画像共有サービス「Gyazo」に不正アクセス、ユーザー情報約2362万件・画像メタデータ約4.9億件が漏えい

　株式会社Helpfeelは9月16日、画像共有サービス「Gyazo」において、第三者による不正アクセスが発生し、ユーザー情報およびアップロードされた画像に関するメタデータの一部が外部に漏えいしたと発表した。

　発表によると、9月11日に「Gyazo」の画像アップロードサーバーに存在した脆弱性を悪用した不正アクセスが発生し、システム上で任意のコマンドを実行されたことを検知した。同社は9月12日未明までに確認された侵入経路の遮断および第三者による不正な接続の切断を実施。その後の調査により、ユーザー情報およびアップロードされた画像に関するメタデータが外部に漏えいした事実が判明した。

　外部に漏えいしたことが確認された情報は、ユーザーに関する情報（約2362万件）と、画像に関するメタデータ（約4.9億件）。それぞれの詳細は次の通り。

ユーザーに関する情報

　メールアドレスなどを登録していない匿名アカウントも対象。なお、クレジットカード番号などの決済情報は含まない。

• 名前（ユーザーが指定する氏名やニックネームなどの任意の文字列）
• メールアドレス
• パスワードのハッシュ値
• 利用者ID
• 端末ID
• ログインセッションID
• X（旧Twitter）連携用トークン（連携していた場合）
• Google SSOのメールアドレス（連携していた場合）
• プロフィール情報
• 利用言語
• 登録日時
• 最終ログイン日時
• 契約プラン
• 課金ステータス（カード番号などの決済情報は含まない）
• 利用統計

画像に関するメタデータ

　主に2019年1月以前に登録された画像に関するメタデータ約4.9億件（画像に関するデータ全体の約14.4％）に加え、別途条件を絞って取得された約240万件の画像に関するメタデータが対象。

　漏えいしたメタデータには画像URLに使用される情報が含まれていることから、二次被害防止のため一時的に一部の画像の閲覧を無効化している。また、非公開画像のファイル一覧が取得されていたことも確認しているという。

• 画像ID（画像URLを構成する情報）
• アップロード元IPアドレス
• User-Agent
• Exif位置情報（画像に含まれる場合）
• 画像のOCRテキスト
• 画像タイトル
• 取得元URLなどのメタデータ
• 非公開画像のパスフレーズ（ハッシュ化されたもの）など

　なお、同社が提供する「Helpfeel」および「Cosense」については、「Gyazo」とは異なるシステム構成で運用しており、発表時点までの調査において情報漏えいは確認されていないとしている。