- Helpfeelは9月11日に発生した侵害を認め、Gyazoユーザーに紐づく2362万件のレコードが侵害されたことを確認
- 流出データには個人情報、ログイン・セッションID、Google SSOトークン、そして画像メタデータ4億9000万件が含まれる
- 決済情報は無事だが、非公開画像が閲覧された可能性もあり、調査完了まで画像表示を無効化
日本のカスタマーサポート・ナレッジベース企業が最近サイバー攻撃を受け、個人を特定できる情報（PII）や、場合によっては顧客の写真を含む数百万件のユーザーレコードを流出させたことが分かりました。
この企業はHelpfeelという会社です。従業員200名以上を擁する確立された組織で、現代的なヘルプセンター、インテリジェント検索、AIサポートエージェントを組み合わせたサービスを提供しています。同社は画像共有サービス「Gyazo」も運営しています。今週公開された侵害通知によると、事件が発生したのは9月11日で、身元不明の脅威アクターが脆弱性を悪用してマルウェアをアップロードし、サービスのサーバーへのアクセス権を取得したうえで、任意のコマンドを実行したとのことです。
その後の調査により、攻撃者が2362万件のレコードを侵害したことが判明しました。複数のレコードが同一ユーザーに紐づいているうえ、多くのレコードはユーザーアカウントを持たない顧客によって生成されたものであるため、実際に影響を受けた個人の数はまだ確定していません（ただし、2360万人を下回ることは確実です）。
侵害されたレコードは、氏名、メールアドレス、パスワードハッシュ、ユーザーID、デバイスID、ログインセッションID、X連携トークン、Google SSOに紐づくメールアドレス、プロフィール情報、言語設定、登録日時、ログイン日時、契約プラン、（クレジットカード番号を含まない）請求状況、利用統計といったカテゴリーに分類されます。
「クレジットカード番号を含む決済情報が不正に開示されていないことを確認しております」とHelpfeelは説明しています。
個人情報に加え、攻撃者は画像メタデータにもアクセスしていました。2019年1月以前に登録された画像に関連するレコード約4億9000万件が侵害され、その中には画像ID、アップロードに使用された送信元IPアドレス、ユーザーエージェント、EXIF位置情報データ、画像から抽出されたOCRテキスト、画像タイトル、送信元URL、非公開画像用のハッシュ化されたパスフレーズなどが含まれます。
このメタデータの一部は画像URLの生成に使われているため、Helpfeelは攻撃者が実際の画像を閲覧した可能性も排除していません。「被害拡大を防ぐため、一部の画像について一時的に表示を無効化しております」と同社は述べています。「一部の非公開画像が第三者によって閲覧された可能性を排除できないため、現在も詳細な調査を継続しております」としています。
