人気スクショ共有ツール「Gyazo」に不正アクセス、“約2362万件”のアカウント情報大規模流出。利用者にパスワード変更を呼びかけ

株式会社Helpfeelは9月16日、画像共有サービス「Gyazo（ギャゾー）」において不正アクセスが発生したことを発表した。ユーザー情報およびアップロードされた画像に関するメタデータの一部が外部に漏えいしたことが確認されたという。

「Gyazo」は、2007年から展開されている画像・動画共有サービスだ。収録・アップロード・URL取得までを、ワンアクションで瞬時に完結することが可能。数秒前の映像を遡って録画し、瞬時に共有することができる「Gyazo Replay」機能なども提供されている。Gyazoを運営するHelpfeelによれば、無期限・無制限の保存容量が支持され、ゲーム界隈で活発に利用されてきたという。公式サイトによると、これまでに全世界で2300万ユーザーが利用し、31億件のアップロードがおこなわれてきたとのこと。無料から利用でき、サブスクリプションプランも用意されている。

そんなGyazoに関して、9月11日に画像アップロードサーバーに存在した脆弱性を悪用し、第三者がHelpfeelのシステム上で任意のコマンドを実行する不正アクセスが発生したという。同社では、9月12日未明までに確認された侵入経路の遮断および第三者による不正な接続の切断を実施。その後の調査によって、第三者が「Gyazo」のデータベースにアクセスし、ユーザー情報およびアップロードされた画像に関するメタデータが外部に流出した事実を確認したそうだ。

現在も調査中としつつ、現時点では「Gyazo」のユーザーに関するデータ約2362万件が外部に流出したとのこと。名前やメールアドレス、パスワードのハッシュ値のほか、プロフィール情報のほか、ユーザーが連携していた場合はX連携用トークンなど多岐にわたる情報が対象となっている。なお、クレジットカード番号等の決済情報は流出していないという。

なお、該当する情報の種類や範囲は、ユーザーごとに異なるとして、現在対象となる情報の詳細および二次被害の可能性について調査を進めているそうだ。流出した約2362万件には、メールアドレス等を登録していない匿名アカウントも含まれており、実際に個人情報の流出対象となるユーザーの人数については、現在調査を進めているとのこと。

そのほか、主に2019年1月以前に登録された画像に関する、メタデータ約4.9億件と、別途条件を絞って取得された約240万件の画像に関するメタデータが外部に流出。前者については、データ全体の約14.4％にあたる画像が対象となっているようだ。流出したメタデータには画像URLに使用される情報が含まれているため、この情報を用いて対象となる画像にアクセスし不正に閲覧される恐れがあるとのこと。二次被害防止のため一時的に一部の画像の閲覧を無効化しているそうだ。

Helpfeelは本件の影響を受けた可能性のあるGyazoユーザーに対して、登録されているメールアドレスを通じて、本件に関する案内を送る予定だという。あわせて、本件による二次被害を防止するため、パスワードの変更を推奨しており、同一または類似のパスワードを他のサービスでも利用している場合には、当該サービスのパスワードも変更するよう呼びかけている。Gyazoを利用したことのあるユーザーは詳細な調査結果を含めて続報を待ちつつ、被害を防ぐための対応をおこなってほしい。