Gyazoの情報漏えい、自分は対象？画像は見られた？【9月26日公式発表】

「Gyazoで情報漏えいがあったらしいけれど、自分のアカウントも対象？」「アップロードした画像は他人に見られた？」「パスワードは変えたほうがいい？」と気になっている方に向けて、運営会社の株式会社Helpfeelの公式発表に書かれていることだけを整理しました。内容は、2026年9月16日の第一報、9月25日の第二報、9月26日の「『Gyazo』サービス再開のお知らせ」などの原文を、2026年10月19日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

ほかの企業の公表も含めた全体像は、2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）にまとめています。

自分は対象？公式発表でわかること早見表

第一報は「ユーザー情報およびアップロードされた画像に関するメタデータの一部が外部に漏えいしたことを確認いたしました」としていて、「可能性」ではなく「確認」という表現です。ただし、件数は「人数」ではなく「データの件数」で、実際に個人情報の流出対象となる方の人数は調査中とされています。

知りたいこと	公式発表に書かれていること
ユーザーに関するデータの件数	「約2,362万件について、外部に流出したことを確認しています」（第一報）
メールアドレス登録の有無	メールアドレスの登録があるユーザー：約562万件（約24％）／登録がない匿名ユーザー：約1,801万件（約76％）（第二報）
個人情報の流出対象となる人数	「実際に個人情報の流出対象となる方の人数については、現在調査を進めています」（第一報）。人数は未公表
流出した情報の範囲	「流出した情報の種類や範囲はユーザーごとに異なり、約2,362万件すべてについてメールアドレス等の情報が流出したものではありません」（第二報）
対象者への知らせ方	影響を受けた可能性のある方には「登録されているメールアドレスを通じて、本件に関するご案内をお送りする予定」。匿名アカウントなどメールでの連絡が難しい場合は「Webサービス画面を通じてのご案内をする予定」（第一報）
削除済み画像のメタデータの対象者	「対象となるユーザーおよび企業の方には調査が完了次第、順次メールにてご連絡いたします」（第二報）
自分が対象かを調べるページ	公式発表に記載なし
案内メールの送信状況	2026年10月19日時点の公式発表に記載なし（「送る予定」「順次連絡」の段階の記述まで）
全ユーザーへのお願い	パスワードの変更（同一・類似のパスワードを使う他サービスも）、不審なメール・メッセージへの注意（第一報・サービス再開のお知らせ）
二次被害	「本件に起因する個人情報の不正利用や、その他の二次被害は確認されておりません」（第二報）

お知らせは、Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（第一報）、同（第二報）、「『Gyazo』サービス再開のお知らせ」に掲載されています。同じ文面はGyazoの最新情報ページ（Product Updates）にも載っています。

問い合わせはどこに？

公式発表は、Gyazoに関する本件の問い合わせ窓口としてGyazoヘルプの「お問い合わせ」（日本語）を案内しています（英語は help.gyazo.com/contact-us）。専用の電話窓口の開設は、2026年10月19日時点の公式発表に記載がありません。窓口のURLは、届いたメールやメッセージに書かれたものではなく、Helpfeelの公式サイトの発表から開いてください。

何が漏れた？ユーザーに関する情報（約2,362万件）

第一報は、約2,362万件のユーザーに関するデータに含まれる情報として、次の15項目を挙げています。「該当する情報の種類や範囲は、ユーザーごとに異なります」とされていて、全員にすべての項目が当てはまるわけではありません。

項目（公式の表記）	補足（公式の記述）
名前	「ユーザーが指定する氏名やニックネーム等の任意の文字列」
メールアドレス	メールアドレスの登録があるユーザーは約562万件（第二報）
パスワードのハッシュ値	―
利用者ID／端末ID／ログインセッションID	認証関連の情報は「必要な無効化・制限等の対策を既に実施」
X（旧Twitter）連携用トークン	連携していた場合。「当該トークン単体ではXアカウントへのログインや操作を行うことはできない」（第二報）
Google SSOのメールアドレス	連携していた場合
プロフィール情報／利用言語	―
登録日時／最終ログイン日時	―
契約プラン／課金ステータス	課金ステータスは「カード番号等の決済情報は含まない」
利用統計	―

「パスワードのハッシュ値」とは、パスワードをそのまま保存せず、元に戻しにくい形に変換した値のことです。公式発表はこれを流出項目に含めたうえで、Gyazoのパスワードと、同一または類似のパスワードを使っている他サービスのパスワードの変更をお願いしています（後述）。

X（旧Twitter）と連携していた場合は？

第二報は、X（旧Twitter）連携用トークンについて「当該トークン単体ではXアカウントへのログインや操作を行うことはできないことを確認しています」としています。あわせて、予防的措置として「当該トークンを含むOAuth連携に関する認証情報についてはすでに無効化の措置を実施しています」と公表しています。

クレジットカード情報は？

第一報は「クレジットカード番号等、決済情報は流出していないことを確認しております」とし、第二報も「クレジットカード番号等の決済情報は含まれていないことを確認しています」としています。電話番号・住所は、公表された流出項目に含まれていません。

画像は見られた？画像に関するメタデータの流出

第二報は、流出した画像に関するメタデータを次の3つに分けて公表しています。公式発表でいう「画像」は、Gyazoでキャプチャ・保存された「スクリーンショット、GIF、動画などのコンテンツ」を指します。

対象となるデータ	件数	対象となる範囲	総画像数に対する規模
画像に関するメタデータ	約4.9億件	主に2019年1月以前にアップロード	約14.4%
条件を絞って取得された画像に関するメタデータ	240万件	調査中	約0.07%
削除済み画像に関するメタデータ	約1.74億件	主に2023年2月以前に削除	約5.1%

第二報は「上記に含まれない画像のメタデータに関しては、現時点で流出を確認しておりません」「上記はいずれも画像に関するメタデータの件数であり、画像ファイルそのものが外部に流出した件数ではありません」としています。

メタデータに含まれていた情報

第一報が挙げる流出したメタデータの内容は、「画像ID（画像URLを構成する情報）」「アップロード元IPアドレス」「User-Agent」「EXIF位置情報（画像に含まれる場合）」「画像のOCRテキスト」「画像タイトル」「取得元URL等のメタデータ」「非公開画像のパスフレーズ（ハッシュ化されたもの） 等」です。

画像そのものについて、第一報は「流出したメタデータには画像URLに使用される情報が含まれており、この情報を用いて対象となる画像にアクセスし、不正に閲覧される恐れがあります」としています。また「非公開画像のファイル一覧が取得されていたことも確認しております。一部の非公開画像が第三者に閲覧された可能性を完全に否定できないため、引き続き詳細な調査を進めております」としています。画像が閲覧されたと「確認した」とは書かれていません。

画像の消失については、第二報が「本件の不正アクセスによるデータの消失は確認されておりません」としています。

削除した画像・削除したアカウントも対象？（9月25日の第二報で判明）

第二報は「ユーザーが過去に削除した画像に関するメタデータ約1.74億件についても、外部に流出していたことを新たに確認しました」としています。影響を受ける削除処理は次の2つです。

• 2023年2月以前に画像を削除した
• 2023年2月以前にアカウントを削除した

この時期は「『Gyazo』へのアップロード日ではなく、『Gyazo』上で画像が削除された、もしくはアカウントを削除した時期を基準」としています。第二報は「今回新たに確認された流出には、削除済みの画像ファイルそのものは含まれていません」とし、対象となる画像ファイルは「現在閲覧できない状態」としています。対象のユーザー・企業には「調査が完了次第、順次メールにてご連絡いたします」とされています。

今やること（公式の案内を順番に）

第一報と9月26日の「『Gyazo』サービス再開のお知らせ」は、ユーザーに次のことをお願いしています。9月24日の追記では、パスワードの変更は「サービスの再開後にご対応をお願いいたします」とされていて、サービスは9月27日に再開しています。

1. Gyazoのパスワードを変える：「二次被害防止の観点から、『Gyazo』をご利用の皆さまには、パスワードの変更をお願いいたします」
2. 同じ・似たパスワードを使っている他サービスのパスワードも変える：「『Gyazo』と同一または類似したパスワードを他のサービスでも使用されている場合は、それらのサービスのパスワードについても変更をお願いいたします」
3. 不審なメール・メッセージに注意する：「本件に関連した不審なメールやメッセージ等には十分ご注意ください」
4. 画像の内容と閲覧範囲を確かめてから配信を再開する：「画像の内容をご確認いただいたうえで、それぞれの画像について『配信を再開する』をお選びください」

再開後、過去の画像は所有者本人だけが見られる状態

サービス再開のお知らせによると、不正アクセスが発生する以前にアップロードされた画像は、現在すべて「所有者ご本人のみが閲覧できる状態」になっています。以前は他の人が見られた画像も、所有者以外は一時的に見られません。Helpfeelは「当社の判断で一律に以前の状態へ戻すことはせず」、ユーザー自身が内容を確かめて配信を再開するかどうかを選ぶ方式にしたとしています。

配信を再開した画像には、本件発生前に設定されていた閲覧範囲（「自分のみ」「リンクを知っている全員」など）が適用されます。公式は「意図しない第三者に画像が共有されることのないよう、画像の内容と閲覧範囲を十分にご確認ください」としています。配信を再開する方法は次の3つです。

やり方	操作（公式の案内）
1枚ずつ確認して再開する	対象の画像ページを開き、内容を確認して「配信を再開する」を選ぶ
複数の画像を選んで再開する	一覧画面から対象の画像を選択し、サイドメニューの「配信を再開」を選ぶ
すべての画像をまとめて再開する	設定ページの「配信停止中の画像」から、すべての画像の配信をまとめて再開

まとめて再開した場合も、それぞれの画像には本件発生前の閲覧範囲が適用されます。一度配信を再開した画像も、「アクセス制御」機能から閲覧範囲を変えれば、再び本人だけが見られる状態にできると案内されています。

無料プランは通常、一定期間より前の画像を閲覧履歴からさかのぼれませんが、特別措置として当面の間、不正アクセスが発生する以前にアップロードされたすべての画像を見られるようにしているとのことです。Gyazo Teamsについては、9月29日の追記で、不正アクセス以前にアップロードされた画像を配信停止中でも同じチームのメンバーが閲覧できるよう仕様を変えたと公表しています（「自分のみ」設定は除き、「パスワードによる保護」設定の画像は引き続きパスワード入力が必要）。

「パスワード再設定」「画像の確認」を名乗るメールに注意

公式発表はパスワードの変更と画像の確認をお願いしているため、同じような文面の偽メールが届くことも考えられます。メールのリンクからではなく、ブックマークした公式サイトや公式アプリからGyazoを開いて操作するのが安全です。警察庁も「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。

一般的な対策（公式の案内ではないもの）

以下は公式発表の案内ではなく、画像共有サービスの情報が漏れた場合に一般的に考えられる対策です。

• 使い回し先を書き出しておく：Gyazoと同じメールアドレスでログインしているサービスを思い出し、同じ・似たパスワードのものから順に変えていくと漏れが少なくなります。警察庁も「ＩＤ、パスワードはサイトごとに違うものを登録するようにしてください」としています（考え方はパスワード流出の真相と安全対策）
• 配信を再開する前に、写っている内容を見直す：画面のスクリーンショットには、メールアドレス・住所・社内資料・ログイン画面などが写り込んでいることがあります。共有が不要になった画像は、配信停止のままにしておくこともできます
• 写真の位置情報に気をつける：流出したメタデータには「EXIF位置情報（画像に含まれる場合）」が含まれています。スマートフォンで撮った写真をアップロードしていた場合は、今後、位置情報を付けない設定にしておくと安心です
• 「お詫び」「補償」を名乗る連絡に応じない：補償やお詫びの品について、公式発表には記載がありません。名乗る連絡が届いても、リンクから情報を入力しないでください

知らない番号からの電話・SMSが来たら

今回公表された流出項目に電話番号は含まれていません。それでも、GyazoやHelpfeelを名乗る電話やSMSが来たときは、出ない・折り返さない・リンクを開かないのが基本です。番号の見分け方は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方、うっかり出てしまった・折り返してしまった場合は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順にまとめています。

補償・お詫びはある？

公式発表には「多大なるご心配とご迷惑をおかけしておりますことを、深くお詫び申し上げます」などのお詫びの文言があります。一方で、補償や、停止期間中の有料プランの料金の扱いについては、2026年10月19日時点の公式発表に記載がありません。無料プランの過去画像の閲覧は、上記の「特別措置」として案内されています。

個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。

経緯・原因と公表の履歴

原因について、第一報は「『Gyazo』の画像アップロードサーバーに存在した脆弱性を悪用し、第三者が当社のシステム上で任意のコマンドを実行する不正アクセスが発生しました」としています。その後の調査で、第三者が「『Gyazo』のデータベースにアクセスし」、ユーザー情報と画像に関するメタデータが外部に流出した事実を確認したとのことです。侵入経路の遮断と脆弱性の修正は完了したと公表されています。

日付	公表・出来事（公式の表現）
2026年9月11日	「『Gyazo』への不正アクセスが発生。調査および対応を開始」（同日夜に不正な挙動を検知）
2026年9月12日	未明までに侵入経路の遮断と不正な接続の切断。「当社による初期対応を完了。原因となった脆弱性の修正を完了」
2026年9月14日	「『Gyazo』内情報が外部に流出したことを確認」。画像配信の停止等の措置。Gyazoの最新情報ページに「画像の閲覧制限に関するお知らせ」
2026年9月15日	二次被害防止のための追加措置。対策完了後に新たにアップロードされた画像の配信を再開（「画像の閲覧制限を一部解除しました」）。個人情報保護委員会へ速報を提出
2026年9月16日	第一報「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（ユーザーに関するデータ約2,362万件・画像に関するメタデータ約4.9億件と約240万件）
2026年9月18日	「『Gyazo』への不正アクセスに関する『Helpfeel』『Cosense』への影響と実施中の対応について」
2026年9月22日	Gyazoの最新情報ページに「Gyazoのメンテナンス状況について」（サービスへのアクセスを一時的に停止。保存された画像などのデータは保持）
2026年9月24日	第一報に追記（メンテナンスのためサービスを一時的に停止中。パスワードの変更はサービス再開後に）
2026年9月25日	第二報（削除済み画像のメタデータ約1.74億件の流出を新たに確認・約2,362万件の内訳・総務省と海外のデータ保護当局への報告）
2026年9月26日	「『Gyazo』サービス再開のお知らせ」（9月27日から提供再開・過去画像は本人のみ閲覧可・配信再開の方法・パスワード変更のお願い）
2026年9月29日	サービス再開のお知らせに追記（Gyazo Teamsの画像は配信停止中も同じチームのメンバーが閲覧可に）

関係機関への報告について、第二報は、個人情報保護委員会に「9月15日に個人情報保護法に基づく速報を提出しました」とし、総務省への報告、GDPR等に基づく海外のデータ保護当局への報告・連携、外部専門機関によるフォレンジック調査を進めているとしています。

同じ会社のサービスについては、9月18日のお知らせと第二報が、「Helpfeel」と「Cosense」は「『Gyazo』とは異なるシステム構成で運用しており、今回の不正アクセスに利用された侵入経路とは接続されておりません」とし、両サービスのシステムからの情報流出は確認されていないとしています。ただし、両サービス上でGyazoを利用して表示している画像は、一部が表示されない場合があるとのことです。

サービス再開のお知らせは、再開後も「外部専門機関の知見を取り入れながら調査・検証を継続し、必要に応じて追加の対策を講じてまいります」としています。2026年10月19日の午前に確認した時点で、Helpfeelのニュース一覧とGyazoの最新情報ページに、9月26日のお知らせ（9月29日追記）より新しい本件の続報は出ていません。

ほかの事案（同じ時期に公表された情報漏えい）

ハッシュ化されたパスワードを含む会員情報の事案はコミックシーモアの情報漏えいやソースネクストの情報漏えい、アプリの会員情報の事案はバーガーキングアプリの情報漏えいでも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。

よくある質問

自分のGyazoアカウントが対象かどうか確認する方法はありますか？

A. 自分が対象かを調べるページは、2026年10月19日時点の公式発表に記載がありません。公式発表は、影響を受けた可能性のある方には登録されているメールアドレスで案内を送る予定とし、メールでの連絡が難しい匿名アカウントなどにはWebサービス画面で案内する予定としています。

約2,362万人の個人情報が漏れたのですか？

A. 公表されているのは「ユーザーに関するデータ約2,362万件」で、人数ではありません。第二報によると、このうちメールアドレスの登録があるユーザーは約562万件、登録がない匿名ユーザーは約1,801万件です。実際に個人情報の流出対象となる方の人数は調査中とされています。

アップロードした画像は他人に見られましたか？

A. 公表された件数はいずれも画像に関するメタデータの件数で、画像ファイルそのものが外部に流出した件数ではないとされています。一方で第一報は、メタデータに画像URLに使われる情報が含まれ不正に閲覧される恐れがあること、一部の非公開画像が第三者に閲覧された可能性を完全に否定できないことを公表しています。

今すぐ何をすればいいですか？

A. 公式発表は、Gyazoのパスワードの変更と、同一または類似のパスワードを使っている他サービスのパスワードの変更をお願いしています。また、本件に関連した不審なメールやメッセージに注意するよう案内しています。サービスは2026年9月27日に再開しています。

過去の画像が自分以外に見られなくなったのはなぜですか？

A. サービス再開にあたり、不正アクセス以前にアップロードされた画像はすべて所有者本人のみが閲覧できる状態にしたと公表されています。画像の内容と閲覧範囲を確かめたうえで、画像ページの「配信を再開する」、一覧画面の「配信を再開」、設定ページの「配信停止中の画像」のいずれかから配信を再開できます。

あわせて読みたい：ニフティの不正アクセス、自分は対象？

まとめ

• Helpfeelは2026年9月16日、Gyazoの画像アップロードサーバーの脆弱性を悪用した不正アクセスで、ユーザーに関するデータ約2,362万件と画像に関するメタデータの流出を確認したと公表した
• 約2,362万件のうちメールアドレスの登録があるユーザーは約562万件。個人情報の流出対象となる人数は調査中。クレジットカード番号等の決済情報は含まれていない
• 画像に関するメタデータは約4.9億件・240万件・削除済み画像の約1.74億件。画像ファイルそのものの流出件数ではないが、一部の非公開画像が閲覧された可能性は完全に否定できないとされている
• サービスは9月27日に再開。過去の画像は本人のみ閲覧可の状態で、内容と閲覧範囲を確かめてから配信を再開する
• 公式の案内は、Gyazoと、同一・類似のパスワードを使う他サービスのパスワード変更、不審なメール・メッセージへの注意

この記事は、2026年9月26日（9月29日追記）までの公式発表（2026年10月19日確認）で書いています。個人情報の流出対象となる人数や案内メールの状況は続報で示される可能性があるため、続報が出た場合はHelpfeelとGyazoの公式のお知らせを優先してください。

出典

• 株式会社Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日・9月24日／9月27日追記）
• 株式会社Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」（2026年9月25日）
• 株式会社Helpfeel「『Gyazo』サービス再開のお知らせ」（2026年9月26日・9月29日追記）／「『Gyazo』への不正アクセスに関する『Helpfeel』『Cosense』への影響と実施中の対応について」（2026年9月18日）
• Gyazo Product Updates（日本語）／Gyazoヘルプ「お問い合わせ」（2026年10月19日確認）
• 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」