概要

2026年9月11日、攻撃者が画像アップロードサーバーの脆弱性を悪用して、同社が意図しないコマンドをシステム上で実行した。名前、メールアドレス、パスワードのハッシュ値などを含むユーザー情報約2,362万件（匿名アカウントを含む）、画像のメタデータ約4.9億件、別途抽出されたメタデータ約240万件の漏えいが確認された。メタデータには画像URLを構成する情報が含まれるため、画像を不正に閲覧されるおそれがある。決済情報は流出していないという。同社は9月12日までに侵入経路を遮断して脆弱性を修正し、一部画像の配信を停止した。個人情報が流出した人数は調査中。

経緯

経緯情報は未登録です。

原因

画像アップロードサーバーの脆弱性が悪用され、同社が意図しないコマンドをシステム上で実行された。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

あり

金銭的被害

不明

対象システム

Gyazo 画像アップロードサーバー

漏洩した情報

• 確認済み名前
• 確認済みメールアドレス
• 確認済みパスワードのハッシュ値
• 確認済み画像のメタデータ（画像URLを構成する情報を含む）約4.9億件と別途抽出された約240万件

ユーザー情報約2,362万件（匿名アカウントを含む）と画像メタデータ約4.9億件、別途抽出されたメタデータ約240万件が流出した。画像が不正に閲覧されるおそれがあるため、一部画像の配信を停止した。個人情報が流出した人数は調査中。クレジットカード番号などの決済情報は流出していない。

対応

2026年9月12日までに侵入経路を遮断し、脆弱性を修正した。一部画像の配信を停止し、外部専門機関による調査で漏えいの範囲や影響を調べる方針。

• 侵入経路の遮断
• 脆弱性の修正
• 一部画像の配信停止
• 外部専門機関による調査

教訓・対策

• ファイルアップロード処理を行う公開サーバーの脆弱性管理を徹底する
• 画像URLを推測できる情報を含むメタデータも機密情報として保護する

参考資料

1. Gyazoに不正アクセス、ユーザー情報約2,362万件と画像メタデータが流出
   サイバーセキュリティ.com公開日: 2026-09-16報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社Helpfeel

関連するインシデント

関連付けられたインシデントはありません。