業システムでも同じ考え方が必要です。
3．「4.9億件へアクセスできる設計」そのものを見直す
今回の数字を見て私たち企業側が考えるべきなのは、漏えい件数だけではありません。
仮に一つのシステムが侵害された際、大量の情報へ連続的にアクセスできる構造になっていないかという点です。
サービスの利便性を高めるためには大量のデータを高速に検索・処理する必要があります。
一方で、
- 1アカウントが取得できるデータ量
- 1プロセスがアクセスできる範囲
- 短時間で読み出せる件数
- サービス単位の権限
に制限を設けることで、侵害時の被害を小さくできる可能性があります。
「アクセスできるからアクセスさせる」のではなく、「業務上必要な範囲だけアクセスさせる」という最小権限の考え方が重要です。
4．大量データ取得をリアルタイムで異常検知する
大量のユーザー情報やメタデータが短時間に取得される場合、通常のサービス利用とは異なるアクセスパターンが現れる可能性があります。
たとえば、
- 通常より異常に多いデータ参照
- 短時間での大量ダウンロード
- 通常使われないAPIの連続実行
- 深夜帯の管理操作
- 普段と異なるネットワーク通信
などです。
単にログを保存しているだけではなく、「異常が起きた瞬間に警告を出せるか」が重要になります。
5．データを「持っているだけ」でリスクになると考える
デジタルサービスでは、データが多いほどユーザー体験を改善しやすくなります。
AI時代になれば、この傾向はさらに強まります。
しかしセキュリティの視点から見ると、保存するデータが増えるほど守る対象も増えます。
そこで、
- 本当に保存する必要があるのか
- 何年間保存する必要があるのか
- 削除できる情報はないか
- 匿名化できないか
- 別環境へ分離できないか
という「データ最小化」の考え方が必要になります。
取得できるデータをすべて残すことと、必要なデータだけを安全に残すことは違います。
ISMSを取得していてもサイバー攻撃は起こり得る
Helpfeelの会社概要によると、同社は情報セキュリティマネジメントシステムの国際規格であるISO/IEC 27001の認証を取得しています。
ここも今回の事案を考えるうえで非常に重要です。
ISMS認証を取得しているからといって、「絶対に不正アクセスを受けない」という意味ではありません。
ISMSは情報セキュリティを継続的に管理・改善するための仕組みです。
サイバー攻撃や脆弱性は常に変化しているため、認証取得をゴールにせず、実際のシステムに対する継続的な脆弱性管理、監視、テスト、権限管理を回し続けることが重要になります。
DX担当者にとって今回の事案は他人事ではない
「これはGyazoというITサービス会社の問題だから、自社とは関係ない」と考えるべきではありません。
現在、多くの企業で、
- クラウドストレージ
- 生成AI
- SaaS
- ERP
- CRM
- BI
- ファイル共有
- オンライン会議
などが利用されています。
つまり企業自身が巨大なWebサービスを運営していなくても、日常業務の多くを外部のデジタルサービスへ依存しています。
以前の記事「AI活用の前に整理すべき業務課題」でも解説したように、AIやDXはツールを導入すること自体が目的ではありません。
業務、データ、運用、ガバナンスまで含めて設計する必要があります。
また、全国の自治体公式サイトで相次いだ閲覧障害について解説した「全国で自治体公式HPが相次ぎ閲覧不能に。共通クラウド基盤とBCPの盲点」でも、外部サービスや共通基盤への依存が事業継続上のリスクになり得ることを取り上げました。
障害とサイバー攻撃は原因こそ異なりますが、共通するのはデジタル化が進むほど「システムが使えない」「情報が漏れる」という事象が、そのまま経営リスクになるという点です。
DX推進とセキュリティ対策を
別々に考えていませんか？
クラウド利用、SaaS導入、ERP刷新が進むほど、ID・権限・認証情報の管理は重要になります。システム導入だけでなく、運用設計やガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。
無料相談する自社のDX担当者が確認したい5つの質問
今回のGyazoの事案を自社に置き換えるなら、DX・情報システム・セキュリティ担当者は次の5つを確認してみてください。
- インターネットから直接アクセスできるシステムをすべて把握しているか
- 脆弱性が発見された際、何時間・何日以内に対応するか決まっているか
- 一つのシステムが侵害された場合、どこまで横展開できてしまうか把握しているか
- 異常な大量アクセスをリアルタイムで検知できるか
- そもそも現在保有しているデータをすべて保存し続ける必要があるか
これらに即答できないのであれば、今回の事案は決して他社だけの問題ではありません。
AI・DX時代は「便利にする人」と「守る人」を分離してはいけない
DXプロジェクトでは、どうしても「早く導入する」「業務を便利にする」「ユーザー数を増やす」といった目標が先行しがちです。
一方、セキュリティ部門は「危険だから止める側」と見られてしまうことがあります。
しかしAI・DX時代には、この考え方を変える必要があります。
サービスの成長とセキュリティは対立するものではありません。
むしろ、
利用者が増え、蓄積データが増えれば増えるほど、セキュリティを事業そのものの設計に組み込む必要があります。
2,000万人規模のユーザーを持つサービスであれば、一つの脆弱性が数千万件、数億件という規模のインシデントにつながる可能性があります。
今回のGyazoの事案は、企業に「セキュリティ対策をしているか」だけではなく、
「もし一つ突破されたとき、どこまで被害が広がるのか」
まで考える必要性を改めて示した事例だといえるでしょう。
まとめ｜4.9億件という数字から考えるべきこと
Gyazoへの不正アクセスでは、約2,362万件のユーザー関連データと、約4.9億件の画像メタデータが外部へ流出したと公表されています。
約4.9億件という数字だけでも非常に大きなインパクトがあります。
しかし企業のDX担当者にとって、本当に重要なのは数字の大きさだけではありません。
今回考えるべきなのは、
- 一つの脆弱性がどこまで被害を拡大させるのか
- 外部公開サーバーから重要データまで十分に分離されているか
- 大量データへのアクセスを検知できるか
- 不要な情報を長期間保有していないか
- 侵入されることまで前提に設計できているか
という点です。
これからAI・DXが進むほど、企業が保有するデータ量は増え、システム同士の接続も増えていきます。
「便利になること」と「攻撃された際の影響が大きくなること」は、表裏一体です。
だからこそDX担当者には、システムを導入するだけではなく、「そのシステムが突破されたら何が起こるのか」まで考えた設計が求められます。
DX推進とセキュリティ対策を
別々に考えていませんか？
クラウド利用、SaaS導入、ERP刷新が進むほど、ID・権限・認証情報の管理は重要になります。システム導入だけでなく、運用設計やガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。
無料相談する