【続報】Gyazo不正アクセスの調査結果が公表。約2,362万件の流出内訳と、届いた「お詫びメール」に感じた危機管理の矛盾

画面キャプチャ共有サービスの定番「Gyazo」において、第三者による不正アクセスで大規模な情報漏洩が発生した問題について、運営元の株式会社Helpfeelより2026年10月21日に「調査結果のご報告とお詫び（第三報・最終報告）」が公表されました。また、10月25日には登録ユーザー宛てに一斉のお詫びメールが配信されています。

ひとぅブログでは、9月16日の第一報が出た直後に以下の速報記事を公開し、画像メタデータに含まれる「OCRテキスト」や「EXIF位置情報」の危険性、そして運営側の告知姿勢に対する疑問をまとめました。

今回はその続報として、サービス再開から最終報告に至るまでの経緯を振り返りつつ、新たに判明した流出件数の内訳や「第三報」の記述に対する疑問、そして実際に手元に届いた「お詫びメール」の配信仕様に感じた危機管理上の矛盾について整理します。

1. サービス再開から最終報告（第三報）までの経緯と流出規模の内訳

まず、第一報以降に発表された対応の経緯と、外部専門機関によるフォレンジック調査を経て確定した被害規模を整理します。

これまでの主な経緯

約2,362万件のユーザー情報、その76%は「匿名ユーザー」

第一報の時点で「約2,362万件」という膨大なユーザー情報の流出が発表されていましたが、今回の第三報でその内訳が初めて明らかになりました。

• ユーザーに関する情報: 約2,362万件
• メールアドレスの登録がない匿名ユーザー: 約1,801万件（約76%）
• メールアドレスの登録があるユーザー: 約562万件（約24%）

Gyazoは「アカウント登録やログインをしなくても、アプリを入れてすぐにスクリーンショットをアップロード・共有できる」という手軽さが最大の武器でした。しかし、その匿名アップロードの仕様が結果として管理不能な大量のアカウントデータを生み出し、流出件数を2,300万件超という桁違いの規模に膨れ上がらせていたことがわかります。

もちろん、匿名分を除いた「メールアドレス登録あり」のユーザーだけでも約562万件にのぼり、国内発のWebサービスとして極めて甚大な漏洩規模であることに変わりはありません。

削除したはずの画像メタデータ「約1.74億件」も流出

さらに見過ごせないのが、通常の画像メタデータ（約4.9億件）に加え、「主に2023年2月以前に削除された画像および退会済みユーザーの画像メタデータ 約1.74億件」も流出対象に含まれていた点です。

利用者は「見られては困るから削除した」「使わなくなったから退会した」にもかかわらず、システム内部ではメタデータが物理消去されず長年保持され続けていたことになります。今回の事故を受けて「今後は削除後60日で自動消去する」と方針が改められましたが、これまでのデータ保持ポリシーの甘さが被害を広げる結果となりました。

2. 最終報告（第三報）の内容に感じる3つの疑問

今回の最終報告をもって「最終報告」と位置づけられていますが、発表された内容を細かく読み込むと、利用者としてどうしても拭えない疑問が3つ残ります。

① なぜ「約4.9億件」と曖昧なのか？通信ログ不在による把握の限界

今回の報告では、画像メタデータの流出数が「約4.9億件」「削除済み約1.74億件」「条件を絞って取得されたもの約240万件」と、すべて「約○件」という丸めた数字で表記されています。

なぜ最終報告にもかかわらず正確な件数が出ないのか。その理由は第三報の「（3-4）情報漏えいの範囲に関する評価」にある以下の記述から読み取れます。

「第三者が実行した処理からデータベースに対する大量の読み取りが行われ、同じ時間帯に、同サーバーから外部の特定のサーバーへ大容量の送信が行われていたことが記録から確認されました。一方、送信された通信の内容そのものを記録したログは存在しないため、外部へ送信されたデータの項目や件数を直接確認することはできず、外部専門機関は『データ流出のおそれは相応に高い』と認定しています。」

つまり、「実際にどのデータが何件外部へ送信されたのかを直接証明する通信ログが残っていない」というのが実態です。

しかし、ここには報告としての不透明さがあります。

• もしデータベース側の読み取り対象（2019年1月以前など）を特定してレコード数を集計したのであれば、「最大○億○万○件」と1件単位まで正確な数字を把握できているはずです。
• 逆に、ログの不備によって件数の特定自体が推計にとどまるのであれば、「約4.9億件」と断言するのではなく、「○億件〜○億件の範囲と推定される」といったように、運営側がどこまで正確に把握できていて、どこからが特定不能なのかという「調査の解像度」まで正直に報告すべきではないでしょうか。

表の注釈に「※四捨五入のため、内訳の合計は総数と一致しない場合があります」と添えられていますが、利用者が知りたいのは綺麗に丸められた数字ではなく、「自分たちのデータがどこまで正確に追跡できているのか」という事実です。

② 第三報から消えた「OCRテキスト」「EXIF」の文字

もう一つ強い違和感を覚えたのが、第三報の本文中に「OCR（画像内の文字認識テキスト）」や「EXIF（位置情報）」という具体的な言葉が一度も出てこない点です。

第三報では、画像ファイル本体の閲覧・取得が確認されたのは「特定ユーザー133名の432件（個別連絡済み）」であったことが明記され、表の備考欄には以下のように記されています。

「いずれもメタデータの件数であり、画像ファイルそのものが流出した件数ではありません。メタデータに含まれる情報の種類は第一報のとおりです」

これだけを読むと、「画像本体はほとんど流出しておらず、単なる管理データ（日時やIDなど）が漏れただけだ」と誤解して安心してしまうユーザーが必ず出てきます。

画像ファイル本体が抜かれていなくても、画面に写っていたパスワード、APIキー、社内ツールのURL、個人名などは、流出したメタデータ（約4.9億件＋削除済み約1.74億件）から平文同然で抽出できてしまいます。

最終報告である第三報において、こうした致命的なリスクを「第一報のとおりです」の一文で省略してしまったのは、被害の深刻さを薄めてしまいかねない不親切な対応だと感じます。

③ これだけの大規模漏洩で、問い合わせ窓口が「Webフォーム」のみ

約562万件のメールアドレス登録ユーザー、さらには過去の退会者まで巻き込んだ大規模な個人情報・機密情報の漏洩事案でありながら、用意されている問い合わせ先は通常のヘルプページにあるWebフォームのみとなっています。

専用ダイヤルの設置や特設窓口の拡充などもなく、既存の問い合わせフォームだけで対応を完結させようとする体制には、インシデントの規模に対する危機感の乏しさを感じざるを得ません。

3. 届いた「お詫びメール」の仕様に感じる危機管理の矛盾

そして今回、この記事を書く最大のきっかけとなったのが、10月25日未明にGyazo（news@gyazo.com）から届いた「【重要】Gyazoへの不正アクセスによる情報漏えいに関するお知らせとお詫び」というメールです。

第一報から1ヶ月以上が経過してようやく届いた全体向けの通知メールですが、このメールの仕様がセキュリティ事案の謝罪メールとしてあまりにも配慮を欠くものでした。

HTMLメールのリンク先がすべて「見知らぬ別ドメイン」に置換されている

届いたメール（HTML形式）を開くと、本文中に第一報〜第三報へのリンクや、最新情報ページ（https://updates.gyazo.com/ja）、問い合わせ窓口（https://help-ja.gyazo.com/contact-us）のURLが記載されています。

ところが、これらのリンクにマウスカーソルを合わせる（あるいはスマホで長押ししてリンク先URLを確認する）と、飛び先のURLがすべて以下のような長大な別ドメインになっていました。

https://u1539575.ct.sendgrid.net/ls/click?upn=u001.zEc-2FagZBYASEMFf2dAEj96eZXIz...

画面上の文字には https://updates.gyazo.com/ja と書いてあるにもかかわらず、実際のリンク先（href）がまったく別のドメインになっており、本来の遷移先URLが外から一切見えない状態です。正直なところ、これを見た瞬間はフィッシング詐欺を疑い、怖くてとてもクリックできませんでした。

正体は「SendGrid」のクリック測定機能だが、あまりにもセンスがない

メールのソースコードを確認したところ、このURL自体は一斉メール配信サービス「SendGrid」のクリックトラッキング（開封・URLクリック測定）機能によるものでした。

実際、メールのソース内にあるプレーンテキストパート（Content-Type: text/plain）を表示してみると、そこには変換前の https://updates.gyazo.com/ja/... という正規のURLがそのまま記載されています。つまり、HTMLメールとして配信する際、SendGrid側の「クリックトラッキング設定」をオフにせず、通常のメルマガ設定のまま送信してしまったことで、すべてのリンクが追跡用URLへ自動変換されていたのです。

しかし、同メールの本文中では、運営自らがこう注意喚起しています。

「不審なメールやメッセージにもご注意ください。」

また、第三報の本文内でも「当社を装った不審なメールやフィッシング詐欺には、十分ご注意くださいますようお願いいたします」と呼びかけています。

「フィッシング詐欺や不審なメールに注意してほしい」と自ら呼びかけている情報漏洩のお詫びメールにおいて、「表示されているURL文字列と実際のリンク先ドメインが異なる」というフィッシング詐欺とまったく同じ構造のHTMLメールを送りつけてくるのは、危機管理広報としてあまりにもセンスがなく、ユーザーの警戒心に対する想像力が欠如しているとしか言いようがありません。

一般ユーザーが「本物のメール」と見分けるにはどうすればいいのか？

今回のようにリンク先が配信サービスのURLに書き換わっている場合、一般のユーザーが「これはなりすましではなく本物のGyazoから送られたメールだ」と判断するには、メールヘッダーの認証情報を見るしかありません。

Gmailであれば、差出人名の横にある小さな「▼（詳細）」をクリック（または「メッセージのソースを表示」を確認）し、以下の3つの認証が通っているかをチェックします。

• SPF：PASS（gyazo.com が許可した送信サーバーから送られているか）
• DKIM：PASS（gyazo.com の電子署名があり、途中で改ざんされていないか）
• DMARC：PASS（差出人アドレスと署名ドメインが一致しているか）

今回のメールはこれらがすべて PASS となっており、Gmailの「署名元（signed-by）」も正規の gyazo.com になっていたため、間違いなく公式から配信されたメールであると確認できました（偽装された場合はここが FAIL や NONE になったり、全く別のドメイン名が表示されたりします）。

とはいえ、一般の利用者にそこまでの確認を強いること自体が本末転倒です。セキュリティインシデントの通知メールを送るのであれば、HTML装飾やトラッキング測定などはすべて排除し、誰もがリンク先を一目で確認できるプレーンな形式で配信するのが鉄則ではないでしょうか。

4. まとめ：メールのリンクは踏まず、公式サイトから直接確認・対策を

今回の最終報告（第三報）と事後のお詫びメールからは、技術的な脆弱性だけでなく、「ログ不在による流出件数の曖昧さ」「OCRテキスト等の危険性に対する説明不足」「お詫びメールにおけるトラッキングURLの仕様」など、利用者目線とのズレが随所に浮き彫りになりました。

今回届いたメール自体は正規のものですが、セキュリティの基本習慣として、このようなメール内のリンクはクリックせず、ブラウザのブックマークや検索から直接公式サイト（gyazo.com / corp.helpfeel.com）へアクセスして情報を確認することを強くおすすめします。

まだ対策がお済みでない方は、以下の自衛策を改めて徹底してください。

• Gyazoのパスワード変更と、使い回しパスワードの総点検（ブラウザから直接アクセスして変更）
• 過去のキャプチャ画像に写り込んでいたAPIキー・トークン・認証情報の無効化（Revoke）と再発行
• 不正アクセス以前（2026年9月11日以前）にアップロードした非公開状態の画像の確認と、不要な画像の削除

日常的に便利に使っていたツールだからこそ、今後の再発防止策の確実な実行と、何より利用者の不安に寄り添った誠実でわかりやすい情報開示・コミュニケーションへの改善を強く望みます。