「Gyazo」への不正アクセスによる情報漏えいに関する調査結果のご報告とお詫び（第三報）
平素は、株式会社Helpfeelが提供するサービスをご利用いただき、誠にありがとうございます。
株式会社Helpfeel（本社：京都府京都市、代表取締役 CEO：洛西一周、以下：当社）は、当社が提供する画像共有サービス「Gyazo」への第三者による不正アクセスおよび情報漏えいについて、2026年9月16日（第一報）ならびに9月25日（第二報）にお知らせしてまいりました。
このたび、外部のセキュリティ専門機関によるフォレンジック調査が完了し、最終報告書を受領いたしました。その結果と当社による調査を踏まえ、本件の原因、影響範囲、これまでの対応および再発防止策について、ご報告いたします。
「Gyazo」をご利用の皆さまならびに関係者の皆さまには、長期間にわたり多大なるご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます。
なお、本お知らせにおける「画像」は「Gyazo」でキャプチャ・保存されたスクリーンショット、GIF、動画などのコンテンツを指し、「メタデータ」の内容は第一報にてお知らせのとおりです。本お知らせは2026年10月20日時点で確認できている内容に基づいており、今後新たにお知らせすべき事実が判明した場合には、速やかに公表いたします。
1. 本件の概要
2026年9月11日、「Gyazo」の画像アップロードサーバーに存在した脆弱性を悪用し、第三者が当社のシステム上で任意のコマンドを実行する不正アクセスが発生しました。第三者は、同日から翌12日未明にかけて「Gyazo」のデータベースにアクセスし、ユーザーに関する情報および画像に関するメタデータを外部に送信しました。
当社は11日夜に不正な挙動を検知し、9月12日未明までに侵入経路の遮断および不正な接続の切断を行い、同日中に原因となった脆弱性の修正を完了しました。その後、二次被害防止のための画像配信の停止、サービスの一時停止、流出した認証情報の無効化などの措置を講じ、9月27日にサービスを再開しています。
なお、現時点までに、本件に起因する二次被害は確認されておりません（「5. 二次被害の状況」参照）。
2. これまでの経緯
日付 | 経緯と対応 |
|---|---|
9月11日 | 「Gyazo」への不正アクセスが発生。同日夜に不正な挙動を検知し、調査および対応を開始 |
9月12日 | 未明までに侵入経路の遮断と不正な接続の切断を完了。原因となった脆弱性の修正を完了 |
9月14日 | データベースの情報が外部に流出したことを確認。二次被害防止のため全画像の配信を停止 |
9月15日 | 流出した認証関連情報の無効化等の追加措置を実施。個人情報保護委員会へ速報を提出 |
9月16日 | 第一報を公表。総務省への報告を開始 |
9月17日 | 海外のデータ保護当局への報告を開始 |
9月18日 | 二次被害防止のため「Gyazo」のサービス提供を一時停止。外部のセキュリティ専門機関にフォレンジック調査を委託。「Helpfeel」「Cosense」への影響に関するお知らせを公表 |
9月24日 | 個人情報保護委員会および総務省へ続報を提出 |
9月25日 | 第二報を公表。外部専門機関によるフォレンジック調査を開始 |
9月27日 | サービス全体のセキュリティ点検と対策を経て「Gyazo」のサービス提供を再開（不正アクセス以前の画像は所有者ご本人のみ閲覧可能な状態で再開） |
10月15日 | 外部専門機関より最終報告書を受領 |
10月19日 | 外部専門機関より最終報告の説明を受領 |
10月21日 | 調査結果を公表（本お知らせ） |
3. 外部専門機関による調査の結果
（3-1）調査の概要
当社は、2026年9月18日に外部のセキュリティ専門機関にフォレンジック調査を委託し、9月25日から10月15日にかけて調査が実施されました。調査では、「Gyazo」のサーバー環境およびクラウド基盤に記録された各種のログを照合し、不正アクセスの経緯、第三者の活動範囲、および情報漏えいのおそれがある範囲を評価しました。当社は10月15日に最終報告書を受領しました。
（3-2）不正アクセスの原因と経路
調査の結果、本件の原因は、「Gyazo」の画像アップロードサーバーにおいて、アップロードされた動画等を変換する処理の一部に、外部からの入力値が適切に処理されないままサーバー上のコマンドとして解釈されてしまう脆弱性が存在したことであると確認されました。第三者はこの脆弱性を悪用して変換処理用のサーバー上で任意のコマンドを実行し、同サーバーから到達可能であったデータベースに接続して大量のデータを読み取り、外部のサーバーへ送信していたものと認定されています。
本件は、外部のソフトウェア部品や委託先に起因するもの（いわゆるサプライチェーン攻撃）ではなく、当社が開発・運用するシステムの脆弱性に起因するものです。原因となった脆弱性は9月12日に修正を完了しており、同種の問題がないか「Gyazo」の全ソースコードを点検し、重大度の高い問題の修正を完了しています。
（3-3）第三者の活動範囲
不正な活動が確認されたのは、2026年9月11日午後から9月12日未明までの間です。この間に第三者は、変換処理用サーバー上での不正な処理の実行、内部環境の探索、データベースからの大量の読み取り、外部のサーバーへの送信を行っていました。9月12日未明に当社が実施した遮断以降、同一の経路による不正アクセスは確認されていません。
また、調査対象の範囲において、他のシステムへの侵入の拡大や再侵入のための不正なプログラムの残置を示す記録は確認されませんでした。
（3-4）情報漏えいの範囲に関する評価
外部専門機関の調査では、第三者が実行した処理からデータベースに対する大量の読み取りが行われ、同じ時間帯に、同サーバーから外部の特定のサーバーへ大容量の送信が行われていたことが記録から確認されました。一方、送信された通信の内容そのものを記録したログは存在しないため、外部へ送信されたデータの項目や件数を直接確認することはできず、外部専門機関は「データ流出のおそれは相応に高い」と認定しています。
（3-5）画像ファイルへのアクセスに関する調査結果
画像ファイルそのものについては、第三者によって大量に取得されたことを示す記録は確認されませんでした。削除済み画像のファイル本体についても、取得を示す記録は確認されていません。
一方、外部専門機関によるフォレンジック調査の結果を元に、当社により追加調査を実施したところ、133名のユーザーが保存していた一部の画像について、第三者に閲覧・取得されたことが判明しました。対象となるユーザーの皆さまにはすでに対象画像を明示したうえで、個別にご連絡をし、必要な対応をご案内しています。なお、今回特定された133名の対象画像に「Helpfeel」および「Cosense」の顧客情報は含まれていないことを確認しております。
既報のとおり、流出したメタデータに含まれる画像URLを用いて一部の画像が閲覧された可能性については、引き続き完全には否定できません。このため当社は、不正アクセス以前にアップロードされた画像を、所有者ご本人が内容を確認したうえで配信を再開する方式を継続しています（「7. ご利用の皆さまへの対応」参照）。
（3-6）「Helpfeel」および「Cosense」への影響
当社が提供する「Helpfeel」および「Cosense」は、「Gyazo」とは異なるシステム構成で運用しており、今回の不正アクセスに利用された侵入経路とは接続されていません。当社による点検において、両サービスのシステムからの情報漏えい、および両サービスに対する不正アクセスの痕跡は確認されておらず、第二報でお知らせした評価に変更はありません。
4. 情報漏えいの範囲
外部専門機関の調査結果および当社の調査を踏まえ、流出した情報の範囲は以下のとおりです。
対象となるデータ | 件数 | 対象となる範囲 | 備考 |
|---|---|---|---|
ユーザーに関する情報 | 約2,362万件 | メールアドレスの登録がない匿名ユーザー 約1,801万件（約76%） | 件数はアカウント数であり、人数ではありません。含まれる情報の種類は第一報のとおりで、ユーザーごとに異なります。クレジットカード番号等の決済情報は含まれていません |
画像に関するメタデータ | 約4.9億件 | 主に2019年1月以前にアップロードされた画像（総画像数の約14.4%） | いずれもメタデータの件数であり、画像ファイルそのものが流出した件数ではありません。メタデータに含まれる情報の種類は第一報のとおりです |
条件を絞って取得された画像に関するメタデータ | 約240万件 | 総画像数の約0.07% | 同上 |
削除済み画像に関するメタデータ | 約1.74億件 | 主に2023年2月以前に削除された画像および2023年2月以前にアカウントを削除したユーザーが所有していた画像（総画像数の約5.1%） | 同上 |
特定ユーザーが所有する画像ファイル | 432件 | 特定ユーザー133名が所有する一部の画像 | 対象となった特定ユーザーの方に、既にアカウントに登録されたメールアドレスに宛ててご案内を送付しております |
※ 四捨五入のため、内訳の合計は総数と一致しない場合があります。
上記に含まれない画像および画像のメタデータについては、流出を確認しておりません。
流出していないことを確認している情報
- クレジットカード番号等の決済情報（第一報・第二報のとおり）
- 画像ファイル本体（大量に取得されたことを示す記録はありません。一部が閲覧された可能性については「3-5」のとおりです）
- 削除済み画像のファイル本体
- 「Helpfeel」および「Cosense」のシステムに保存された情報
また、第一報において漏えいした情報としてお知らせしたパスワードに関する情報は、パスワードそのものではなく、不可逆の変換（ハッシュ化）を施したパスワードのハッシュ値です。パスワードそのものが漏えいしたものではありません。加えて、一部の認証関連情報および外部サービスの連携に関わる情報については、すでに無効化を完了しております。このため、今回漏えいしたおそれのある認証関連情報のみを利用した不正アクセスによる二次被害は発生しないものと考えております。
5. 二次被害の状況
現時点までに、本件に起因する個人情報の不正利用、なりすまし、その他の二次被害は確認されておりません。
また、当社は2026年9月下旬より、流出した情報がインターネット上の闇市場（いわゆるダークウェブ）等で公開・売買されていないかの監視を外部サービス等を用いて継続しており、10月20日時点で該当する情報は確認されていません。この監視は少なくとも1年間継続し、新たにお知らせすべき事実が判明した場合には、対象となる皆さまに対して、速やかにご連絡いたします。
6. 削除済み画像に関するメタデータの取り扱いと今後の方針
「Gyazo」では、ユーザーが画像を削除した場合、画像ファイル本体は削除後一定期間を経て消去する運用としていました。一方、画像に関するメタデータについては、不正利用の調査、公的機関からの照会への対応等に備えて保持しておりました。
しかしながらこの度の情報漏えいの影響を踏まえ、削除済みのメタデータおよび退会ユーザー情報の取り扱いについても再発防止策の一つとして以下の対応を実施いたします。
- 削除済み画像に関するメタデータは、削除後60日を経過した時点で自動的に消去する削除ポリシーを策定し、適用します。
- 過去に削除された画像に関するメタデータ（本件で漏えいの対象となったものを含む）は、関係当局への報告および法令に基づく保全に支障のない範囲で、順次消去します。
- 退会済みユーザーの情報を含む操作記録等についても、同様に保持期間を定めて消去します。
- 今後、データの保持期間に関する方針を整備し、プライバシーポリシー等において明示します。
7. ご利用の皆さまへの対応
（7-1）これまでのご連絡
影響を受けた可能性のあるユーザーの皆さまには、2026年9月20日より順次、登録されているメールアドレス宛にご案内をお送りしております。あわせて、「Gyazo」のサービス画面上でお知らせを掲示しています。
（7-2）削除済み画像に関するメタデータの対象となる方へのご連絡
第二報でお知らせした削除済み画像に関するメタデータについて、漏えいの対象となった可能性があり、かつ連絡先のメールアドレスが確認できる約5.7万アカウント（退会・解約済みのアカウントを含む）を特定しました。該当する皆さまには、本お知らせの公表後、順次メールにてご案内いたします。なお、当社から本件に関してお送りするご案内メールでは、URLへのアクセスや、リンク先での操作をお願いすることはありません。当社を装った不審なメールやフィッシング詐欺には、十分ご注意くださいますようお願いいたします。
（7-3）法人のお客様への対応
法人のお客様に対しては、ご契約内容に基づき、当社担当者より必要なご案内を行っております。また、当社内の業務における「Gyazo」の利用についても確認を行い、ご案内が必要なお客様に順次、お知らせしております。
（7-4）画像の閲覧状態と配信再開について
不正アクセス以前にアップロードされた画像は、現在も所有者ご本人のみが閲覧できる状態としており、ご本人が内容をご確認のうえで配信を再開いただく方式を継続しています（「Gyazo Teams」の画像は同一チームのメンバーも閲覧できます）。配信を再開する方法は、「『Gyazo』サービス再開のお知らせ」（2026年9月27日）をご参照ください。
今後もこの方式を恒久的に維持し、当社の判断によって、すべてのユーザーの画像配信を一律に再開することはありません。
（7-5）二次被害防止のためのお願い
本件発生以降に「Gyazo」のパスワードを変更されていない方は、変更をお願いいたします。「Gyazo」と同一または類似のパスワードを他のサービスでも使用している場合は、当該サービスのパスワードについても変更をお願いいたします。また、本件に関連した不審なメールやメッセージ、当社をかたる連絡には十分ご注意ください。当社が本件に関してパスワードやクレジットカード番号をお尋ねすることはありません。
8. 関係当局への報告および捜査機関への相談
- 個人情報保護委員会：2026年9月15日に個人情報保護法に基づく速報を、9月24日に続報を提出し、その後も協議を継続しています。本調査結果を踏まえた確報を法令の期限内に提出します。
- 総務省：当社は届出電気通信事業者であり、9月16日に報告を開始し、9月17日および9月24日に報告書を提出しました。引き続き、確報の提出に向けて対応しております。また、IOC情報を提供する予定です。
- 海外のデータ保護当局：GDPR等の各国・地域の法令に基づき、約30の国・地域の監督機関へ報告を行い、照会に対応しています。
- 警察：京都府警察に相談をしています。IOC情報の提供を通じ、捜査および同種攻撃の防止に協力します。
9. セキュリティ対策および再発防止策
本件の原因と調査結果を踏まえ、当社は以下の対策を実施しています。
（9-1）完了した対策
- 原因となった脆弱性の修正、および不正アクセスに利用された侵入経路の遮断（2026年9月12日）
- 漏えいしたおそれのある一部の認証関連情報および外部サービスの連携情報の無効化
- 「Gyazo」の全ソースコードを対象としたセキュリティ点検と、確認された問題のうち重大度の高いものの修正（サービス再開前に完了）
- 内部システム間のアクセス制御の強化、および内部通信の暗号化
- 二次被害防止のための画像の閲覧制限と、所有者ご本人の確認を経た配信再開の仕組みの提供
- 「Helpfeel」「Cosense」を含む当社の全サービスを対象とした緊急セキュリティ点検
（9-2）進行中の対策
- AIを活用したソースコードの静的解析の全サービスへの導入と継続運用。本件のような個別のシステム固有の脆弱性を継続的に検出する体制の整備
- 外部専門機関による当社全サービスの脆弱性診断
- 侵入を受けた場合の被害を最小化するための設計の見直し
- ログの保存期間の延長、および外部へのデータ送信やデータベースへのアクセスを対象とした監視・異常検知の強化
- データの保持期間・削除に関するポリシーの策定と適用（「6.」参照）
- 流出情報の監視（ダークウェブ等）の継続（1年以上継続予定）
（9-3）体制の強化
- セキュリティ監視・対応を専門とする組織（SOC）の設置と、監視・監査体制の強化
- 全開発者を対象としたセキュリティ教育の強化と、安全な設計・開発・レビュー体制の整備
- 業務における画像共有ツールの利用を含む、社内の情報管理ルールの見直しと従業員教育の実施
10. 本報告の位置づけと今後の対応
本お知らせをもって、外部専門機関による調査結果を踏まえた本件のご報告は最終とさせていただきます。ただし、当社は引き続き、関係当局への報告、対象となる皆さまへのご連絡、流出情報の監視、および再発防止策の実施を継続し、新たにお知らせすべき事実が判明した場合や、ご報告すべき進捗があった場合には、速やかに公表いたします。
当社は、本件を極めて重大な事態として受け止め、お預かりしている情報を守る責任を果たすべく、全社を挙げて再発防止と信頼回復に取り組んでまいります。このたびは、「Gyazo」をご利用いただいている皆さまをはじめ、関係する皆さまに多大なるご迷惑とご心配をおかけしましたことを、重ねて深くお詫び申し上げます。
「Gyazo」に関するお問い合わせ：
日本語 https://help-ja.gyazo.com/contact-us
English https://help.gyazo.com/contact-us
報道関係者からのお問い合わせ：
広報窓口（pr@helpfeel.com）
