漏えいを確認2026.09.25 第2報

Helpfeel「Gyazo」の情報漏えい

画像共有サービスGyazoで、画像アップロード用サーバーの脆弱性を突かれ、約2,362万件のユーザー関連データと約4.9億件の画像メタデータが流出した。削除済み画像のメタデータ約1.74億件も含まれていた。

外から来るファイルは信用せず、処理する場所ごと閉じ込める。

公表された内容

報道によると、画像アップロード用サーバーの脆弱性により、第三者がシステム上で任意のコマンドを実行できる状態になっていた。いわゆるリモートコード実行（RCE）で、攻撃者はサーバーの中で好きな操作ができる。

画像のアップロード処理は、外部から送られたファイルを解析・変換するため、もともと攻撃を受けやすい場所だ。画像ライブラリの脆弱性を突く細工ファイルは、過去に何度も問題になってきた。

流出した中には、2019年1月以前の画像のメタデータや、2023年2月以前に削除された画像のメタデータも含まれていた。メタデータには位置情報やOCRで読み取った文字も含まれうるため、画像本体が漏れていなくても個人の情報になりえる。

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。

外部入力を直接処理するライブラリは、脆弱性が出たときの影響が大きい。依存ライブラリを自動で監視し、該当したら他の更新より先に当てる運用にする。

検知から約9時間で経路遮断と修正まで済ませている。事前に「どのサーバーを止めればどこまで影響するか」を把握していないと、この速さは出せない。止める手順を事前に決めておくことが、被害を広げない備えになる。

アップロードされたファイルの解析・変換は、権限を最小にしたコンテナやサンドボックスで行い、処理ごとに捨てる。この環境からDBや他のサーバーへは通信できないようにしておけば、RCEを許しても攻撃者はそこから先へ進めない。

アップロード用サーバーが外部の任意の宛先へ通信する必要は、ふつうない。送信先を許可リストで絞っておくと、盗んだデータを持ち出す経路がなくなる。

削除フラグを立てるだけの論理削除では、データはDBに残り続ける。利用者が削除した画像のメタデータは、一定期間後に物理削除するジョブを動かす。古いデータの保存期間も決めて、使わなくなった情報を残さない。

画像の共有サービスは、メールアドレスだけで使える。サービスごとに別のアドレス（iCloudの「メールを非公開」やGmailの「+」付きアドレスなど）で登録していれば、漏れたのはそのサービス専用のアドレスだけになり、届く迷惑メールもそのアドレスを止めれば終わる。

SNSと連携してログインしている場合は、連携を外せば、そのサービスから連携先を操作できなくなる。使っていないサービスの連携は、普段から外しておく。

内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。