Gyazoの情報漏洩｜Helpfeelの調査結果約2,362万件の範囲と利用者が確かめること 2026

2026年10月26日

＠SOHO編集部

この記事のポイント

✓画像共有サービスGyazoの情報漏洩について
✓運営会社Helpfeelの公式発表（第一報から10月21日の最終報まで）をもとに
✓漏れた項目と件数の読み方

画像共有サービス「Gyazo」を運営する株式会社Helpfeelは、2026年9月11日に発生した第三者による不正アクセスで、ユーザーに関する情報約2,362万件（アカウント数）と、画像に関するメタデータ約4.9億件などが外部に流出したと公表しています。 2026年10月21日には外部のセキュリティ専門機関によるフォレンジック調査の結果を踏まえた第三報（最終報）が出て、原因と影響範囲が確定しました。 Gyazoを使ったことがある人がまずすることは3つです。本件の発生以降にGyazoのパスワードを変えていなければ変える、同じか似たパスワードを他のサービスでも使っていればそちらも変える、そしてHelpfeelをかたる不審なメールやメッセージに応じない。この3つは同社の公式発表が利用者に求めている内容そのものです。

この記事は、Helpfeelが公式のお知らせページ（updates.gyazo.com）で公表した4本の文書（9月16日の第一報、9月25日の第二報、9月27日のサービス再開のお知らせ、10月21日の第三報）だけを出典にして書いています。2026年10月26日時点の記載で確かめた内容です。報道で伝えられている数字や、第三者の推測は入れていません。

公表の経緯：9月16日の第一報から10月21日の最終報まで

Helpfeelは本件について、約1か月の間に4本の文書を公表しました。日付順に、それぞれの文書で何が分かったのかを整理します。あとの節で扱う件数や項目は、どの文書で明らかになったものかをここで押さえておくと読みやすくなります。

9月16日第一報：不正アクセスの発生と漏えいの確認

第一報では、2026年9月11日に「Gyazo」の画像アップロードサーバーにあった脆弱性を悪用され、第三者がシステム上で任意のコマンドを実行する不正アクセスが発生したことが公表されました。脆弱性とは、プログラムの欠陥のうち、外部からの攻撃に使われてしまうもののことです。同社は同日夜に不正な挙動を検知し、9月12日未明までに侵入経路の遮断と不正な接続の切断を終え、同日中に原因となった脆弱性の修正を完了したと説明しています。

その後の調査で、第三者がGyazoのデータベースにアクセスし、ユーザー情報と画像に関するメタデータが外部に流出した事実を9月14日に確認。9月15日には個人情報保護委員会への報告を行い、9月16日に第一報を公表しました。

第一報の時点で公表された件数は、ユーザーに関する情報が約2,362万件、画像に関するメタデータが約4.9億件（主に2019年1月以前に登録された画像。画像に関するデータ全体の約14.4%）と、別途条件を絞って取得されたメタデータ約240万件です。クレジットカード番号などの決済情報は流出していないことも、この時点で明記されています。

また、第一報の本文には9月24日と9月27日の追記が加えられています。9月24日17時45分の追記では、安全にサービスを使えるようにするためのメンテナンスとしてサービスを一時停止していること、パスワードの変更はサービス再開後に行ってほしいことが書かれました。9月27日8時00分の追記では、同日からサービスを再開したことが告げられています。

9月25日第二報：削除済み画像のメタデータと、件数の内訳

第二報で新たに判明したのは、ユーザーが過去に削除した画像に関するメタデータ約1.74億件も流出していたことです。対象は主に2023年2月以前に削除された画像と、2023年2月以前にアカウントを削除したユーザーが所有していた画像です。この時期は、アップロードした日ではなく、Gyazo上で画像またはアカウントを削除した時期を基準にしています。削除済みの画像ファイルそのものは、この流出には含まれていないと明記されました。

第二報では、第一報で公表された約2,362万件の内訳も示されました。メールアドレスの登録がない匿名ユーザーが約1,801万件（約76%）、メールアドレスの登録があるユーザーが約562万件（約24%）です。Gyazoはメールアドレスなどを登録しなくても使える仕組みになっているため、約2,362万件のすべてについてメールアドレスなどの情報が流出したわけではない、と同社は説明しています。

X（旧Twitter）連携用トークンについては、精査の結果、そのトークン単体ではXアカウントへのログインや操作はできないことを確認したと書かれています。あわせて、OAuth連携に関する認証情報はすでに無効化したと報告されました。OAuth連携とは、別のサービスのアカウントを使ってログインしたり投稿したりできる仕組みのことです。

第二報の時点でサービスは停止中で、再開時には所有者本人だけが画像を閲覧できる状態から始め、利用者自身の操作で公開状態に戻せる仕組みを検討している、と予告されていました。

9月27日サービス再開のお知らせ：画像は本人だけが見られる状態で再開

2026年9月27日、Gyazoはサービスの提供を再開しました。再開にあたって、不正アクセスが発生する以前にアップロードされた画像は、すべて「所有者本人のみが閲覧できる状態」にされています。以前は第三者が閲覧できる状態だった画像も、本人以外は一時的に見られません。

同社は、利用者の意図しない形で画像が第三者に閲覧できる状態になることを避けるため、会社の判断で一律に以前の状態へ戻すことはせず、利用者自身が画像の内容を確かめたうえで配信を再開するかどうかを選ぶ方式にしたと説明しています。配信を再開する方法は、画像を1枚ずつ確かめて再開する、一覧画面で複数を選んで再開する、設定ページの「配信停止中の画像」からすべてまとめて再開する、の3通りです。

無料プランでは通常、一定期間より前の画像を閲覧履歴からさかのぼって確かめることはできませんが、特別措置として当面の間、不正アクセス以前にアップロードされたすべての画像を閲覧できるようにしたことも書かれています。

9月29日21時30分の追記では、「Gyazo Teams」にアップロードされた画像について、配信停止中であっても同じチームのメンバーは閲覧できるように仕様を変えたことが加えられました（「自分のみ」設定の画像を除く。「パスワードによる保護」設定の画像は引き続きパスワードの入力が必要）。

10月21日第三報（最終報）：フォレンジック調査の結果

2026年10月21日、Helpfeelは外部のセキュリティ専門機関によるフォレンジック調査の最終報告書を受領したとして、第三報を公表しました。フォレンジック調査とは、サーバーに残った記録を照合して、侵入の経緯や影響の範囲を専門家が確かめる調査のことです。調査は9月25日から10月15日にかけて行われ、10月15日に最終報告書を受領、10月19日に説明を受け、10月21日に公表という流れです。本文は2026年10月20日時点で確認できている内容に基づいています。

第三報で確定したのは次の点です。

原因は、画像アップロードサーバーで動画などを変換する処理の一部にあった脆弱性。外部のソフトウェア部品や委託先に起因するもの（いわゆるサプライチェーン攻撃）ではなく、同社が開発・運用するシステムの脆弱性に起因する
不正な活動が確認されたのは、2026年9月11日午後から9月12日未明までの間。遮断以降、同じ経路による不正アクセスは確認されていない
画像ファイルそのものが大量に取得されたことを示す記録は確認されなかった。ただし、同社の追加調査で133名のユーザーが保存していた一部の画像（432件）が第三者に閲覧・取得されたことが判明した
2026年10月20日時点で、本件に起因する個人情報の不正利用、なりすまし、その他の二次被害は確認されていない

同社はこの第三報をもって、外部専門機関の調査結果を踏まえた報告は最終とすると述べています。ただし、関係当局への報告、対象者への連絡、流出した情報の監視、再発防止策は続け、新たに知らせるべき事実が判明した場合には速やかに公表するとしています。2026年10月26日時点で、updates.gyazo.comの一覧に10月21日より後の新しいお知らせは掲載されていません。

漏えいした情報の範囲と、件数の読み方

第三報に掲載された「情報漏えいの範囲」の表を、公式の表現どおりに整理します。

対象となるデータ	件数	対象となる範囲	公式の注記
ユーザーに関する情報	約2,362万件	匿名ユーザー約1,801万件（約76%）、メールアドレス登録あり約562万件（約24%）	件数はアカウント数であり、人数ではない。含まれる情報の種類はユーザーごとに異なる
画像に関するメタデータ	約4.9億件	主に2019年1月以前にアップロードされた画像（総画像数の約14.4%）	メタデータの件数であり、画像ファイルそのものが流出した件数ではない
条件を絞って取得された画像に関するメタデータ	約240万件	総画像数の約0.07%	同上
削除済み画像に関するメタデータ	約1.74億件	主に2023年2月以前に削除された画像、および2023年2月以前にアカウントを削除したユーザーが所有していた画像（総画像数の約5.1%）	同上
特定ユーザーが所有する画像ファイル	432件	特定ユーザー133名が所有する一部の画像	対象者には登録メールアドレス宛に案内を送付済み

この表で注意したいのは単位です。

「約2,362万件」はアカウントの数であって、人の数ではありません。1人が複数のアカウントを持っている場合も、メールアドレスを登録していない匿名のアカウントも、それぞれ1件と数えられています
「約4.9億件」「約240万件」「約1.74億件」は画像に関するメタデータの件数であって、画像ファイルそのものが流出した件数ではありません。メタデータとは、画像そのものではなく、画像に付随する情報（いつ、どこから、どんな端末でアップロードされたか、など）のことです

第三報は、この点を次のように明記しています。

件数はアカウント数であり、人数ではありません。含まれる情報の種類は第一報のとおりで、ユーザーごとに異なります。クレジットカード番号等の決済情報は含まれていません出典: updates.gyazo.com

ユーザーに関する情報に含まれる項目

第一報に列挙された項目は次のとおりです。種類や範囲はユーザーごとに異なります。

名前（ユーザーが指定する氏名やニックネームなどの任意の文字列）
メールアドレス
パスワードのハッシュ値
利用者ID
端末ID
ログインセッションID
X（旧Twitter）連携用トークン（連携していた場合）
Google SSOのメールアドレス（連携していた場合）
プロフィール情報
利用言語
登録日時
最終ログイン日時
契約プラン
課金ステータス（カード番号などの決済情報は含まない）
利用統計

ここで重要なのが、パスワードの扱いです。第三報は、第一報で漏えいした情報として挙げた「パスワードに関する情報」は、パスワードそのものではなく、不可逆の変換（ハッシュ化）を施したハッシュ値であり、パスワードそのものが漏えいしたわけではない、と明記しています。ハッシュ化とは、元の文字列から一方向にしか計算できない別の文字列を作る処理のことで、ハッシュ値から元のパスワードを直接読み取ることはできません。あわせて、一部の認証関連情報と外部サービスの連携情報はすでに無効化を終えており、今回漏えいしたおそれのある認証関連情報だけを使った不正アクセスによる二次被害は発生しないと同社は考えています。

ただし、同社がパスワードの変更を求めている事実は変わりません。ハッシュ値から元に戻せないことと、短く単純なパスワードが推測されうることは別の話なので、変更の依頼には従うのが安全です。

画像に関するメタデータに含まれる項目

第一報に列挙された項目は次のとおりです。

画像ID（画像URLを構成する情報）
アップロード元IPアドレス
User-Agent（使っていたブラウザや端末の種類を示す文字列）
EXIF位置情報（画像に含まれる場合。写真に埋め込まれた撮影場所の情報）
画像のOCRテキスト（画像の中の文字を読み取ったテキスト）
画像タイトル
取得元URLなどのメタデータ
非公開画像のパスフレーズ（ハッシュ化されたもの）

第一報は、メタデータには画像URLに使われる情報が含まれており、この情報を使って対象の画像にアクセスされ、不正に閲覧される恐れがあると説明しています。非公開画像のファイル一覧が取得されていたことも確認されており、一部の非公開画像が第三者に閲覧された可能性は完全には否定できない、という評価は第三報でも維持されています。

流出していないことが確認されている情報

第三報は、次の情報については流出していないことを確認している、と書いています。

流出していないことを確認している情報	公式の注記
クレジットカード番号などの決済情報	第一報・第二報のとおり
画像ファイル本体	大量に取得されたことを示す記録はない。一部が閲覧された可能性は別枠で説明（次の節）
削除済み画像のファイル本体	取得を示す記録は確認されていない
「Helpfeel」「Cosense」のシステムに保存された情報	両サービスはGyazoと異なるシステム構成で、侵入経路とは接続されていない

また、第二報の表にある範囲（2019年1月以前にアップロードされた画像、条件を絞って取得された約240万件、2023年2月以前に削除された画像）に含まれない画像のメタデータについては、流出を確認していないとされています。

133名のユーザーが所有する432件の画像ファイルについて

上の表のうち、画像ファイルそのものが第三者に閲覧・取得されたと判明している唯一の枠が、「133名が所有する432件」です。他の枠はメタデータの件数なので、性質が違います。

第三報によると、外部専門機関のフォレンジック調査では、画像ファイルが大量に取得されたことを示す記録は確認されませんでした。しかし、その調査結果を元に同社が追加調査を行ったところ、133名のユーザーが保存していた一部の画像について、第三者に閲覧・取得されたことが判明しました。対象となるユーザーには、すでに対象の画像を明示したうえで個別に連絡し、必要な対応を案内しているとのことです。また、この133名の対象画像に「Helpfeel」および「Cosense」の顧客情報は含まれていないことを確認した、と書かれています。

つまり、自分がこの133名に入っているかどうかは、Helpfeelから対象画像を明示した個別の連絡が届いているかで分かります。2026年10月26日時点で、この枠について公式ページに「どのような画像だったか」の説明はありません。公表されていないことは、この記事でも推測しません。

原因：動画の変換処理にあった脆弱性

第三報が公式に示した原因は、次のとおりです。

本件の原因は、「Gyazo」の画像アップロードサーバーにおいて、アップロードされた動画等を変換する処理の一部に、外部からの入力値が適切に処理されないままサーバー上のコマンドとして解釈されてしまう脆弱性が存在したことであると確認されました。出典: updates.gyazo.com

平たく言えば、利用者がアップロードした動画などを別の形式に変換する仕組みの中に、外部から送り込まれた文字列がそのままサーバーへの命令として実行されてしまう欠陥があった、ということです。第三者はこの欠陥を使って変換処理用のサーバー上で命令を実行し、そのサーバーから到達できたデータベースに接続して大量のデータを読み取り、外部のサーバーへ送信していたと認定されています。

第三報はこの点について、外部のソフトウェア部品や委託先に起因するもの（いわゆるサプライチェーン攻撃）ではなく、同社が開発・運用するシステムの脆弱性に起因するものだと明記しています。この脆弱性は9月12日に修正を完了し、同じ種類の問題がないかGyazoの全ソースコードを点検して、重大度の高い問題の修正も終えたとしています。

もう1つ押さえておきたいのは、流出した件数の確かめ方です。第三報によれば、データベースへの大量の読み取りと、同じ時間帯の外部サーバーへの大容量の送信は記録から確認できた一方で、送信された通信の中身そのものを記録したログは存在しないため、外部へ送られたデータの項目や件数を直接確認することはできず、外部専門機関は「データ流出のおそれは相応に高い」と認定しています。公表されている件数は、この評価を前提に同社が算出したものです。

Helpfeelの対応：通知、無効化、監視、当局への報告

公式発表に書かれている同社の対応を、時系列と種類に分けて整理します。発表に書かれていないこと（補償や賠償の有無など）は、ここには書きません。

利用者への通知

影響を受けた可能性のあるユーザーには、2026年9月20日から順次、登録されているメールアドレス宛に案内を送付。あわせてGyazoのサービス画面上にもお知らせを掲示
削除済み画像のメタデータについて、漏えいの対象となった可能性があり、かつ連絡先のメールアドレスが確認できる約5.7万アカウント（退会・解約済みのアカウントを含む）を特定し、第三報の公表後に順次メールで案内
133名のユーザーには、対象の画像を明示したうえで個別に連絡
法人のお客様には、契約内容に基づき同社の担当者から案内
第一報の時点では、メールアドレスを登録していない匿名アカウントなど、メールでの連絡が難しい場合はWebサービスの画面を通じて案内する予定と記載

二次被害を防ぐための措置

9月12日未明までに侵入経路の遮断と不正な接続の切断
9月14日に全画像の配信を停止、9月15日に流出した認証関連情報の無効化などの追加措置
9月18日からサービスの提供を一時停止し、9月27日に再開。不正アクセス以前の画像は所有者本人のみ閲覧できる状態で再開し、本人が確かめたうえで配信を再開する方式を恒久的に維持する（同社の判断で一律に再開することはない）
X連携用トークンを含むOAuth連携の認証情報を無効化
2026年9月下旬から、流出した情報がダークウェブなどで公開・売買されていないかの監視を外部サービスなどを使って継続。10月20日時点で該当する情報は確認されておらず、監視は少なくとも1年間続ける

関係当局への報告と捜査機関への相談

個人情報保護委員会：9月15日に個人情報保護法に基づく速報、9月24日に続報を提出。調査結果を踏まえた確報を法令の期限内に提出する
総務省：同社は届出電気通信事業者であり、9月16日に報告を開始、9月17日と9月24日に報告書を提出
海外のデータ保護当局：GDPRなど各国・地域の法令に基づき、約30の国・地域の監督機関へ報告
警察：京都府警察に相談。IOC情報（攻撃の痕跡を示す情報）の提供を通じて捜査に協力

削除済みデータの取り扱いの見直し

第三報には、今回の事案を受けた方針の変更も書かれています。Gyazoでは、利用者が画像を削除した場合、画像ファイル本体は一定期間を経て消去する運用でしたが、メタデータは不正利用の調査や公的機関からの照会に備えて保持していました。これを改め、削除済み画像に関するメタデータは削除後60日を経過した時点で自動的に消去する削除ポリシーを策定して適用すること、過去に削除された画像のメタデータ（本件で漏えいの対象になったものを含む）は関係当局への報告や法令に基づく保全に支障のない範囲で順次消去すること、退会済みユーザーの情報を含む操作記録なども保持期間を定めて消去することが示されました。

再発防止策

完了した対策として、脆弱性の修正と侵入経路の遮断（9月12日）、認証関連情報と外部サービス連携情報の無効化、全ソースコードを対象としたセキュリティ点検、内部システム間のアクセス制御の強化と内部通信の暗号化、全サービスを対象とした緊急セキュリティ点検が挙げられています。進行中の対策には、AIを活用したソースコードの静的解析の全サービスへの導入、外部専門機関による全サービスの脆弱性診断、ログの保存期間の延長と監視・異常検知の強化などがあります。体制面では、セキュリティ監視・対応を専門とする組織（SOC）の設置、全開発者を対象としたセキュリティ教育の強化、社内の情報管理ルールの見直しが示されています。

自分が対象かを確かめる方法

Gyazoに心当たりがある人が、自分が影響を受けているかを確かめる手がかりは、公式発表に書かれている範囲で次の4つです。

登録しているメールアドレスに、Helpfeelからの案内が届いているか。影響を受けた可能性のあるユーザーには9月20日から順次送られています。削除済み画像のメタデータの対象になった約5.7万アカウントには、10月21日の第三報の公表後に順次案内が送られます。退会・解約済みのアカウントも含まれるので、過去に使っていてやめた人も受信箱と迷惑メールフォルダを確かめてください
Gyazoのサービス画面にお知らせが掲示されているか。匿名アカウントで使っていた人はメールが届かないため、こちらが手がかりになります
対象の画像を明示した個別の連絡が届いているか。届いていれば、133名の枠に該当します
自分の画像が「配信停止中」になっているか。不正アクセス以前にアップロードした画像は、サービス再開後、所有者本人だけが閲覧できる状態になっています。ログインして設定ページの「配信停止中の画像」を開けば、どの画像が対象かが分かります

逆に、公式発表に書かれていないこともあります。「自分のメールアドレスが流出したかどうかを、個別に検索して確かめるページ」のような仕組みは、2026年10月26日時点の公式ページには案内されていません。案内メールが届いていないからといって対象外と断定することもできません。同社自身が「流出した情報の種類や範囲はユーザーごとに異なる」としているためです。

メールアドレスが過去にどの漏えい事案に含まれていたかを、自分で調べられる外部の仕組みもあります。調べ方と、結果が出たときの読み方は、Have I Been Pwnedで情報漏洩を調べる方法で手順を説明しています。ただし、この種の仕組みに本件のデータが登録されているかどうかは、2026年10月26日時点で確かめていません。登録されていなくても「漏れていない」とは言えないので、公式の案内を優先してください。

利用者がすること：漏れた項目に合わせて

漏れたとされる項目は、メールアドレスやパスワードのハッシュ値といったアカウントの情報と、画像のURLを構成する情報やアップロード元のIPアドレスといった画像の周辺情報です。クレジットカード番号などの決済情報は含まれていないので、カード明細の確認やカードの再発行は、本件に関しては公式発表上は求められていません。やることを、項目に合わせて絞ります。

1. パスワードを変える。使い回しがあれば、そちらも変える

公式発表が最初に求めているのがこれです。本件の発生以降にGyazoのパスワードを変えていない人は変えてください。あわせて、Gyazoと同じ、または似たパスワードを他のサービスでも使っている場合は、そのサービスのパスワードも変えてください。

パスワードはハッシュ値の状態で流出したもので、パスワードそのものではありません。それでも変更が求められているのは、同じパスワードを複数のサービスで使い回している場合に、1か所の情報を手がかりに別のサービスへのログインを試す攻撃（パスワードリスト攻撃と呼ばれます）の入口になりうるからです。使い回しをやめ、サービスごとに別のパスワードにすることが、本件に限らない根本の対策になります。

2. 外部サービスとの連携を見直す

流出した項目には、X（旧Twitter）連携用トークンとGoogle SSOのメールアドレスが含まれています。同社はXのトークン単体ではXアカウントへのログインや操作はできないことを確認し、OAuth連携の認証情報は無効化済みとしています。したがって、この項目だけを理由に慌てる必要はありませんが、Xの設定画面で連携しているアプリの一覧を開き、使っていない連携を外しておくことは、本件と関係なく有効です。Googleアカウントについても、ログインに使っているサービスの一覧を一度見直しておくと、今後同じような事案が起きたときに確かめる場所が分かります。

3. 二段階認証を有効にする

パスワードが推測されたり、別の事案で漏れたりしても、二段階認証があればログインを止められます。二段階認証とは、パスワードに加えて、スマートフォンのアプリに表示される数字や、端末そのものでの承認を求める仕組みのことです。Gyazoだけでなく、メールアドレスと同じパスワードを使っていた可能性のあるサービス全体で有効にしてください。仕組みの違いや選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で比べています。

4. 配信停止中の画像を、内容を見てから再開する

これは本件に固有の作業です。不正アクセス以前にアップロードした画像は、所有者本人だけが見られる状態になっています。設定ページの「配信停止中の画像」からまとめて再開することもできますが、再開した画像には本件の発生前に設定されていた閲覧範囲（「自分のみ」「リンクを知っている全員」など）がそのまま適用されます。同社も、まとめて再開する場合は、閲覧範囲を確かめたい画像を事前に個別に確かめることを勧めています。

画像を見直すときの観点は2つあります。1つは、その画像を今も他の人に見せる必要があるかどうか。もう1つは、その画像に取引先の名前、住所、メールアドレス、請求金額、社内の画面など、自分以外の誰かの情報が写っていないかどうかです。何年も前に「リンクを知っている全員」で共有した画像は、本人も忘れていることが多いものです。今回の事案は、その棚卸しをする機会と考えるのが現実的です。一度配信を再開した画像も、「アクセス制御」の機能で閲覧範囲を変えれば、再び本人だけが見られる状態に戻せます。

5. メタデータの中身から、自分にとっての影響を考える

画像に関するメタデータには、アップロード元のIPアドレス、EXIF位置情報（画像に含まれる場合）、画像のOCRテキスト、画像タイトル、取得元URLなどが含まれていました。これは画像そのものではありませんが、スマートフォンで撮った写真をそのままアップロードしていた場合、撮影場所の情報が含まれていた可能性があります。また、OCRテキストは画像に写っていた文字を読み取ったものなので、画面の写しに文字情報が多かった人ほど、メタデータだけでも内容が推測される余地があります。

自宅の場所が特定されうる情報が含まれていたと考えられる場合の対応は、住所が漏れたときの対処で、公的な相談先を含めて整理しています。本件で位置情報が実際に悪用された事実は、2026年10月26日時点で公表されていません。

6. Helpfeelをかたる不審なメール・メッセージを見分ける

第三報は、同社が本件に関して送る案内メールでは、URLへのアクセスやリンク先での操作を求めることはない、と明記しています。また、同社が本件に関してパスワードやクレジットカード番号を尋ねることもありません。したがって、次のようなメールは、差出人がHelpfeelやGyazoを名乗っていても応じないでください。

「本人確認のため、こちらからログインしてください」とリンクを示すもの
「補償の手続きのため、カード番号を入力してください」と求めるもの
「パスワードを再設定するため、現在のパスワードを返信してください」と求めるもの

案内メールが本物かどうか迷ったときは、メールの中のリンクを使わず、ブラウザで直接Gyazoのサイトを開いてログインし、サービス画面のお知らせを確かめるのが確実です。手口の型と見分け方の練習は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに、個人でも使える判断の順番として書いています。

問い合わせ窓口

公式発表に載っている本件の問い合わせ窓口は、次の2つです。電話番号と受付時間は公式発表に記載がないため、ここにも書きません。

日本語: https://help-ja.gyazo.com/contact-us
English: https://help.gyazo.com/contact-us

「Helpfeel」を利用している法人のお客様は、同社の担当者へ問い合わせるよう案内されています。「Cosense」に関する問い合わせは、第二報に別の窓口（https://scrapbox.io/contact）が示されています。報道関係者向けには広報窓口のメールアドレスが第三報に載っていますが、利用者の問い合わせ先ではありません。

在宅で仕事をする人がGyazoを仕事でも使っていた場合

Gyazoは画面の一部を切り取ってすぐに共有できるため、在宅で働く人が取引先との連絡に使っている例が少なくありません。修正箇所を示す画面の写し、納品物の確認画像、エラー画面の共有などです。そうした使い方をしていた人は、自分のアカウントの安全に加えて、「取引先の情報を預かる立場」としての確認が要ります。

まず、自分の画像に取引先の情報が写っていたかを棚卸しする

前の節で書いた「配信停止中の画像」の見直しが、そのまま棚卸しになります。見るべきは、取引先の社名や担当者名、メールアドレス、電話番号、顧客名簿の一部、管理画面のURL、請求書の金額などが写っている画像があるかどうかです。2019年1月以前にアップロードした画像のメタデータ、2023年2月以前に削除した画像のメタデータが流出の対象とされているので、古い案件の画像ほど確かめる価値があります。

メタデータには画像のOCRテキストと画像タイトルが含まれます。画像ファイルそのものは（133名の432件を除いて）大量に取得された記録はないとされていますが、文字の多い画面の写しは、OCRテキストだけで内容がある程度わかります。取引先の情報が写っていた画像が見つかったら、その画像は配信を再開せず、削除するか本人のみの閲覧に留めておくのが無難です。

取引先に知らせるかどうかの考え方

ここは、関係する法令の決まりと、契約上の約束の2つに分けて考えます。

法令の面では、個人情報保護委員会の公式ページに、事業者が個人データの漏えいなどを同委員会へ報告しなければならない場合が示されています。不正の目的をもって行われたおそれがある行為による漏えい（不正アクセスにより個人データが漏えいした場合が例として挙げられています）、本人の数が1,000人を超える漏えい、クレジットカード番号などの不正に利用されると財産的な被害が生じるおそれがある情報の漏えい、要配慮個人情報（病歴など）の漏えい、の4つです。不正の目的で行われたおそれがある場合の報告期限は、発覚日から60日以内と書かれています。

発覚したら、まずは速やかに報告してください。不正な目的で行われたおそれがある場合は、発覚日から、60日以内出典: ppc.go.jp

本件では、報告の主体はGyazoを運営するHelpfeelで、同社は9月15日に速報、9月24日に続報を提出し、確報を期限内に提出するとしています。一方、在宅で働く個人が取引先から預かった個人データを自分の判断でGyazoにアップロードしていた場合、その個人データの取り扱いについての責任がどこにあるかは、契約の内容と預かり方で変わります。個人の立場で判断に迷うときは、同委員会の公式ページに案内されている個人情報保護法相談ダイヤルに相談できます。この記事では「報告が要る」「要らない」を断定しません。

契約の面では、取引先との契約書や秘密保持契約（NDA）に、預かった情報の管理方法や、事故が起きたときの報告の決まりが書かれていることがあります。NDAとは、業務で知った相手の情報を外に出さないと約束する契約のことです。「第三者のサービスに保存していた情報が漏えいのおそれにさらされた」という状況は、多くのNDAで報告の対象になりえます。報告するかどうかで迷う場合は、取引先の情報が写っていた画像があったという事実、その画像が流出対象の範囲（2019年1月以前のアップロード、2023年2月以前の削除など）に含まれる可能性があるかどうか、画像ファイル本体の大量取得の記録はないという同社の発表内容、の3点を整理してから相談すると、相手も判断しやすくなります。

これからの仕事用の画像共有の決め方

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者として見てきた限りでは、仕事で使う道具で事故が起きたとき、取引先との関係が続くかどうかを分けるのは、事故そのものより、事実をどれだけ早く正確に伝えられるかです。今回の事案は、第一報から最終報まで日付と件数がすべて公式に残っているので、取引先への説明にそのまま使えます。逆に「おそらく問題ないと思います」という報告は、相手に不安だけを残します。

仕事用の画像共有を今後も続けるなら、次の3点を決めておくと、次に同じ種類の事案が起きても慌てません。

仕事の画像は、仕事用のアカウントで扱い、個人の写真と分ける
共有の初期設定を「自分のみ」にし、必要な画像だけ必要な期間だけ公開する。公開期間が終わった画像は閲覧範囲を戻す
取引先の情報が写る画像は、共有が終わったら削除する。削除済み画像のメタデータは、Helpfeelの新しい方針では削除後60日で自動消去される

セキュリティの知識は、在宅で受けられる仕事の幅にも関わります。アカウントの保護や、取引先への説明の経験は、AI・マーケティング・セキュリティのお仕事で扱っているような、企業のセキュリティ運用を支える案件で求められる基礎そのものです。本件で自分のアカウントを見直した手順は、そうした仕事で取引先に説明する手順と同じ形をしています。

公表のされ方から読み取れること

最後に、本件の公表を第一報から最終報まで通して読んだときに、利用者の側が覚えておくと役立つ点を3つ挙げます。

1つ目は、件数の見出しだけで判断しないことです。「約2,362万件」はアカウント数で、そのうち約76%はメールアドレスの登録がない匿名アカウントです。「約4.9億件」はメタデータの件数で、画像ファイルの件数ではありません。画像ファイルそのものが閲覧・取得されたと判明しているのは133名の432件です。同じ事案でも、どの枠の話をしているかで意味がまったく違います。

2つ目は、「漏れていない」と確認されている情報を読むことです。決済情報、画像ファイル本体（上記の例外を除く）、削除済み画像のファイル本体、HelpfeelとCosenseのシステムの情報は、流出していないことが確認されています。これが分かれば、カードの再発行のように本件では要らない対応に時間を使わずに済みます。

3つ目は、最終報が出たあとも、対象者への連絡は続いているということです。削除済み画像のメタデータの対象となった約5.7万アカウントへの案内は、第三報の公表後に順次送られています。過去にGyazoを使っていて退会した人にも届く可能性があるので、しばらくは受信箱に注意してください。ただし、その案内メールの中でリンク先での操作を求められることはない、という同社の説明を覚えておけば、本物の案内と偽のメールを見分けられます。

公式発表は updates.gyazo.com に、第一報・第二報・サービス再開のお知らせ・第三報の順で掲載されています。この記事の内容は2026年10月26日時点の記載に基づいており、同社が新たな事実を公表した場合は、公式ページの記載が優先されます。

よくある質問

Q. Gyazoの情報漏洩でパスワードそのものは漏れたのですか？

いいえ。運営会社Helpfeelの第三報によると、漏えいしたのはパスワードそのものではなく、不可逆の変換（ハッシュ化）を施したハッシュ値です。ただし同社はパスワードの変更を求めており、Gyazoと同じか似たパスワードを他のサービスで使っている場合は、そちらも変えるよう案内しています。

Q. 約2,362万件とは利用者が2,362万人いるという意味ですか？

違います。公式発表は「件数はアカウント数であり、人数ではない」と明記しています。内訳はメールアドレスの登録がない匿名ユーザーが約1,801万件（約76%）、登録があるユーザーが約562万件（約24%）で、流出した情報の種類や範囲はユーザーごとに異なります。

Q. 自分の画像が第三者に見られたかどうかは分かりますか？

画像ファイルそのものが閲覧・取得されたと判明しているのは133名のユーザーが所有する432件で、対象者には対象画像を明示した個別の連絡が届いています。それ以外の画像については、メタデータに含まれる画像URLの情報で一部が閲覧された可能性を完全には否定できない、というのが2026年10月26日時点の公式の評価です。