株式会社Helpfeelの画像共有サービス「Gyazo」に不正アクセス、ユーザー情報と画像のメタデータが流出対象者・漏れた情報・今やるべきこと

結局どうすればいい？

公式の案内

「Gyazo」のパスワードを変更する
同じまたは似たパスワードを他のサービスでも使っている場合は、そのサービスのパスワードも変更する
本件に関連した不審なメールやメッセージに注意する
画像の配信を再開する前に、内容と元の閲覧範囲を確認する（配信を再開すると元の閲覧範囲に戻る）。Gyazo Teamsでは、配信停止中でも『自分のみ』設定を除き同一チームのメンバーが閲覧でき、パスワード保護は維持される

基本情報

組織	株式会社Helpfeel
公表日	2026年9月16日
発生日	2026年9月11日
発覚日	2026年9月11日
種別	外部からの攻撃
状態	確定公式発表で漏えいが確認されています
規模	ユーザーに関するデータ（合計）約2,362万件メールアドレスの登録があるユーザー約562万件画像のメタデータ約4億9,000万件削除済み画像のメタデータ約1億7,400万件
最終更新	2026年10月15日
最新の続報	2026年9月29日　Gyazo Teamsの閲覧範囲を変更
一次情報	株式会社Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び」株式会社Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」

何が起きたか

2026年9月16日、株式会社Helpfeelは画像共有サービス「Gyazo」が9月11日に不正アクセスを受けたと公表しました。ユーザーに関するデータ約2,362万件（うちメールアドレス登録あり約562万件）と画像のメタデータ約4.9億件などの流出を確認しています。決済情報は流出していません。

自分は対象か

「Gyazo」の利用者。ユーザーに関するデータ約2,362万件のうち、メールアドレスの登録があるユーザーは約562万件、匿名ユーザーは約1,801万件。流出した情報の種類や範囲はユーザーごとに異なる

公式発表では、利用者に対応をお願いしています。上の「結局どうすればいい？」をご確認ください。

漏れた情報

情報	状態	規模	説明
ユーザーに関するデータ（合計）	確定	約2,362万件	「Gyazo」のユーザーに関するデータ約2,362万件。メールアドレスの登録がない匿名ユーザー約1,801万件（約76％）を含み、流出した情報の種類や範囲はユーザーごとに異なる
メールアドレスの登録があるユーザー	確定	約562万件	上の約2,362万件のうち、メールアドレスの登録があるユーザー約562万件（約24％）。上の件数の内数で、足さない。Google SSO連携時のメールアドレスを含む
名前	確定	件数は公表されていません	ユーザーが指定する氏名やニックネーム等の任意の文字列。件数は上の内数で、加算しない
パスワードのハッシュ値	確定	件数は公表されていません	パスワードのハッシュ値。件数は上の内数で、加算しない
利用者ID・セッションID等	確定	件数は公表されていません	利用者ID、端末ID、ログインセッションID。同社は認証関連の情報について無効化・制限等の対策を実施済みと説明。件数は加算しない
プロフィール・利用状況など	確定	件数は公表されていません	プロフィール情報、利用言語、登録日時、最終ログイン日時、契約プラン、課金ステータス（カード番号等の決済情報は含まない）、利用統計（第一報の項目）。件数は加算しない
X連携用トークン	確定	件数は公表されていません	X（旧Twitter）連携用トークン（連携していた場合）。第二報で、トークン単体ではXアカウントへのログインや操作はできず、OAuth連携の認証情報は無効化済みと説明。件数は加算しない
画像のメタデータ	確定	約4億9,000万件	画像のメタデータ（画像ID・アップロード元IPアドレス・位置情報・OCRテキスト・タイトル・非公開画像のパスフレーズのハッシュなど）。このほか条件を絞って取得された約240万件
削除済み画像のメタデータ	確定	約1億7,400万件	ユーザーが過去に削除した画像（主に2023年2月以前）のメタデータ。画像ファイルそのものは含まれない

数は公式発表の値です。人数・件数など単位の違う数は合計していません。

漏れていないと公表された情報

クレジットカード番号等の決済情報

原因

不正アクセス

企業の対応

侵入経路の遮断と脆弱性の修正
画像配信の停止など二次被害防止の措置（9月27日にサービス再開）
個人情報保護委員会へ報告
利用者へメールまたはサービス画面で案内する予定

この件を口実にした詐欺に注意

情報漏えいの後は、その企業や「補償」「返金」を名乗るメール・SMS・電話が増えることがあります。届いた連絡のリンクや番号ではなく、公式サイトや、手元のカード・契約書に書かれた窓口から確かめてください。フィッシングメール・偽SMSの見分け方と、届いたときの対処

公式発表と出典

株式会社Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び」（公式発表・一次情報・資料の日付 2026年9月16日・確認日 2026年10月8日）
株式会社Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」（公式発表・一次情報・資料の日付 2026年9月25日・確認日 2026年10月8日）
株式会社Helpfeel「「Gyazo」サービス再開のお知らせ」（公式発表・参考・資料の日付 2026年9月26日・確認日 2026年10月15日）

更新履歴

2026-09-29 Gyazo Teamsの閲覧範囲を変更
9月29日21時30分の追記で、不正アクセス以前にGyazo Teamsへアップロードされた画像は、配信停止中でも同一チームのメンバーが閲覧できるよう変更した（『自分のみ』設定を除く。パスワード保護は維持）。
出典: 「Gyazo」サービス再開のお知らせ
2026-09-27 サービス再開（9月27日）：画像は本人のみ閲覧できる状態で再開
9月27日にサービスを再開した時点の説明。不正アクセス以前の画像はすべて所有者本人のみが閲覧できる状態とし、利用者が内容を確認して配信を再開するかを選ぶ方式にした。あわせてパスワードの変更を求めた。お知らせのページの表示日は9月26日。
出典: 「Gyazo」サービス再開のお知らせ
2026-09-25 第二報：削除済み画像のメタデータも流出
ユーザーが過去に削除した画像のメタデータ約1.74億件の外部流出を新たに確認
出典: 「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）