街に、誰でも自由に荷物を預けられる大きな宅配ボックス倉庫があるとします。便利な反面、荷物の投入口の鍵にほんの小さな欠陥があると、そこから倉庫の管理室までまるごと開けられてしまうことがあります。画像を手軽に共有できるサービス「Gyazo（ギャゾー）」で、まさにそれに近いことが起きました。
実際に何が起きたか
Gyazoを運営するHelpfeel社は2026年9月16日、9月11日に不正アクセスがあったと発表しました。影響を受けたのはユーザーに関する情報が約2362万件、画像に付随するデータ（メタデータ）が約4億9000万件です。
ユーザー情報には名前やメールアドレス、パスワードそのものではなく変換後の「ハッシュ値」、各種トークン、プロフィールが含まれます。画像側では画像ID、アップロード元のIPアドレス、位置情報、非公開画像のパスフレーズのハッシュ値などが対象です。同社は9月12日未明に侵入経路を遮断し、脆弱性を修正したと説明しています。
なぜ流出してしまったのか
原因は、画像をアップロードするサーバーにあった脆弱性でした。専門的には「任意のコマンド実行」と呼ばれる状態で、先ほどの宅配ボックスの例で言えば、投入口の鍵の欠陥を突かれて、倉庫の管理室に入れる合鍵を作られてしまったようなものです。管理室に入られると倉庫のシステムを自由に操作できるため、利用者名簿にあたるユーザー情報や、荷物の伝票控えにあたる画像のメタデータまで、まとめて持ち出されてしまいました。
「パスワードはハッシュ値だから安全では」と思う方もいるかもしれません。ハッシュ値は元の文字列に直接戻せない仕組みですが、単純な文字列だと解析される可能性はゼロではなく、Gyazo側がパスワード変更を呼びかけているのはそのためです。位置情報やアップロード元IPまで含まれる点も、単なるアカウント情報以上に行動の記録まで見られてしまう恐れがあり、見過ごせません。
影響の範囲
| 項目 | 内容 |
|---|---|
| ユーザー情報 | 約2362万件（名前・メールアドレス・パスワードのハッシュ値等） |
| 画像メタデータ | 約4億9000万件（画像ID・IPアドレス・位置情報等） |
| 対応状況 | 侵入経路の遮断・脆弱性修正済み、パスワード変更を呼びかけ中 |
つまり、画像を預けるサーバー自体の小さな穴が、利用者全体を巻き込む大きな漏洩につながったということです。
あなたがGyazoにアップロードした画像や、使い回しているパスワードは、今の状態のままで大丈夫でしょうか。
コメント