画像共有プラットフォーム「Gyazo」は、ハッカーがサーバーの脆弱性を悪用し、2360万件のユーザー記録を窃取するデータ侵害が発生したことを確認しました。
Gyazoは、Helpfeelが運営するクラウドベースのスクリーンショット・画面録画ツールで、ユーザーが撮影した画面キャプチャを自動的にクラウドにアップロードし、チャットやフォーラム、SNSなどで共有できる専用リンクを生成します。
特にゲーミングコミュニティで人気が高く、全世界で2300万人のユーザーを抱え、これまでに31億件のメディアがアップロードされたとしています。
同社の発表によると、この事件は2026年9月11日に発生し、攻撃者は同社のデータベースにアクセスして、約2362万件のユーザー記録を取得したとみられています。
同社は現在、メンテナンスのためプラットフォームを一時停止しています。
「現在、予防的な措置として、Gyazoサービスを一時的にメンテナンスのため停止しております。ご不便をおかけし、大変申し訳ございません。復旧まで今しばらくお待ちください」とX上の投稿で説明しています。
同社は9月12日に不審な活動を検知し、攻撃者がプラットフォームへの侵入に使用した脆弱性を修正しましたが、その時点でデータは既に窃取されていました。
「その後の調査により、第三者がGyazoのデータベースにアクセスし、ユーザー情報およびアップロードされた画像に関連するメタデータが無断で流出したことが確認されました」と、Gyazoは今週初めに公開した声明で認めています。
Gyazoの調査によると、流出したデータはユーザーによって異なり、以下のうち一つ以上が含まれる可能性があるとしています。
- 氏名・ニックネーム
- メールアドレス
- パスワードハッシュ
- ユーザーIDおよびデバイスID
- ログインセッションID
- X連携トークン
- Google SSOのメールアドレス
- プロフィール詳細
- サブスクリプション情報
- 支払い状況
- 利用統計データ
流出したデータセットには匿名アカウントの記録も含まれていますが、Gyazoはその割合については明らかにしていません。
また、同社はこの事件により4億9000万件の画像メタデータ記録が流出したことも明らかにしており、その大半は2019年1月以前にサービスにアップロードされた画像に関連するものだとしています。
このメタデータには、画像URLの生成に使われる画像ID、アップロード時のIPアドレス、User-Agent文字列、EXIF位置情報、OCRで抽出されたテキスト、画像タイトル、ソースURL、非公開画像用のハッシュ化されたパスフレーズが含まれます。
Helpfeelは、画像IDが該当するコンテンツへのアクセスに利用され得ると指摘しており、そのため同社は記録が流出したファイルへのアクセスを一時的に無効化しています。
さらに、ハッカーは非公開画像を識別するリストも取得しており、同社はその一部が実際に閲覧された可能性を排除できないとしています。
同社によると、調査ではこの事件によってデータが削除された形跡は確認されていません。
また、Helpfeelが運営する他のサービスやCosenseからデータが流出した証拠も見つかっていないとしています。
同社は外部の専門家とともに調査を進めており、影響を受けたユーザーへ直接通知を行うとともに、当局にも連絡済みです。
Gyazoの全ユーザーに対しては、同サービスおよび同じ認証情報を使用している他のプラットフォームでのパスワード変更が推奨されており、不審な連絡にも十分注意するよう呼びかけられています。
