Gyazo

画像共有プラットフォーム「Gyazo」は、ハッカーがサーバーの脆弱性を悪用し、2,360万件のユーザー記録が盗み出されるというデータ侵害被害を受けたことを確認した。

Gyazoは、Helpfeelが運営するクラウドベースのスクリーンショットおよび画面録画ツールであり、ユーザーの画面キャプチャを自動的にクラウドにアップロードし、チャット、フォーラム、ソーシャルメディアなどで共有できるリンクを提供します。

特にゲームコミュニティで人気が高く、世界中で2,300万人のユーザーを擁し、これまでに31億件のメディアアイテムが投稿されている。

同社の発表によると、このインシデントは2026年9月11日に発生し、攻撃者がデータベースにアクセスして約2,362万件のユーザー記録を入手した。

同社は現在、メンテナンスを行うため、プラットフォームを停止しています。

「現在、予防措置として、Gyazoサービスはメンテナンスのため一時的に停止されています。ご不便をおかけし、誠に申し訳ございません。復旧まで、もうしばらくお待ちください」と、Xへの投稿には記されている。

同社は9月12日に不審な活動を検知し、攻撃者がプラットフォームへの侵入に利用した脆弱性を修正したが、その時点でデータはすでに盗まれていた。

「その後の調査により、第三者がGyazoのデータベースにアクセスし、ユーザー情報およびアップロードされた画像に関連するメタデータが不正に開示されていたことが確認されました」と、Gyazoは今週初めに発表した声明で明らかにしました。

Gyazoの調査によると、流出したデータはユーザーごとに異なり、以下の1つ以上が含まれる可能性がある：

  • 氏名／ニックネーム
  • メールアドレス
  • パスワードのハッシュ値
  • ユーザーIDおよびデバイスID
  • ログインセッションID
  • X 統合トークン
  • Google SSOのメールアドレス
  • プロファイルの詳細
  • サブスクリプション情報
  • 請求状況
  • 利用統計

流出したデータセットには匿名化されたアカウント記録が含まれていますが、Gyazo はその割合については明らかにしていません。

また、同プラットフォームは、このインシデントにより 4億9,000万件の画像メタデータレコードが流出したと述べており、その大部分は 2019年1月以前にサービスにアップロードされた画像に関連するものである。

これらのメタデータには、画像 URL の構築に使用される画像 ID、アップロード元の IP アドレス、User-Agent 文字列、EXIF 位置情報データ、OCR で抽出されたテキスト、画像のタイトル、ソース URL、および非公開画像のハッシュ化されたパスフレーズが含まれます。

Helpfeelは、画像IDが対応するコンテンツへのアクセスに悪用される可能性があることを指摘しており、そのため同社は、記録が流出したファイルへのアクセスを一時的に無効化している。

さらに、ハッカーが非公開画像を特定するリストも入手しており、一部の画像が閲覧された可能性を排除できないとも述べています。

同社は、調査の結果、この事件に起因するデータの削除の兆候は確認されなかったとしている。

また、同社の他のサービスであるHelpfeelおよびCosenseからデータが盗まれたという証拠も見つかっていない。

同社は外部の専門家と調査を進めながら、影響を受けたユーザーに直接通知を行っており、当局にも連絡を取っています。

すべてのGyazoユーザーに対し、同サービスおよび同じ認証情報を使用している他のプラットフォームでパスワードを変更するとともに、不審な連絡には警戒するよう推奨されている。