Gyazoの情報漏えい、自分は対象？133名の画像【10月21日第三報】

「Gyazoで情報漏えいがあったらしいけれど、自分のアカウントも対象？」「アップロードした画像は他人に見られた？」「パスワードは変えたほうがいい？」と気になっている方に向けて、運営会社の株式会社Helpfeelの公式発表に書かれていることだけを整理しました。内容は、2026年9月16日の第一報、9月25日の第二報、9月26日の「『Gyazo』サービス再開のお知らせ」、10月21日の第三報（調査結果のご報告）などの原文を、2026年10月24日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

自分は対象？公式発表でわかること早見表

第一報は「ユーザー情報およびアップロードされた画像に関するメタデータの一部が外部に漏えいしたことを確認いたしました」としていて、「可能性」ではなく「確認」という表現です。ただし、件数は人数ではなく、第三報は「件数はアカウント数であり、人数ではありません」としています。人数は第三報でも公表されていません。

知りたいこと	公式発表に書かれていること
ユーザーに関するデータの件数	「約2,362万件について、外部に流出したことを確認しています」（第一報。第三報も約2,362万件）
メールアドレス登録の有無	メールアドレスの登録があるユーザー：約562万件（約24％）／登録がない匿名ユーザー：約1,801万件（約76％）（第二報・第三報）
人数	第一報は「実際に個人情報の流出対象となる方の人数については、現在調査を進めています」としていたが、第三報は「件数はアカウント数であり、人数ではありません」とするのみ。人数は未公表
流出した情報の範囲	「流出した情報の種類や範囲はユーザーごとに異なり、約2,362万件すべてについてメールアドレス等の情報が流出したものではありません」（第二報）
画像ファイル	「133名のユーザーが保存していた一部の画像について、第三者に閲覧・取得されたことが判明しました」（432件）。対象者には「すでに対象画像を明示したうえで、個別にご連絡」（第三報）
対象者への知らせ方	影響を受けた可能性のあるユーザーには「2026年9月20日より順次、登録されているメールアドレス宛にご案内をお送りしております」。あわせて「Gyazo」のサービス画面上でお知らせを掲示（第三報）
削除済み画像のメタデータの対象者	第三報は当初「約5.7万アカウント（退会・解約済みのアカウントを含む）」を特定し順次メールで案内するとしていたが、2026年11月5日に「対象となるアカウント数の記載に誤りがあった」として訂正。「当該メタデータは約112万アカウントに紐づくものであり、このうち約5.7万アカウントが退会・解約済みのアカウントであることを確認しています」（第三報の訂正）
自分が対象かを調べるページ	公式発表に記載なし
案内メールの内容	「当社から本件に関してお送りするご案内メールでは、URLへのアクセスや、リンク先での操作をお願いすることはありません」（第三報）
全ユーザーへのお願い	本件発生以降にパスワードを変更していない場合はその変更（同一・類似のパスワードを使う他サービスも）、不審なメールやメッセージ・当社をかたる連絡への注意（第三報）
二次被害	「現時点までに、本件に起因する個人情報の不正利用、なりすまし、その他の二次被害は確認されておりません」。ダークウェブ等の監視で「10月20日時点で該当する情報は確認されていません」（第三報）

お知らせは、Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関する調査結果のご報告とお詫び（第三報）」、「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（第一報）、同（第二報）、「『Gyazo』サービス再開のお知らせ」に掲載されています。同じ文面はGyazoの最新情報ページ（Product Updates）にも載っています。

問い合わせはどこに？

公式発表は、Gyazoに関する本件の問い合わせ窓口としてGyazoヘルプの「お問い合わせ」（日本語）を案内しています（英語は help.gyazo.com/contact-us）。第三報も同じ窓口を案内しており、専用の電話窓口の記載はありません（2026年10月24日確認）。窓口のURLは、届いたメールやメッセージに書かれたものではなく、Helpfeelの公式サイトの発表から開いてください。

何が漏れた？ユーザーに関する情報（約2,362万件）

第一報は、約2,362万件のユーザーに関するデータに含まれる情報として、次の15項目を挙げています。「該当する情報の種類や範囲は、ユーザーごとに異なります」とされていて、全員にすべての項目が当てはまるわけではありません。

項目（公式の表記）	補足（公式の記述）
名前	「ユーザーが指定する氏名やニックネーム等の任意の文字列」
メールアドレス	メールアドレスの登録があるユーザーは約562万件（第二報）
パスワードのハッシュ値	「パスワードそのものではなく、不可逆の変換（ハッシュ化）を施したパスワードのハッシュ値です。パスワードそのものが漏えいしたものではありません」（第三報）
利用者ID／端末ID／ログインセッションID	認証関連の情報は「必要な無効化・制限等の対策を既に実施」
X（旧Twitter）連携用トークン	連携していた場合。「当該トークン単体ではXアカウントへのログインや操作を行うことはできない」（第二報）
Google SSOのメールアドレス	連携していた場合
プロフィール情報／利用言語	―
登録日時／最終ログイン日時	―
契約プラン／課金ステータス	課金ステータスは「カード番号等の決済情報は含まない」
利用統計	―

「パスワードのハッシュ値」とは、パスワードをそのまま保存せず、元に戻しにくい形に変換した値のことです。公式発表はこれを流出項目に含めたうえで、Gyazoのパスワードと、同一または類似のパスワードを使っている他サービスのパスワードの変更をお願いしています（後述）。

X（旧Twitter）と連携していた場合は？

第二報は、X（旧Twitter）連携用トークンについて「当該トークン単体ではXアカウントへのログインや操作を行うことはできないことを確認しています」としています。あわせて、予防的措置として「当該トークンを含むOAuth連携に関する認証情報についてはすでに無効化の措置を実施しています」と公表しています。

クレジットカード情報は？

第一報は「クレジットカード番号等、決済情報は流出していないことを確認しております」とし、第二報も「クレジットカード番号等の決済情報は含まれていないことを確認しています」としています。第三報も、流出していないことを確認している情報に「クレジットカード番号等の決済情報」を挙げています。電話番号・住所は、公表された流出項目に含まれていません。

画像は見られた？画像に関するメタデータの流出

第二報・第三報は、流出した画像に関するメタデータを次の3つに分けて公表しています。第三報では、これに特定ユーザーが所有する画像ファイル432件が加わりました。公式発表でいう「画像」は、Gyazoでキャプチャ・保存された「スクリーンショット、GIF、動画などのコンテンツ」を指します。

対象となるデータ	件数	対象となる範囲	総画像数に対する規模
画像に関するメタデータ	約4.9億件	主に2019年1月以前にアップロード	約14.4%
条件を絞って取得された画像に関するメタデータ	約240万件	主に2016年1月1日から約2日間および2020年1月1日から約2日間にアップロード（2026年11月5日追記・日時は協定世界時）	約0.07%
削除済み画像に関するメタデータ	約1.74億件	主に2023年2月以前に削除	約5.1%
特定ユーザーが所有する画像ファイル（第三報）	432件	特定ユーザー133名が所有する一部の画像	―

第二報は「上記に含まれない画像のメタデータに関しては、現時点で流出を確認しておりません」「上記はいずれも画像に関するメタデータの件数であり、画像ファイルそのものが外部に流出した件数ではありません」としています。第三報も「上記に含まれない画像および画像のメタデータについては、流出を確認しておりません」としています。

メタデータに含まれていた情報

第一報が挙げる流出したメタデータの内容は、「画像ID（画像URLを構成する情報）」「アップロード元IPアドレス」「User-Agent」「EXIF位置情報（画像に含まれる場合）」「画像のOCRテキスト」「画像タイトル」「取得元URL等のメタデータ」「非公開画像のパスフレーズ（ハッシュ化されたもの） 等」です。

画像そのものについて、第一報は「流出したメタデータには画像URLに使用される情報が含まれており、この情報を用いて対象となる画像にアクセスし、不正に閲覧される恐れがあります」としています。また「非公開画像のファイル一覧が取得されていたことも確認しております。一部の非公開画像が第三者に閲覧された可能性を完全に否定できないため、引き続き詳細な調査を進めております」としていました。

調査結果をまとめた10月21日の第三報は、「画像ファイルそのものについては、第三者によって大量に取得されたことを示す記録は確認されませんでした」とする一方、「133名のユーザーが保存していた一部の画像について、第三者に閲覧・取得されたことが判明しました」としています。対象は432件で、「対象となるユーザーの皆さまにはすでに対象画像を明示したうえで、個別にご連絡をし、必要な対応をご案内しています」とのことです。また、「流出したメタデータに含まれる画像URLを用いて一部の画像が閲覧された可能性については、引き続き完全には否定できません」としています。

画像の消失については、第二報が「本件の不正アクセスによるデータの消失は確認されておりません」としています。

削除した画像・削除したアカウントも対象？（9月25日の第二報で判明）

第二報は「ユーザーが過去に削除した画像に関するメタデータ約1.74億件についても、外部に流出していたことを新たに確認しました」としています。影響を受ける削除処理は次の2つです。

• 2023年2月以前に画像を削除した
• 2023年2月以前にアカウントを削除した

この時期は「『Gyazo』へのアップロード日ではなく、『Gyazo』上で画像が削除された、もしくはアカウントを削除した時期を基準」としています。第二報は「今回新たに確認された流出には、削除済みの画像ファイルそのものは含まれていません」とし、対象となる画像ファイルは「現在閲覧できない状態」としています。第二報は対象のユーザー・企業に「調査が完了次第、順次メールにてご連絡いたします」としていましたが、第三報では、漏えいの対象となった可能性があり、かつ連絡先のメールアドレスが確認できる約5.7万アカウント（退会・解約済みのアカウントを含む）を特定し、「本お知らせの公表後、順次メールにてご案内いたします」としていました。その後、2026年11月5日に対象アカウント数の記載が訂正され、「当該メタデータは約112万アカウントに紐づくものであり、このうち約5.7万アカウントが退会・解約済みのアカウントであることを確認しています」とされています。削除済み画像のファイル本体についても、第三報は「取得を示す記録は確認されていません」としています。

第三報は再発防止策として、削除済み画像に関するメタデータを「削除後60日を経過した時点で自動的に消去する削除ポリシーを策定し、適用します」とし、過去に削除された画像に関するメタデータ（本件で漏えいの対象となったものを含む）も「関係当局への報告および法令に基づく保全に支障のない範囲で、順次消去します」としています。

今やること（公式の案内を順番に）

第一報、9月26日の「『Gyazo』サービス再開のお知らせ」、10月21日の第三報は、ユーザーに次のことをお願いしています。9月24日の追記では、パスワードの変更は「サービスの再開後にご対応をお願いいたします」とされていて、サービスは9月27日に再開しています。

1. Gyazoのパスワードを変える：「本件発生以降に『Gyazo』のパスワードを変更されていない方は、変更をお願いいたします」（第三報）
2. 同じ・似たパスワードを使っている他サービスのパスワードも変える：「『Gyazo』と同一または類似のパスワードを他のサービスでも使用している場合は、当該サービスのパスワードについても変更をお願いいたします」（第三報）
3. 不審なメール・メッセージに注意する：「本件に関連した不審なメールやメッセージ、当社をかたる連絡には十分ご注意ください」（第三報）
4. 画像の内容と閲覧範囲を確かめてから配信を再開する：「画像の内容をご確認いただいたうえで、それぞれの画像について『配信を再開する』をお選びください」

再開後、過去の画像は所有者本人だけが見られる状態

サービス再開のお知らせによると、不正アクセスが発生する以前にアップロードされた画像は、現在すべて「所有者ご本人のみが閲覧できる状態」になっています。以前は他の人が見られた画像も、所有者以外は一時的に見られません。Helpfeelは「当社の判断で一律に以前の状態へ戻すことはせず」、ユーザー自身が内容を確かめて配信を再開するかどうかを選ぶ方式にしたとしています。第三報は、この方式を「恒久的に維持し、当社の判断によって、すべてのユーザーの画像配信を一律に再開することはありません」としています。

配信を再開した画像には、本件発生前に設定されていた閲覧範囲（「自分のみ」「リンクを知っている全員」など）が適用されます。公式は「意図しない第三者に画像が共有されることのないよう、画像の内容と閲覧範囲を十分にご確認ください」としています。配信を再開する方法は次の3つです。

やり方	操作（公式の案内）
1枚ずつ確認して再開する	対象の画像ページを開き、内容を確認して「配信を再開する」を選ぶ
複数の画像を選んで再開する	一覧画面から対象の画像を選択し、サイドメニューの「配信を再開」を選ぶ
すべての画像をまとめて再開する	設定ページの「配信停止中の画像」から、すべての画像の配信をまとめて再開

まとめて再開した場合も、それぞれの画像には本件発生前の閲覧範囲が適用されます。一度配信を再開した画像も、「アクセス制御」機能から閲覧範囲を変えれば、再び本人だけが見られる状態にできると案内されています。

無料プランは通常、一定期間より前の画像を閲覧履歴からさかのぼれませんが、特別措置として当面の間、不正アクセスが発生する以前にアップロードされたすべての画像を見られるようにしているとのことです。Gyazo Teamsについては、9月29日の追記で、不正アクセス以前にアップロードされた画像を配信停止中でも同じチームのメンバーが閲覧できるよう仕様を変えたと公表しています（「自分のみ」設定は除き、「パスワードによる保護」設定の画像は引き続きパスワード入力が必要）。

「パスワード再設定」「画像の確認」を名乗るメールに注意

公式発表はパスワードの変更と画像の確認をお願いしているため、同じような文面の偽メールが届くことも考えられます。第三報は「当社から本件に関してお送りするご案内メールでは、URLへのアクセスや、リンク先での操作をお願いすることはありません」「当社が本件に関してパスワードやクレジットカード番号をお尋ねすることはありません」としています。パスワードの変更などは、メールのリンクからではなく、ブックマークした公式サイトや公式アプリからGyazoを開いて操作する方法があります。警察庁も「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。

一般的な対策（公式の案内ではないもの）

以下は公式発表の案内ではなく、画像共有サービスの情報が漏れた場合に一般的に考えられる対策です。

• 使い回し先を書き出しておく：Gyazoと同じメールアドレスでログインしているサービスを思い出し、同じ・似たパスワードのものから順に変えていくと漏れが少なくなります。警察庁も「ＩＤ、パスワードはサイトごとに違うものを登録するようにしてください」としています（考え方はパスワード流出の真相と安全対策）
• 配信を再開する前に、写っている内容を見直す：画面のスクリーンショットには、メールアドレス・住所・社内資料・ログイン画面などが写り込んでいることがあります。共有が不要になった画像は、配信停止のままにしておくこともできます
• 写真の位置情報に気をつける：流出したメタデータには「EXIF位置情報（画像に含まれる場合）」が含まれています。スマートフォンで撮った写真をアップロードしていた場合は、今後、位置情報を付けない設定にする方法もあります
• 「お詫び」「補償」を名乗る連絡に応じない：補償やお詫びの品について、第三報までの公式発表には記載がありません。名乗る連絡が届いても、リンクから情報を入力しないでください

知らない番号からの電話・SMSが来たら

今回公表された流出項目に電話番号は含まれていません。それでも、GyazoやHelpfeelを名乗る電話やSMSが来たときは、出ない・折り返さない・リンクを開かないのが基本です。番号の見分け方は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方、うっかり出てしまった・折り返してしまった場合は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順にまとめています。

補償・お詫びはある？

公式発表には「多大なるご心配とご迷惑をおかけしておりますことを、深くお詫び申し上げます」（第一報）、「長期間にわたり多大なるご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます」（第三報）などのお詫びの文言があります。一方で、補償や、停止期間中の有料プランの料金の扱いについては、10月21日の第三報まで、公式発表に記載がありません（2026年10月24日確認）。無料プランの過去画像の閲覧は、上記の「特別措置」として案内されています。

個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。

経緯・原因と公表の履歴

原因について、第一報は「『Gyazo』の画像アップロードサーバーに存在した脆弱性を悪用し、第三者が当社のシステム上で任意のコマンドを実行する不正アクセスが発生しました」としています。その後の調査で、第三者が「『Gyazo』のデータベースにアクセスし」、ユーザー情報と画像に関するメタデータが外部に流出した事実を確認したとのことです。侵入経路の遮断と脆弱性の修正は完了したと公表されています。

第三報は外部専門機関の調査結果として、原因を「『Gyazo』の画像アップロードサーバーにおいて、アップロードされた動画等を変換する処理の一部に、外部からの入力値が適切に処理されないままサーバー上のコマンドとして解釈されてしまう脆弱性が存在したこと」と説明しています。あわせて、本件は「外部のソフトウェア部品や委託先に起因するもの（いわゆるサプライチェーン攻撃）ではなく、当社が開発・運用するシステムの脆弱性に起因するもの」としています。不正な活動が確認されたのは「2026年9月11日午後から9月12日未明までの間」です。

日付	公表・出来事（公式の表現）
2026年9月11日	「『Gyazo』への不正アクセスが発生。調査および対応を開始」（同日夜に不正な挙動を検知）
2026年9月12日	未明までに侵入経路の遮断と不正な接続の切断。「当社による初期対応を完了。原因となった脆弱性の修正を完了」
2026年9月14日	「『Gyazo』内情報が外部に流出したことを確認」。画像配信の停止等の措置。Gyazoの最新情報ページに「画像の閲覧制限に関するお知らせ」
2026年9月15日	二次被害防止のための追加措置。対策完了後に新たにアップロードされた画像の配信を再開（「画像の閲覧制限を一部解除しました」）。個人情報保護委員会へ速報を提出
2026年9月16日	第一報「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（ユーザーに関するデータ約2,362万件・画像に関するメタデータ約4.9億件と約240万件）
2026年9月18日	「『Gyazo』への不正アクセスに関する『Helpfeel』『Cosense』への影響と実施中の対応について」
2026年9月20日	影響を受けた可能性のあるユーザーへ、登録されているメールアドレス宛の案内を順次送付（第三報で公表）
2026年9月22日	Gyazoの最新情報ページに「Gyazoのメンテナンス状況について」（サービスへのアクセスを一時的に停止。保存された画像などのデータは保持）
2026年9月24日	第一報に追記（メンテナンスのためサービスを一時的に停止中。パスワードの変更はサービス再開後に）
2026年9月25日	第二報（削除済み画像のメタデータ約1.74億件の流出を新たに確認・約2,362万件の内訳・総務省と海外のデータ保護当局への報告）
2026年9月26日	「『Gyazo』サービス再開のお知らせ」（9月27日から提供再開・過去画像は本人のみ閲覧可・配信再開の方法・パスワード変更のお願い）
2026年9月29日	サービス再開のお知らせに追記（Gyazo Teamsの画像は配信停止中も同じチームのメンバーが閲覧可に）
2026年10月15日	「外部専門機関より最終報告書を受領」（第三報の経緯表）
2026年10月19日	「外部専門機関より最終報告の説明を受領」（第三報の経緯表）
2026年10月21日	第三報「『Gyazo』への不正アクセスによる情報漏えいに関する調査結果のご報告とお詫び（第三報）」（133名の画像432件の閲覧・取得が判明・案内メールは9月20日から順次送付済み・削除済み画像のメタデータの対象約5.7万アカウントへ順次メール・京都府警察に相談・本件のご報告は最終）
2026年11月5日	第三報を訂正・追記（約240万件の画像メタデータの対象期間を追記・削除済み画像のメタデータ約1.74億件は約112万アカウントに紐づき、うち約5.7万アカウントが退会・解約済みと訂正）

関係機関への報告について、第二報は、個人情報保護委員会に「9月15日に個人情報保護法に基づく速報を提出しました」とし、総務省への報告、GDPR等に基づく海外のデータ保護当局への報告・連携、外部専門機関によるフォレンジック調査を進めているとしています。第三報では、個人情報保護委員会に「本調査結果を踏まえた確報を法令の期限内に提出します」、海外については「約30の国・地域の監督機関へ報告を行い、照会に対応しています」、警察については「京都府警察に相談をしています」としています。

同じ会社のサービスについては、9月18日のお知らせと第二報が、「Helpfeel」と「Cosense」は「『Gyazo』とは異なるシステム構成で運用しており、今回の不正アクセスに利用された侵入経路とは接続されておりません」とし、両サービスのシステムからの情報流出は確認されていないとしています。ただし、両サービス上でGyazoを利用して表示している画像は、一部が表示されない場合があるとのことです。第三報も「第二報でお知らせした評価に変更はありません」とし、133名の対象画像に「Helpfeel」と「Cosense」の顧客情報は含まれていないことを確認したとしています。

第三報は「本お知らせをもって、外部専門機関による調査結果を踏まえた本件のご報告は最終とさせていただきます」としています。そのうえで、関係当局への報告、対象となる皆さまへの連絡、流出情報の監視（ダークウェブ等。「少なくとも1年間継続」）、再発防止策の実施を続け、新たにお知らせすべき事実や進捗があった場合は速やかに公表するとしています。2026年10月24日に確認した時点で、Helpfeelのニュース一覧とGyazoの最新情報ページに、第三報より新しい本件の続報は出ていません。

ほかの事案（同じ時期に公表された情報漏えい）

ハッシュ化されたパスワードを含む会員情報の事案はコミックシーモアの情報漏えいやソースネクストの情報漏えい、アプリの会員情報の事案はバーガーキングアプリの情報漏えいでも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。

よくある質問

自分のGyazoアカウントが対象かどうか確認する方法はありますか？

A. 自分が対象かを調べるページは、公式発表に記載がありません（2026年10月24日確認）。第三報によると、影響を受けた可能性のあるユーザーには2026年9月20日より順次、登録されているメールアドレス宛に案内を送っており、Gyazoのサービス画面上でもお知らせを掲示しています。削除済み画像に関するメタデータは、2026年11月5日の訂正で約112万アカウントに紐づき、うち約5.7万アカウントが退会・解約済みとされています。

約2,362万人の個人情報が漏れたのですか？

A. 公表されているのは「ユーザーに関するデータ約2,362万件」で、第三報は「件数はアカウント数であり、人数ではありません」としています。このうちメールアドレスの登録があるユーザーは約562万件、登録がない匿名ユーザーは約1,801万件です。人数は公表されていません。

アップロードした画像は他人に見られましたか？

A. 2026年10月21日の第三報によると、133名のユーザーが保存していた一部の画像（432件）について、第三者に閲覧・取得されたことが判明しました。対象のユーザーには対象画像を明示したうえで個別に連絡したとしています。一方、画像ファイルそのものについては、第三者によって大量に取得されたことを示す記録は確認されなかったとしています。流出したメタデータに含まれる画像URLを用いて一部の画像が閲覧された可能性は、引き続き完全には否定できないとしています。

今すぐ何をすればいいですか？

A. 第三報は、本件発生以降にGyazoのパスワードを変更していない場合はその変更と、同一または類似のパスワードを使っている他サービスのパスワードの変更をお願いしています。また、本件に関連した不審なメールやメッセージ、Helpfeelをかたる連絡に注意するよう案内しています。サービスは2026年9月27日に再開しています。

過去の画像が自分以外に見られなくなったのはなぜですか？

A. サービス再開にあたり、不正アクセス以前にアップロードされた画像はすべて所有者本人のみが閲覧できる状態にしたと公表されています。第三報は、この方式を恒久的に維持するとしています。画像の内容と閲覧範囲を確かめたうえで、画像ページの「配信を再開する」、一覧画面の「配信を再開」、設定ページの「配信停止中の画像」のいずれかから配信を再開できます。

あわせて読みたい：ニフティの不正アクセス、自分は対象？

あわせて読みたい：業務関係者が対象になったフジテレビ番組宣伝システムの不正アクセス

まとめ

• Helpfeelは2026年9月16日、Gyazoの画像アップロードサーバーの脆弱性を悪用した不正アクセスで、ユーザーに関するデータ約2,362万件と画像に関するメタデータの流出を確認したと公表した
• 約2,362万件のうちメールアドレスの登録があるユーザーは約562万件。件数はアカウント数で、人数は公表されていない。クレジットカード番号等の決済情報は含まれていない
• 画像に関するメタデータは約4.9億件・約240万件（11月5日追記で主に2016年1月1日と2020年1月1日から各約2日間のアップロード分）・削除済み画像の約1.74億件（11月5日訂正で約112万アカウントに紐づく）。10月21日の第三報で、133名のユーザーが保存していた一部の画像432件が第三者に閲覧・取得されたことが判明し、対象者には個別に連絡済みとされている。画像ファイルが大量に取得されたことを示す記録は確認されていない
• 案内メールは9月20日から順次送付済み。削除済み画像のメタデータは約112万アカウントに紐づき、うち約5.7万アカウントが退会・解約済み（11月5日訂正）。案内メールでURLへのアクセスやリンク先での操作を求めることはないとしている
• サービスは9月27日に再開。過去の画像は本人のみ閲覧可の方式を恒久的に維持し、内容と閲覧範囲を確かめてから配信を再開する
• 公式の案内は、本件発生以降にパスワードを変えていない場合のGyazoと、同一・類似のパスワードを使う他サービスのパスワード変更、不審なメール・メッセージへの注意

この記事は、2026年10月21日の第三報までの公式発表（2026年10月24日確認）で書いています。第三報は調査結果を踏まえた本件のご報告を最終としていますが、新たな事実や進捗があれば公表するとしているため、続報が出た場合はHelpfeelとGyazoの公式のお知らせを優先してください。

出典

• 株式会社Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関する調査結果のご報告とお詫び（第三報）」（2026年10月21日・2026年10月24日確認）
• 株式会社Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日・9月24日／9月27日追記）
• 株式会社Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」（2026年9月25日）
• 株式会社Helpfeel「『Gyazo』サービス再開のお知らせ」（2026年9月26日・9月29日追記）／「『Gyazo』への不正アクセスに関する『Helpfeel』『Cosense』への影響と実施中の対応について」（2026年9月18日）
• Gyazo Product Updates（日本語）／Gyazoヘルプ「お問い合わせ」（2026年10月24日確認）
• 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」