画像共有サービス「Gyazo」に不正アクセス、非公開画像が閲覧された可能性も

Helpfeelが公開したお知らせ

　画像共有サービス「Gyazo」を運営する（株）Helpfeelは9月16日、「Gyazo」で不正アクセスが発生し、ユーザー情報やアップロードされた画像に関するメタデータの一部が外部に流出したことを明らかにした。第三者が「Gyazo」の画像アップロードサーバーに存在した脆弱性を悪用し、同社のシステム上で任意のコマンドを実行した。

　このセキュリティインシデントは、11日に発生。同日夜に不正な挙動を検知して調査と対応を開始し、12日に初期対応が完了したが、その後の調査でデータの流出が確認されたという。

• 9月11日：「Gyazo」への不正アクセスが発生。調査および対応を開始
• 9月12日：同社による初期対応を完了。原因となった脆弱性の修正を完了
• 9月14日：調査により、「Gyazo」内情報が外部に流出したことを確認。予防措置を実施。二次被害防止を最優先に、画像配信の停止などの措置を実施するとともに、影響範囲の特定に向けた調査を継続
• 9月15日：二次被害防止のための追加措置を実施。不正アクセスへの対策が完了した後に新たにアップロードされた画像について、配信を再開。個人情報保護委員会への報告を実施
• 9月16日：現時点で確認できた情報漏えいの範囲および影響を公表

　同社によると、今回流出したユーザー情報は約2,362万件。含まれる情報はユーザーごとに異なるが、以下のようなものがあるという。

• 名前（ユーザーが指定した氏名やニックネームなど）
• メールアドレス
• パスワードのハッシュ値
• 利用者ID、端末ID、ログインセッションID
• X（旧Twitter）連携用トークン（連携していた場合）
• Google SSOのメールアドレス（連携していた場合）
• プロフィール情報、利用言語、登録日時、最終ログイン日時
• 契約プラン、課金ステータス、利用統計

　クレジットカード番号などの決済情報は流出していない。約2,362万件にはメールアドレスなどを登録していない匿名アカウントも含まれており、実際に個人情報の流出対象となった人数については現在も調査中だ。

　画像のメタデータは、おもに2019年1月以前に登録されたもの約4.9億件（画像に関するデータ全体の約14.4％）が対象。別途、条件を絞って取得された約240万件の画像のメタデータも流出したという。

• 画像ID（画像URLを構成する情報）
• アップロード元IPアドレス
• User-Agent
• EXIF位置情報（画像に含まれる場合）
• 画像のOCRテキスト
• 画像タイトル
• 取得元URLなどのメタデータ
• 非公開画像のパスフレーズ（ハッシュ化されたもの）など

　なお、ここでいう「画像」には、「Gyazo」で保存したスクリーンショットやGIF、動画も含まれる。流出したメタデータには画像URLに使われる情報が含まれているため、アップロードした画像の内容が不正に閲覧されるおそれがある。

　同社は二次被害防止のため、一部画像の閲覧を一時的に無効化した。非公開画像のファイル一覧が取得されていたことも確認されており、一部の非公開画像が第三者に閲覧された可能性も完全には否定できないとしている。画像データの消失は確認されていない。

　同社が他に運営する「Helpfeel」「Cosense」は「Gyazo」とシステム構成が異なり、情報流出は確認されていない。ただし、これらのサービス上で「Gyazo」を利用して表示している画像は、配信停止の影響で一部閲覧できない場合がある。

　同社は「Gyazo」のユーザーに対し、パスワードの変更を呼びかけている。同一または類似のパスワードをほかのサービスでも使っている場合は、そちらも変更してほしいとのこと。本件に関連した不審なメールやメッセージにも注意したい。影響を受けた可能性のあるユーザーには、登録メールアドレス（メールでの連絡が難しい匿名アカウントなどはWebサービスの画面）を通じて案内する予定だという。