Gyazoから流出した画像メタデータの項目一覧には、「画像のOCRテキスト」が並んでいます。スクリーンショットに写っていた文字が、画像とは別にテキストとして保存されていたということです。約4.9億件という件数の手前で、その中身が何を意味するのかを読み解きます。
株式会社Helpfeelは2026年9月16日、画像共有サービス「Gyazo」が第三者による不正アクセスを受け、ユーザーに関するデータ約2,362万件と、画像に関するメタデータ約4.9億件が外部に流出したと発表した。9月11日、画像アップロードサーバーの脆弱性を悪用され、システム上で任意のコマンドを実行された。流出したメタデータは主に2019年1月以前に登録された画像のもので、画像URLを構成する画像IDやOCRテキストを含む。
これとは別に約240万件のメタデータも流出し、非公開画像のファイル一覧の取得も確認された。決済情報は流出していない。同社は脆弱性を修正し、9月15日に個人情報保護委員会へ報告した。
From: 
「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び
【編集部解説】
メタデータという言葉の、その先を読む
今回の発表で目を引くのは、約2,362万件、約4.9億件という数字の大きさです。けれども、スクリーンショットを日常的に共有している人にとって本当に大事なのは、件数よりも「何が出たか」の中身のほうだと私は考えています。
「メタデータ」と聞くと、撮影日時やファイル名のような、画像そのものではない付随情報を思い浮かべるかもしれません。今回のメタデータには、少し性格の違う2つの項目が含まれていました。
ひとつは画像IDです。Helpfeelは、画像IDが画像URLを構成する情報であり、これを使って対象の画像にアクセスされ、不正に閲覧される恐れがあると説明しています。つまり、同社が現時点で流出を確認しているのは画像本体ではなく、画像にたどり着くための入口です。ただし、一部の非公開画像が第三者に閲覧された可能性は否定されていません。同社が一部画像の閲覧を一時的に止めているのは、この入口を通じた二次被害を防ぐための措置と読めます。
もうひとつはOCRテキストです。OCRは、画像に写った文字を読み取ってテキストにする技術です。Gyazoで保存されるのはスクリーンショットやGIF、動画といったコンテンツで、画面を撮れば、そこには文字が写り込みます。画像の閲覧を止めても、そこから読み取られた文字は、テキストとして別に流出している可能性があります。どの画像にどこまでOCRテキストがあったのかは公表されていないため、影響の大きさは画像ごとに異なると考えるのが自然でしょう。
7年以上前の自分が撮ったもの
流出したメタデータの中心は、主に2019年1月以前に登録された画像のものです。画像に関するデータ全体に占める割合は約14.4%とされています。
7年以上前に何を撮って共有したか、正確に覚えている人は多くないはずです。当時の仕事の画面、やり取りの一部、設定画面。思い出せない過去の記録が対象になりうるという点が、今回の事案を個人にとって実感しにくく、同時に扱いにくいものにしています。
また、約2,362万件はユーザーに関するデータの件数で、人数を示すものではありません。メールアドレスを登録していない匿名アカウントも含まれており、実際に個人情報の流出対象となる人数は調査が続いています。メールで連絡が届かない匿名アカウントには、サービス画面を通じて案内する予定です。
利用者として、今できること
ユーザー情報には、パスワードのハッシュ値、ログインセッションID、Xと連携していた場合の連携用トークンなどが含まれていました。該当する情報の種類や範囲は、ユーザーごとに異なります。認証に関わる情報について、同社は無効化や制限の対策をすでに実施したとしています。ハッシュの方式は公表されていないため、安全側に倒して行動するのが妥当です。
やることは3つに絞れます。Gyazoのパスワードを変えること。同じ、あるいは似たパスワードを使い回しているサービスがあれば、そちらも変えること。そして、メールアドレスや契約プランといった実在の情報を材料にした、それらしい不審なメールに注意することです。
止めるまでの5日間と、これからの調査
経緯を並べると、対応の速さが見えてきます。9月11日の夜に不正な挙動を検知し、12日未明までに侵入経路を遮断しました。14日に流出を確認して画像配信を止め、15日に個人情報保護委員会へ報告、16日に公表しています。発生から公表まで5日です。
個人情報保護法の漏えい等報告では、概ね3〜5日以内の速報に続き、不正な目的で行われたおそれがある場合には、発覚日から60日以内の確報が求められます。同社は9月15日に報告したうえで、関係機関への必要な報告・相談を進めているとしています。外部の専門機関によるフォレンジック調査も予定されており、影響の輪郭は続報で少しずつ定まっていくはずです。
同じ会社の「Helpfeel」と「Cosense」は、Gyazoとは異なるシステム構成で運用されており、現時点で両サービスのシステムからの流出は確認されていません。一方で、両サービス上でGyazoを利用して表示している画像の一部は、配信停止の影響で閲覧できない場合があります。
画像が「読める」時代の保存
スクリーンショットは、いまや仕事の断片が最も気軽にたまっていく場所のひとつです。そして画像から文字を読み取る技術が当たり前になったことで、画像は検索できるテキストとしても保存されるようになりました。便利さを生んだその仕組みが、今回は流出した情報の中身を変えています。
Helpfeelは今後、認証・認可とアクセス制御の見直し、監視・監査体制の強化、安全な設計とレビュー体制の整備に取り組むとしています。画像とともに何を保存し、どう守るのか。キャプチャーツールが画像を「読める」ようになった時代の守り方を、この事案はサービスを作る側にも使う側にも問いかけています。
【関連記事】
さくらインターネット136万563の読み方｜確定件数ではない、それでも今日やること
さくらインターネットの第二報で示された件数を、確定件数ではない数字としてどう読むかと、利用者がいまできる対策を整理した記事。
【解説】さくらインターネット第三報｜確かめきれない部分を、どう数えたか
さくらインターネットの調査完了報告を読み、記録の制約で客観的に確かめきれなかった範囲を同社がどう示したかを整理した解説記事。
【解説】イエローハット180万人漏えい｜4項目で止まった理由
イエローハットのWEB作業予約システムへの不正アクセスで、漏えいの可能性がある項目が4つにとどまった理由を読み解いた解説記事。
デジタル庁GSSに不正アクセス｜個人情報24.6万件が漏えいの可能性
デジタル庁のガバメントソリューションサービスへの不正アクセスで、約24.6万件の個人情報が漏えいした可能性を報じた記事。
【編集部後記】
Gyazoの公式サイトには、キャプチャの閲覧範囲を「自分のみ」か「リンクを知っている全員」から選べる、という説明があります。
「知っている全員」という言葉は、ふだん共有した相手の顔ぶれを思い浮かべさせます。今回の件は、その「知っている」側に、思いもよらない誰かが加わりうることを示しました。
あなたが「リンクを知っている全員」を選んだとき、頭の中にいたのは誰だったでしょうか。
【用語解説】
メタデータ
データそのものではなく、そのデータに付随する情報のこと。画像なら登録日時、タイトル、取得元URLなどが該当する。
画像ID
Gyazo上の画像を識別する文字列。Helpfeelの発表では、画像URLを構成する情報とされている。
OCR（光学文字認識）
画像に写った文字を読み取り、コンピューターで扱えるテキストデータに変換する技術。
パスワードのハッシュ値
パスワードを、元に戻しにくい一定の計算で変換した値。パスワードをそのまま保存しないために使われる。安全性は、使われている方式によって変わる。
ログインセッションID
ログインした状態を保つために、サービスが利用者ごとに発行する識別子。第三者に知られると、ログイン状態を悪用される恐れがある。
連携用トークン
あるサービスが、利用者の許可を得て別のサービスの機能を使うために受け取る認証情報。パスワードの代わりに使われる。
脆弱性
ソフトウェアやシステムに存在する、セキュリティ上の欠陥。攻撃者に悪用されると、不正アクセスなどにつながる。
任意のコマンド実行
攻撃者が、本来は許されていない命令を、狙ったシステム上で自由に実行できてしまう状態。被害が大きくなりやすい攻撃の一つである。
フォレンジック調査
不正アクセスなどが起きたあと、ログや記録を解析して、侵入経路や被害の範囲を特定する調査。
漏えい等報告（速報・確報）
個人情報保護法に基づき、個人データの漏えいなどが起きた事業者が、個人情報保護委員会に行う報告。まず速報を出し、その後に確報を出す2段階になっている。
【参考リンク】
株式会社Helpfeel（外部）
Helpfeel、Gyazo、Cosenseを提供する京都市の企業。9月16日、Gyazoへの不正アクセスに関するお知らせを公表した。
Gyazo（外部）
スクリーンショットや動画を撮影し、URLですぐに共有できるキャプチャツール。PCアプリ、モバイルアプリ、ブラウザ拡張機能に対応する。
Cosense（外部）
Helpfeelが提供するAIナレッジベース。同社によると、Gyazoとは別のシステム構成で運用され、現時点で流出は確認されていない。
Helpfeel（外部）
Helpfeelが提供する自己解決AIシステム。同社によると、Gyazoとは別のシステム構成で運用され、現時点で流出は確認されていない。
Gyazo お問い合わせ（日本語）（外部）
Gyazoヘルプセンターの日本語お問い合わせ窓口。今回の不正アクセスに関する問い合わせ先として、Helpfeelの発表で案内されている。
【参考記事】
漏えい等の対応とお役立ち資料｜個人情報保護委員会（外部）
個人情報保護委員会による漏えい等への対応ページ。速報と確報の期限を示し、不正アクセスによる窃取を報告対象の例に挙げている。
漏えい等報告・本人への通知の義務化について｜個人情報保護委員会（外部）
個人データの漏えい等報告と本人通知が2022年4月1日から義務になったことを案内する。速報は概ね3〜5日以内を目安とする。
個人情報保護委員会への漏えい報告義務があるのはどんな場合？｜BUSINESS LAWYERS（外部）
確報の期限が原則30日、不正の目的による事案では60日とされる理由と、期限の起算点となる「知った」時点の考え方を解説する。
