平素は、株式会社Helpfeelが提供するサービスをご利用いただき、誠にありがとうございます。
株式会社Helpfeel（本社：京都府京都市、代表取締役 CEO：洛西一周、以下：当社）は、当社が提供する画像共有サービス「Gyazo」において、2026年9月16日の発表（以下、第一報）にてお知らせしたとおり、第三者による不正アクセスおよび情報漏えいを確認いたしました。
第一報に続き調査を進めた結果、新たに判明した事項や、ユーザー情報の内訳など影響範囲について明らかになった事項がありますので、2026年9月25日時点で確認できている内容についてお知らせいたします。
「Gyazo」をご利用の皆さまならびに関係者の皆さまに、長期間にわたり多大なるご不便とご心配をおかけしておりますことを、改めて深くお詫び申し上げます。
なお、本文書における「画像」は「Gyazo」でキャプチャ・保存された、スクリーンショット、GIF、動画などのコンテンツを指します。また、「メタデータ」の内容については第一報にてお知らせのとおりです。
1. 新たに判明した事項
第一報後の調査により、ユーザーが過去に削除した画像に関するメタデータ約1.74億件についても、外部に流出していたことを新たに確認しました。今回流出が確認されたメタデータは、主に2023年2月以前（※）に削除された画像に関するものであることを確認しています。対象となる画像ファイルは、現在閲覧できない状態となっています。今回新たに確認された流出には、削除済みの画像ファイルそのものは含まれていません。
対象となるユーザーおよび企業の方には調査が完了次第、順次メールにてご連絡いたします。
なお、影響を受ける削除処理は、以下の2点です。
2023年2月以前に画像を削除した
2023年2月以前にアカウントを削除した
※この時期は、「Gyazo」へのアップロード日ではなく、「Gyazo」上で画像が削除された、もしくはアカウントを削除した時期を基準としています。
2. 調査の進展により明らかになった影響範囲
第一報でお知らせした情報漏えいについて、その後対象となるデータの精査を進めた結果、ユーザー情報に関する内訳や画像に関するメタデータが全体に占める割合などが明らかになりました。
現時点で確認できている内容について、以下のとおりお知らせします。
（2-1）ユーザーに関するデータ約2,362万件の影響と範囲について
第一報でお知らせした約2,362万件のユーザーに関するデータについて、内訳を精査した結果、以下のとおりであることを確認しました。
ユーザーに関するデータ約2,362万件の内訳
メールアドレスの登録がない匿名ユーザー：約1,801万件（約76％）
メールアドレスの登録があるユーザー：約562万件（約24％）
※ 四捨五入のため、内訳の合計は総数と一致しない場合があります。
「Gyazo」は、メールアドレス等を登録せずに利用できる仕組みとなっており、第一報でお知らせした約2,362万件には、メールアドレスの登録がないユーザーに関するデータも含まれています。流出した情報の種類や範囲はユーザーごとに異なり、約2,362万件すべてについてメールアドレス等の情報が流出したものではありません。
なお、第一報でお知らせしたとおり、クレジットカード番号等の決済情報は含まれていないことを確認しています。
X（旧Twitter）連携用トークンについて
第一報で流出した情報としてお知らせしたX（旧Twitter）連携用トークンについて、その後精査を行った結果、当該トークン単体ではXアカウントへのログインや操作を行うことはできないことを確認しています。また、二次被害防止のための予防的措置として、当該トークンを含むOAuth連携に関する認証情報についてはすでに無効化の措置を実施しています。
（2-2）流出した画像に関するメタデータの影響範囲について
第一報後の精査により、流出した画像に関するメタデータの影響範囲につきまして、確認できた事項を以下のとおりお知らせします。
対象となるデータ | 件数 | 対象となる範囲 | 総画像数に対する規模 |
|---|---|---|---|
画像に関するメタデータ | 約4.9億件 | 主に2019年1月以前にアップロード | 約14.4% |
条件を絞って取得された画像に関するメタデータ | 240万件 | 調査中 | 約0.07% |
削除済み画像に関するメタデータ | 約1.74億件 | 主に2023年2月以前に削除 | 約5.1% |
上記に含まれない画像のメタデータに関しては、現時点で流出を確認しておりません。
なお、上記はいずれも画像に関するメタデータの件数であり、画像ファイルそのものが外部に流出した件数ではありません。
3. 二次被害および当社の他サービスへの影響について
現時点までの調査において、本件に起因する個人情報の不正利用や、その他の二次被害は確認されておりません。
また、当社が提供する「Helpfeel」および「Cosense」は、「Gyazo」とは異なるシステム構成で運用しており、今回の不正アクセスに利用された侵入経路とは接続されておりません。
さらに現時点までの調査において、「Helpfeel」および「Cosense」のシステムからの情報漏えいは確認されておらず、両サービスに対する不正アクセスおよび攻撃の痕跡も確認されておりません。
当社では引き続き、外部専門機関による調査に加え、流出した情報の不正利用や二次被害の有無について調査・監視を継続してまいります。
4. 画像の保全状況およびサービス再開に向けた対応
現在「Gyazo」では、二次被害防止のためサービスの提供を停止し、一部機能および保存済み画像の閲覧を制限しています。一方で、ユーザーが「Gyazo」にアップロードした画像について、現時点までの調査で、本件の不正アクセスによるデータの消失は確認されておりません。
長期間にわたりご心配とご迷惑をおかけしておりますことを、改めて深くお詫び申し上げます。
サービスの再開にあたっては、追加のセキュリティ検証および必要な対策を実施したうえで、段階的に提供を再開する方針です。
また、不正アクセスに利用された侵入経路の遮断および原因となった脆弱性の修正は完了しています。これに加え、サービス全体を対象としたセキュリティ検証や、流出した認証情報への対策など、再開に必要な追加対応を進めています。
サービス再開時には、まず所有者本人のみが保存済み画像を閲覧できる状態とし、その後、ユーザー自身の操作によって従来の公開状態へ戻すことができる仕組みの導入を検討しています。
なお、サービス再開の状況を含む今後の対応については、2026年9月29日までを目途に改めてお知らせいたします。
5. 外部専門機関による調査および関係当局への報告
本件の発覚後、当社では直ちに対策本部を設置し、被害拡大の防止と原因究明にあたってまいりました。
また、本件の影響範囲および原因をより正確に把握するため、当社による調査に加え、クラウドインフラ事業者への照会、外部専門機関によるフォレンジック調査を進めるとともに、国内外の関係当局への報告・連携を行っています。現在までの主な対応状況は以下のとおりです。
個人情報保護委員会への報告
個人情報保護委員会に対し、9月15日に個人情報保護法に基づく速報を提出しました。その後も、調査の進展に応じて報告・連携を継続しています。
総務省への報告
総務省に対し、本件の発生および調査状況について報告し、その後も必要な情報共有・連携を継続しています。
海外のデータ保護当局への報告
海外の利用者への影響についても確認を進め、GDPR等の各国・地域の法令に基づき、関係するデータ保護当局への報告・連携を進めています。
外部専門機関によるフォレンジック調査
本件の影響範囲および原因をより正確に把握するため、外部の専門機関によるフォレンジック調査を進めております。調査結果を踏まえ、必要な追加対応および再発防止策を講じてまいります。
6. セキュリティ対策および再発防止策について
本件の発覚後、被害拡大および二次被害を防止するための初期対応を実施するとともに、サービス全体のセキュリティ対策および再発防止策の強化を進めています。
（6-1）完了した対策
不正アクセス経路の遮断および脆弱性の修正
不正アクセスに利用された侵入経路を遮断するとともに、原因となった脆弱性の修正を完了しました。
認証情報の無効化および制限措置
流出した認証関連情報について、仕様および悪用可能性を精査し、二次被害防止のために予防的措置として必要な認証情報の無効化および利用制限を実施しました。
画像閲覧に関する二次被害防止措置
流出した情報が画像の閲覧等に悪用されることを防止するため、一部画像について閲覧を停止する措置を実施しました。
（6-2）進行中および今後の対策
追加のセキュリティ検証
サービス全体を対象とした追加のセキュリティリスクアセスメントを実施し、潜在的な脆弱性やセキュリティ上のリスクの洗い出しと、必要な追加対策を進めています。
外部専門家を含むセキュリティ強化体制の構築
外部の専門家を含むセキュリティ強化体制の構築を進め、今後の対策に反映してまいります。
セキュリティ教育の強化
開発者を対象としたセキュリティ教育を強化し、開発・運用プロセスにおけるセキュリティの向上を図ります。
当社では引き続き、外部専門機関と連携し、本件の影響範囲および原因の調査を進めるとともに、再発防止策およびサービス再開に向けた対応を進めてまいります。
今後、新たにお知らせすべき事実が判明した場合や、サービス再開に関する状況に進展があった場合には、速やかにお知らせいたします。
このたびは、「Gyazo」をご利用いただいている皆さまをはじめ、関係する皆さまに多大なるご心配とご迷惑をおかけしておりますことを、改めて深くお詫び申し上げます。
お問い合わせ窓口
本件に関するお問い合わせは、以下の窓口までお願いいたします。
「Helpfeel」をご利用いただいているお客様で、本件に関するご質問やご不明点がございましたら、当社担当者までお問い合わせください。
「Cosense」に関するお問い合わせは以下の窓口よりお願いいたします。
https://scrapbox.io/contact
「Gyazo」に関するお問い合わせは、以下の窓口よりお願いいたします。
日本語：https://help-ja.gyazo.com/contact-us
English：https://help.gyazo.com/contact-us
