Gyazoが9日ぶりに再開、過去の画像はなぜ全て非公開に戻ったのか。再開の条件を確かめる

まず初めに

サービス再開の一報を聞いて「よかった、また使える」と思った利用者を待っていたのは、「あなたの過去の画像は全部非公開になりました。公開したいものは1枚ずつ選び直してください」という、なかなかの後片付け作業だ。しかも今回の第二報では、とっくに消したはずの画像の"痕跡"まで1億7,000万件超も漏れていたというおまけ付き。消したデータは本当に消えているのか、という根源的な疑問を、はからずも身をもって教えてくれた格好だ。※個人の感想です

何が起きているのか

Helpfeelの発表によると、Gyazoは2026年9月11日、第三者が画像アップロードサーバーの脆弱性を悪用し、任意のコマンドを実行できる状態を作り出したことで不正アクセスを受けました。これにより、利用者情報約2,362万件、画像に付随するメタデータ約4億9,000万件が外部に漏えいした可能性があると、9月16日の第一報で公表されています。

Helpfeelはその後の調査を踏まえ、9月25日に第二報を公表し、過去に利用者自身が削除した画像についても、メタデータ約1億7,400万件が新たに外部へ流出していたことを明らかにしました。対象は主に2023年2月以前に削除された画像で、利用者が個別に削除したケースと、アカウント削除に伴って画像が削除されたケースの両方が含まれるとしています。なお、削除された画像ファイル自体は今回確認された流出には含まれていないとしています。

サービスは二次被害を防ぐ目的で停止されていましたが、脆弱性の修正とセキュリティ対策の実施・検証を経て、2026年9月27日に再開されました。再開にあたっては、不正アクセス発生前にアップロードされていた全ての画像が、従来の公開設定にかかわらず「所有者本人のみ閲覧可能」な状態へ一律で変更されています。利用者が画像の内容を確認したうえで、あらためて「公開再開」の操作を行った場合にのみ、不正アクセス発生前の公開設定に戻る仕組みです。なお、姉妹サービスの「Helpfeel」「Cosense」はGyazoとは異なるシステム構成で運用されており、今回の侵入経路とは接続されていないとしています。

なぜ重要なのか

今回の事案が改めて示したのは、「削除したはずのデータ」がサービス側のシステム内に何らかの形で残り続け、不正アクセスの被害範囲に含まれうるという点です。利用者からすれば「消した画像は存在しない」という感覚を持ちがちですが、実際にはメタデータという形で保持され続けていた可能性があります。

また、9日間という比較的長期間のサービス停止と、再開時に全画像を一律で非公開化するという対応は、利用者の利便性よりも二次被害の防止を優先した判断だといえます。同種の画像・ファイル共有サービスを運営する他社にとっても、インシデント対応時の「公開設定の扱い」を考えるうえで参考になる事例です。

私たちへの影響

Gyazoの利用者は、サービス再開後、自分がこれまで公開設定にしていた画像が「非公開」に変わっていることに戸惑うかもしれません。仕事やブログなどで画像の外部公開リンクを使っていた場合、リンク切れのような状態になっている可能性があるため、必要な画像については内容を確認したうえで、あらためて公開設定に戻す操作が必要です。

過去に削除した画像についても、メタデータが流出した可能性がある点は覚えておく必要があります。画像ファイル自体は流出していないとされていますが、ファイル名などに個人を特定しうる情報を含めていた場合は、念のためその点を踏まえて対応を検討するとよいでしょう。

初心者が知っておくべきこと

メタデータめたでーたとは、データそのものではなく、そのデータに関する付随情報を指します。画像でいえば、ファイル名や作成日時、撮影に使った機器の情報などがこれにあたり、画像の中身(写っている内容)そのものとは区別されます。今回の追加流出は、このメタデータに限られ、削除済みの画像ファイル自体は対象に含まれていないとされています。

なお、Gyazoで悪用された「任意のコマンドを実行できる状態」は、RCEあーるしーいー(リモートコード実行)と呼ばれる種類の脆弱性に該当します。攻撃者が本来実行できないはずのプログラムをサーバー上で動かせてしまう深刻な脆弱性の一種で、IT Postは初報時の記事でもこの点を取り上げています。

よくある質問

Q. サービス再開後、これまで公開していた画像が見られなくなったのはなぜですか。 A. 二次被害を防ぐため、不正アクセス発生前にアップロードされた全ての画像が、以前の公開設定にかかわらず一律で「所有者本人のみ閲覧可能」に変更されたためです。内容を確認したうえで「公開再開」の操作をすると、元の公開設定に戻ります。

Q. 削除した画像そのものも流出したのですか。 A. いいえ。今回新たに判明した流出は、ファイル名や作成日時などのメタデータに限られており、削除済みの画像ファイル自体は含まれていないとHelpfeelは説明しています。

IT Postの見方――「消したはずのデータ」への感覚をアップデートすべき

IT Postでは、Helpfeelが再開にあたって全画像を一律非公開にするという、利便性より安全性を優先した判断をしたこと自体は妥当だと考えます。ただし、今回のように「削除した画像のメタデータまで数年分残っていた」という事実は、多くの利用者にとって想定外だったはずです。「消す」ボタンを押した後もデータがどこかに残り続けるサービスは、Gyazoに限った話ではありません。IT Postでは、利用者側も「削除=完全消去ではない場合がある」という前提を持っておくべきだと考えます。※個人の感想です

今後どうなりそうか

Helpfeelは、今回悪用された脆弱性を修正済みとしていますが、感染経路の詳細な分析や、個人情報保護委員会など監督機関への報告状況については、今回確認した出典の範囲では明らかになっていません。IT Postでは、続報があれば改めて取り上げます。