Gyazo不正アクセスの「第二報」はなぜ1.74億件を積み増したのか。削除済み画像まで漏れた理由を確かめる

まず初めに

「消したはずのデータ」が、実は消えていなかった。これはIT業界でもっとも背筋が寒くなる報告の一つだ。しかも今回漏れたのは、利用者が「もう要らない」と判断してわざわざ手間をかけて削除した画像のメタデータである。捨てたはずのゴミ箱の中身まで、誰かに見られていたようなものだ。Helpfeelが第一報から9日で追加調査の結果を公表した速さ自体は評価できるが、「削除=消える」という利用者の基本的な信頼を静かに裏切っていた期間の長さを思うと、素直に拍手する気にはなれない。※個人の感想です

何が起きているのか

画像共有サービス「Gyazo」(スクリーンショットや画像をワンクリックでアップロードし、発行されたURLで共有できるサービス)を運営する株式会社Helpfeelは、2026年9月16日に公表した不正アクセスに関する第一報に続き、2026年9月25日、調査の進展をまとめた第二報を公式サイトで発表しました。

第一報では、ユーザー関連データ約2,362万件と、主に2019年1月以前にアップロードされた画像のメタデータ約4.9億件(Gyazo全体の画像数の約14.4%)、さらに別の条件で取得されたとみられる画像メタデータ約240万件(約0.07%)の漏えいが確認されていました。今回の第二報では、これに加えて、利用者が過去に個別に削除した画像、またはアカウント削除にともなって削除された画像(主に2023年2月以前に削除されたもの)のメタデータについても、約1.74億件(Gyazo全体の約5.1%相当)が新たに流出していたことが判明したと発表されています。対象となった画像そのものは、すでに削除済みで現在は閲覧できない状態にあるとされ、漏えいしたのはファイルの登録日時や識別情報などのメタデータです。

Helpfeelは、これらの漏えいしたデータに関連する不正利用などの二次被害について、2026年9月25日時点では確認されていないとしています。また、Helpfeelが提供する別サービス「Helpfeel」「Cosense」はGyazoとは異なるシステム基盤で稼働しており、これらのサービスからの情報漏えいや、不正アクセスの痕跡は確認されていないと説明しています。

なぜ重要なのか

この続報が注目されるのは、「削除した」という利用者の行動が、必ずしも情報の完全な消去を意味しない場合があることを具体的に示した点です。多くの利用者は、不要になったデータを削除すれば、それ以上どこにも残らないと考えがちですが、今回のケースでは、削除済みのデータであっても、サーバー内に残っていたメタデータが不正アクセスの対象になってしまいました。

また、9日という短い期間で追加の調査結果を公表した対応の速さは評価できる一方、被害の全体像が第一報・第二報と段階的に拡大していく展開は、最初の発表だけでは事案の全容をつかみにくいという、不正アクセス事案に共通する難しさをあらためて示しています。利用者にとっては、一度「対応済み」と判断した事案についても、続報の有無を確認し続ける必要があることを意味します。

私たちへの影響

Gyazoを利用したことがある人、特に過去に画像を個別削除した経験がある人や、アカウントそのものを削除した経験がある人は、今回新たに対象となったデータに含まれる可能性があります。今回参照した情報源の中では、対象者を個別に確認できる専用ページの案内は見当たりませんが、Gyazoを利用していた人は、既報時点で呼びかけられていたパスワードの変更(まだ済んでいない場合)を改めて確認しておくとよいでしょう。

漏えいしたのは画像に関するメタデータであり、画像の内容そのものが今回の漏えいで新たに閲覧可能になったという発表内容ではありません。ただし、登録日時や識別情報などの情報が、他の漏えい情報と組み合わされることで、利用実態の推測につながるおそれはゼロではありません。心当たりのある利用者は、Helpfeelの公式発表で対象範囲の詳細を確認しておくことをおすすめします。

初心者が知っておくべきこと

メタデータめたでーたとは、データそのものの内容(この場合は画像の中身)ではなく、そのデータに付随する「登録日時」「識別情報」「ファイル名」といった、データを管理するための付加情報のことです。写真に例えると、写真そのものが「本文」であるのに対し、撮影日時や保存場所の情報がメタデータにあたります。今回の事案では、画像本体ではなくこのメタデータが対象になりましたが、いつ・どのファイルが登録されていたかという情報自体も、利用実態を推測する手がかりになり得るため、軽視できない漏えいだと考えられます。

IT Postの見方――「削除」の看板と「残存」の実態、その差を埋める説明責任

IT Postでは、Helpfeelが第一報からわずか9日で追加調査の結果を公表し、削除済みデータへの影響という不都合な事実まで含めて説明した対応は、後出しで小出しにする企業が多い中では相対的に誠実な部類だと考えます。とはいえ、利用者が「削除した」と信じて安心していたデータが、実際には社内のどこかに残っていたという構造そのものは見過ごせません。多くのオンラインサービスで「削除ボタンを押した後もデータがしばらく残る」という運用は珍しくありませんが、それがどの程度の期間、どのような形で残るのかを、平時からもっと分かりやすく利用者に説明しておくべきだったはずです。IT Postでは、「削除」という言葉を使うサービスには、その言葉に見合う実態を伴わせる責任があると考えます。※個人の感想です

今後どうなりそうか

今回確認した出典の範囲では、今回の第二報以降に、さらに対象データが拡大する可能性があるかどうかは明らかにされていません。Helpfeelが対象者への個別通知を行うかどうかについても、今回確認した出典の範囲では示されていません。IT Postでは、続報が確認され次第、あらためて取り上げます。