無料で診断する

サイバー事件簿｜画像共有サービス

画像の裏に、位置と文字が残っていた

2026年9月、画面のキャプチャを手軽に共有できる「Gyazo」が不正アクセスを受け、約2,362万件のユーザー情報と約4.9億件の画像メタデータが流出しました。入口は、画像を受け取るアップロードのサーバー。流れ出たのは画像そのものより、その裏に付いていた情報でした。

約4分で読めます出典は記事末に記載

01

アップロードの窓口から、中へ

事件の概要

被害: 株式会社Helpfeelの画像共有サービス「Gyazo」
発覚・公表: 2026年9月11日に検知、9月16日に公表、9月25日に第二報
規模: ユーザー情報約2,362万件、画像メタデータ約4.9億件
原因: 画像アップロード用サーバーの脆弱性を悪用され、任意のコマンドを実行された。脆弱性の名前は未公表
対応: 封じ込めと修正、個人情報保護委員会・総務省・海外当局への報告、パスワード変更の案内

2026/09/11
不正アクセス、同じ日の夜に検知
画像をアップロードするサーバーの脆弱性を悪用され、システム上で任意のコマンドを実行されました。
2026/09/12
封じ込めと脆弱性の修正
侵入された経路をふさぎ、弱点を直しています。
2026/09/14
データの流出を確認
翌15日に個人情報保護委員会へ報告、16日に公表しました。
2026/09/27
サービスを再開
25日の第二報で、流出した情報の範囲がより詳しく示されています。

2362万件

流出したユーザー情報。メールアドレスを登録していない匿名ユーザー約1,801万件を含みます。

4.9億件

流出した画像のメタデータ。全体の14.4%にあたります。決済情報は含まれていません。

1枚の画像に、付いていたもの

流出した情報には、パスワードのハッシュやログインのセッションID、X（旧Twitter）との連携に使う鍵も含まれていました。そして画像ごとのメタデータには、ふだん意識しない情報が入っています。

撮影した場所：写真に残る位置情報（EXIF）
画像の中の文字：サービスが読み取って保存していたテキスト（OCR）
アカウントの鍵：セッションIDやSNS連携のトークン

流出した情報の種類を、画像1枚に置きかえたイメージです（出典：Helpfeelの公表）。

02

使う側と、つくる側の備え

画像から漏らさない4つ

1社外の共有サービスに、機密のキャプチャを置かない社内の情報が写る画像は、社内で管理できる場所で共有します。
2写真の位置情報を外して送るスマホのカメラ設定や送信時の設定で、位置情報を付けないようにできます。
3SNS連携を見直す使っていないサービスとの連携は外し、パスワード変更の案内には従います。
4自社サイトのアップロード機能を点検問い合わせフォームなどでファイルを受け付けているなら、受け付ける種類を絞り、受け取ったファイルが実行されない設定にします。

自社サイトの受付窓口、外からどう見えていますか

ドメインを入力するだけで、外から見えている弱点を無料で点検します。

出典

※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。