Gyazo情報漏洩で自分は対象？画像432件の流出と確認方法【第三報】

Gyazoの不正アクセスについて、2026年10月21日に運営会社のHelpfeelが第三報を公表したよ。この記事でいちばん大事にしたいのは、読んでくれたあなたが「自分は対象なのか」「何をすればいいのか」を自分で判断できること。まずは次の3つを、この順番で確認してみてね。

1. 登録しているメールアドレスと、Gyazoの画面に届いている公式のお知らせを確認する（メールの中のリンクではなく、自分で公式サイトを開いてね）
2. 本件のあとにパスワードを変えていなければ、Gyazoのパスワードを変更する
3. 同じパスワードを使い回しているサービスがあれば、そちらも変更する

この記事は、2026年10月22日時点で公式サイトに載っている情報をもとに書いているよ。数字の読み方でつまずきやすい話なので、ゆっくり整理していくね。

Gyazoで何が起きた？10月21日の第三報で判明したこと

画像本体が見られたのは133名・432件

第三報でいちばん大きな新情報は、133名のユーザーが保存していた一部の画像432件が、第三者に閲覧・取得されたと確認されたことだよ。ここでいう「画像」は、写真やスクリーンショットのファイルそのもののこと。対象の133名には、どの画像が対象かを示したうえで、Helpfeelから個別に連絡が済んでいるんだ。

同時に、よく見かける「約2,362万」「約4.9億」という大きな数字は、画像本体の被害の数ではないんだよ。2,362万は人数ではなく「アカウントの数」、4.9億は「画像に付いていた情報（メタデータ）の件数」。この違いは次の章以降でていねいに説明するね。

第一報から第三報までの流れ

私が公式の発表を並べ直してみると、調査が進むたびに「分かったこと」が増えていったのがよく分かったよ。

日付	できごと
2026年9月11日	不正アクセスが発生
9月12日	侵入経路の遮断と脆弱性（弱点）の修正
9月16日	第一報を公表
9月25日	第二報を公表（アカウントの内訳、削除済み画像のメタデータを追加）
9月27日	サービス再開（過去の画像は所有者本人のみ閲覧できる状態）
10月21日	第三報を公表（133名・432件の画像の閲覧・取得を確認）

第三報の内容は、2026年10月20日時点で確認された情報がもとになっているよ。

侵入のきっかけと、通信ログがない点

原因は、動画などを変換する処理で、外から送られた入力値を正しく扱えていなかったことだと説明されているよ。第三者はそこからサーバー上でコマンドを実行し、データベースから大量の情報を読み取って外部に送ったそうなんだ。外部の部品や委託先が原因ではなく、Helpfeel自身のシステムの弱点だったと公式は説明している。

もうひとつ見落としたくないのが、通信内容のログが残っていないため、外へ送られたデータの全項目・全件数を直接は確認できないという点。だから公式も「432件以外は絶対に見られていない」とまでは言い切っていないんだ。私はここが、この件でいちばん大事な読み方のポイントだと思っているよ。

自分は情報漏えいの対象？確認する方法

ここがこの記事のいちばん大事なところ。「自分は対象かも」と思ったら、次の順番で確認してみてね。

画像432件の対象者には個別連絡済み

画像本体の閲覧・取得が確認された133名には、対象の画像を示したうえで、登録済みのメールアドレス宛てに個別の案内が送られているよ。まずは次の3か所を見てみて。

• Gyazoに登録したメールアドレスの受信トレイ（迷惑メールフォルダも）
• Gyazoにログインしたときの画面に出ているお知らせ
• 公式サイトのお知らせ（自分でブラウザから開く）

ここで気をつけたいのは、連絡が届いていなくても「何も影響がない」と言い切れるわけではないこと。画像本体の対象者と、アカウント情報やメタデータが流出した人は、範囲が別だからね。メールが来ていないことは、安全の証拠にはならないよ。

Gyazoを匿名で使っていた人は？

Gyazoはアカウント登録をしなくても使えるから、メールアドレスを登録していない「匿名アカウント」が約1,801万件もあるんだ。こうしたアカウントには、そもそもメールが届かない可能性がある。だから、アプリやサイトを開いたときの公式のお知らせを、自分で見に行くのが大切だよ。

なお、「あなたが対象かどうかを入力して判定できる公開ツール」は、私が調べた範囲では見つけられなかったよ。「判定サイト」をうたうページがあっても、個人情報を入れるのは避けてね。

昔使っていた・退会済みでも対象になる？

今は使っていない人も、無関係とは限らないよ。削除済み画像のメタデータ約1.74億件が流出対象に含まれていて、主に2023年2月以前に削除されたものとされているんだ。連絡先が分かる約5.7万アカウントには、今後順次メールで案内される予定だよ。

2023年2月以前にGyazoの画像やアカウントを消した覚えがある人は、当時使っていたメールアドレスの受信トレイを探してみてね。ただし、削除済みで流出したのは画像の「付帯情報」であって、削除済みの画像ファイル本体の流出は確認されていないと、公式は説明しているよ。

画像432件とメタデータ約4.9億件はどう違う？

画像本体とメタデータの違い

画像本体は、アップロードした写真やスクリーンショットそのもの。メタデータは、その画像に付いている「付帯情報」のことだよ。公式の説明や報道では、たとえば次のようなものが挙げられているよ。

• 画像のURLを構成するID
• アップロード元のIPアドレス
• EXIFという撮影情報（位置情報が入っている場合がある）
• OCR（画像の中の文字を読み取る機能）で取り出した文字
• 画像のタイトル

公式の数字では、画像メタデータが約4.9億件（主に2019年1月以前のアップロード）、条件を絞って取得されたものが約240万件、削除済みが約1.74億件。どれも画像ファイルの数ではなく、付帯情報の件数なんだ。

OCRの文字には注意したい

私が特に気になったのは、OCRで読み取った文字だよ。スクリーンショットに写った文字がテキストとして保存される場合があるから、画像本体が持ち出されていなくても、写っていた内容への影響を考えておく必要があるんだ。

たとえば、次のような情報が写ったスクリーンショットを共有したことがある人は、見直してみてね。

• APIキーや認証トークン
• 顧客名簿の一部
• 会社の管理画面
• 社内限定のURL
• 個人の連絡先

大切な注意がひとつあるよ。これはあくまで一般的なリスクの説明で、「すべての画像内の文字が流出した」「これらの情報が実際に漏れた」という意味ではないんだ。ただ、念のための見直しには価値があると思うよ。

数字に引き直してみた

数字がたくさん出てきて分かりにくいから、公式の数字をもとに自分で計算してみたよ（編集部の概算）。

• 432件 ÷ 133名 ＝ 約3.2件（1人あたりの平均）
• 432件 ÷ 約4.9億件 ＝ 約0.00009%（およそ113万分の1）
• 匿名アカウント1,801万 ÷ 2,362万 ＝ 約76.2%（登録ありは約562万で約23.8%）
• 公式の割合（4.9億件が約14.4%）から逆算すると、全体で約34億枚規模

ただし、432件を比べる相手は「4.9億件」ではなく、あくまで画像本体の被害だよ。それに、通信ログがなくて全体を確認できていない以上、この割合は「安心の根拠」には使えないんだ。メタデータの流出が、別の意味で重い可能性があるからね。数字は、読み間違えないための道具として使ってね。

匿名アカウントについては、たとえば1人がパソコン、タブレット、スマホの3台で登録なしに使えば、アカウントは3つ数えられる可能性があるよ。だから約2,362万件は「人数」ではないんだ。

Gyazo利用者が今やるべき4つの対策

やることは4つ。上から順番にやれば大丈夫だよ。

①公式からのメール・お知らせを確認

第三報で、公式は「案内メールでURLへのアクセスやリンク先での操作を求めることはない」と説明しているよ。つまり、届いたメールのリンクを踏んで何かを入力させるメールは、本物ではない可能性が高いんだ。

確認するときは、メールの中のリンクではなく、自分でブラウザを開いて公式サイトにアクセスしてね。お問い合わせが必要なときは、公式のお問い合わせ窓口（日本語）から連絡できるよ。

②パスワードを変更する

本件のあとにGyazoのパスワードを変更していないなら、変更しておこう。公式も、変更していない人に変更をお願いしているよ。あわせて、Gyazoと同じ、または似たパスワードを他のサービスで使っているなら、そちらも変えてね。

漏れたのはパスワードそのものではなく、元に戻せない形に変換した「ハッシュ値」だよ。それでも、推測されやすいパスワードにはリスクが残るから、念のため変えるのがおすすめ。変更の操作は、Gyazoの画面に出てくる案内にそのまま従ってね。最近は他のサービスでも似たお知らせが続いていて、たとえばソースネクストの情報漏洩の記事でも、パスワードの扱い方をまとめているよ。

③過去にアップロードした画像を見直す

これまでに上げた画像を、一度ざっと見返してみてね。住所、電話番号、メールアドレス、仕事の資料、顧客の情報などが写り込んでいないかを確認するんだ。

もし業務で使うAPIキーや認証情報が写った画像があったら、必要に応じて失効（使えなくする）して、新しく発行し直してね。画像を消すだけでは足りないことがあるから、ここは私も大事にしたい部分だよ。

④不審なメール・SMSに注意する

ニュースになると、それに便乗して、HelpfeelやGyazoを名乗る偽のメールやSMSが出回りやすいよ。公式は、本件に関して、メールでパスワードやカード番号を尋ねることはないと説明しているんだ。

少しでも「あれ？」と思ったら、リンクは開かずに、公式サイトから確認してね。情報漏えいのあとの偽メールについては、カーセンサーの不正アクセスの記事でも、見分け方の考え方をまとめているよ。

Gyazoの画像が見られないのはなぜ？配信を再開する方法

不正アクセス前の画像は所有者のみ閲覧可能に

最近、ブログやSNSに貼ったGyazoの画像が見られなくなっていない？ これは不具合ではなく、安全のための対応なんだ。2026年9月11日の不正アクセスより前にアップロードされた画像は、原則として所有者本人だけが見られる状態になっているよ。画像のURLを構成するIDが流出したため、URLを知っている第三者が見られる状況を避けるための措置だね。

法人向けのGyazo Teamsの画像は、同じチームのメンバーも閲覧できるよ。公式は、会社の判断で全ユーザーの画像を一括で元に戻すことはしないと説明しているんだ。

配信を再開するときの手順

見られなくなった画像は、所有者本人が内容を確認してから、公式の方法で配信を再開できるよ。9月27日のサービス再開のお知らせによると、画像のページで内容を確認して再開する方法のほか、一覧から複数をまとめて再開する方法などが案内されているんだ。操作の最新の手順は、必ず公式のお知らせに従ってね。

再開する前に確認してほしいのは、次の3つ。

• 住所や電話番号などの個人情報が写っていないか
• 仕事の資料や顧客情報が写っていないか
• APIキーやパスワードが写っていないか

一度に全部を再開するより、中身を確認した画像から少しずつ再開するほうが安心だと私は思うよ。

ブログ運営者への補足

過去の記事にGyazoの画像を埋め込んでいた場合、読者から画像が見えなくなっている可能性があるよ。ブログの管理者は、該当する記事を確認して、画像に機密情報が写っていないことを確かめてね。そのうえで、公式の方法で配信を再開するか、別の画像に差し替えることを検討してみて。

クレジットカード情報やパスワードは流出した？

クレジットカード番号などの決済情報

第一報から第三報まで、クレジットカード番号などの決済情報は流出していないと、公式は説明しているよ。だから、有料プランを使っている人も、Gyazoの決済が直接の理由で不正利用されるという心配は、公式の説明上は出ていないんだ。

パスワードはハッシュ値が流出

流出の対象になったのは、パスワードそのものではなく、ハッシュ値だよ。ハッシュ値は、元のパスワードとは違う文字列だけれど、推測されやすいパスワードだと元を割り出されるリスクがゼロとは言えないんだ。だからこそ、変更をすすめているんだね。

外部サービスとの連携情報

X（旧Twitter）などの外部サービスとの連携に使う情報も流出対象に含まれていたけれど、公式は、それだけでアカウントを乗っ取ることはできないと説明していて、すでに無効化も済んでいるよ。10月20日時点で、本件による二次被害（不正利用やなりすましなど）は確認されていないと発表されているよ。

削除した画像も流出対象？今後は60日後にメタデータを消去

削除済みメタデータ約1.74億件

画像を消したから関係ない、と思っていた人もいるかもしれないよね。でも実際は、ユーザーが消した画像にも、メタデータが残っていたんだ。それが約1.74億件で、主に2023年2月以前に削除されたものだよ。画像ファイル本体の流出は確認されていないけれど、タイトルやOCRの文字などの付帯情報が含まれる可能性があるよ。

新しい削除ポリシーは60日後に自動消去

Helpfeelは、削除済み画像のメタデータを、削除から60日たった時点で自動的に消去するポリシーを決めて適用すると発表したよ。過去に削除されたメタデータも、関係当局への報告や法令にもとづく保全に支障のない範囲で、順次消していくそうなんだ。

ただし、これは今後の保存・削除のルールの話だよ。すでに外部に出てしまったデータが回収されたという意味ではないから、そこは混同しないでね。

再発防止と監視の予定

公式は、ソースコードの点検やアクセス制御の強化を済ませたほか、外部専門機関による脆弱性診断や、ダークウェブなどでの流出情報の監視（1年以上）を進めると説明しているよ。今後新しい事実が分かれば、また公式から発表されるはずだよ。

よくある質問

Q. 自分が133名に含まれるか分かりますか？

対象の133名には、対象の画像を示したうえで、登録済みのメールアドレス宛てに個別の連絡が済んでいます。受信トレイと、Gyazoの画面上のお知らせを自分で確認してください。

Q. メールが届いていなければ安全ですか？

安全とは言い切れません。画像本体の対象者と、アカウント情報やメタデータが流出した人は範囲が違います。匿名で使っていてメールが届かない場合もあるため、公式のお知らせを自分で確認することが大切です。

Q. 無料版のGyazoも対象ですか？

私が確認した公式の発表では、無料か有料かで影響範囲を分ける記載は見当たりませんでした。ただし、決済情報は流出していないと説明されています。

Q. 削除した画像は大丈夫ですか？

削除済み画像のファイル本体の流出は確認されていませんが、削除済み画像のメタデータ約1.74億件（主に2023年2月以前）は流出対象です。連絡先が分かる約5.7万アカウントには、順次案内される予定です。

Q. 過去の画像リンクを再公開できますか？

できます。不正アクセス前の画像は所有者本人のみ閲覧できる状態です。内容を確認したうえで、9月27日の公式のお知らせにある方法で配信を再開してください。

Q. パスワードは変える必要がありますか？

本件のあとに変更していなければ、変更をおすすめします。公式も変更をお願いしています。同じパスワードを他のサービスで使っている場合は、そちらも変更してください。

Q. クレジットカード番号は漏れましたか？

クレジットカード番号などの決済情報は流出していないと、公式は説明しています。

Q. 現在もGyazoは使えますか？

2026年9月27日にサービスは再開されています。ただし、不正アクセス前の画像は、所有者本人が確認して配信を再開するまで、本人のみが見られる状態です。

Q. 匿名アカウントで使っていた場合は対象になりますか？

匿名アカウント約1,801万件も、ユーザー情報の流出対象に含まれています。メールアドレス未登録のため、個別メールが届かない場合があります。公式のお知らせを自分で確認してください。

Q. 公式を名乗るメールのリンクは開いても大丈夫ですか？

公式は、本件の案内メールでURLへのアクセスやリンク先での操作を求めないと説明しています。リンクは開かずに、自分で公式サイトを開いて確認してください。

まとめ｜Gyazo利用者はまず公式案内とパスワードを確認

事実と影響範囲は別々に考える

今回、画像本体の被害が確認されたのは133名の432件で、対象の方には個別連絡が済んでいるよ。そして、それとは別の問題として、約2,362万件のアカウント情報や、画像メタデータの流出があるんだ。この2つを分けて考えると、落ち着いて動けるよ。

今日やることは3つだけ

• 公式のお知らせを、自分で公式サイトを開いて確認する
• Gyazoのパスワードを変更し、使い回しているサービスも見直す
• 過去の画像に、写ってはいけない情報がないか見返す

私も、数字が大きすぎて最初は戸惑ったよ。でも、「画像本体」「アカウントの数」「メタデータ」を分けて読むと、やることは意外とシンプルだったんだ。不安をあおるつもりはないけれど、油断しすぎないでね。分からないことは、公式のお問い合わせ窓口に相談してみてね。

おすすめアイテム

パスワード管理は1Password

Gyazoのように、サービスの側から情報が漏れてしまう出来事は、自分の注意だけでは防ぎきれないんだよね。だからこそ、サイトごとに別々の長いパスワードを作って覚えておいてくれる道具があると心強いよ。使い回しをやめるきっかけとして、考えてみてね。

ビサイユのトートバッグ

パスワードを見直す日は、ついでに持ち物も軽くしたくなるよね。ビサイユのトートバッグは超軽量で撥水加工、スキミング防止ポケット付き。ノートパソコンを持ってカフェへ行く日の相棒にどうかな。

軽量ショルダーBCS-140

画面を撮ったり、資料を見返したりと、持ち歩く物が増えがちな人も多いはず。撥水・スキミング防止・多収納のBCS-140は、通勤や街歩きにちょうどいい軽量ショルダーだよ。