Gyazo第三報：133名の画像432件の取得を確認、変換処理とメタデータをどう守るか

9月11日に侵入が発生し、同日夜に検知、翌12日未明までに経路を遮断したという事件です。第三報では、動画等の変換処理を入口に、到達可能だったデータベースを読み取られ、外部へ送信された流れが説明されています。公表日は10月21日、発生は9月であり、新たな侵入が10月に起きたという発表ではありません。10月21日付の第三報

第三報で確認された原因は、動画等の変換処理で外部入力が適切に扱われず、サーバーのコマンドとして解釈されたことです。入力したデータが「実行する命令」になってしまう問題です。同社は自社開発・運用システムの脆弱性と説明し、外部ソフトウェア部品や委託先に由来する攻撃ではないとしています。CVE番号や具体的なライブラリ名は確認した発表では示されていません。特定製品の欠陥と推測しません。10月21日付の第三報

第三報の件数は上表の単位ごとに読み、重複の有無が分からない区分を独自に合算しません。同社は流出の範囲を報告する一方、外部専門機関は送信内容そのもののログがなく、送信された項目・件数を直接確認できなかったと説明しています。DBの大量読み取りと外向き通信の記録から流出のおそれを評価した部分と、追加調査で特定した画像の被害を分けて読む必要があります。10月21日付の第三報

同社は原因の修正、漏えいしたおそれのある一部の認証・連携情報の無効化、全ソースコードの点検と重大な問題の修正、内部アクセス制御の強化を実施したと説明しています。AIによる静的解析の継続導入、外部診断、ログ・監視の強化などは進行中の対策として区別されています。AIを導入したことで安全が保証されたという意味ではありません。10月21日付の第三報

事件後にパスワードを変更していない利用者には、同社が変更を求めています。同じ・似たパスワードを他サービスでも使っている場合は、そのサービス側も変更対象です。案内は普段使う公式サイトから確認し、連絡を装うメールに認証情報を入力しないでください。同社は本件の案内メールでURLへのアクセスやリンク先での操作を求めないとしています。これは同社の利用者向け案内に沿った対応です。10月21日付の第三報

不正アクセス以前の画像は、所有者が内容を確認して配信を再開する方式が継続されます。Gyazo Teamsでは同一チームのメンバーも閲覧可能という例外があります。過去の共有リンクが必要でも、機密情報や公開範囲を点検せず一括で戻さないことを勧めます。削除済みメタデータの対象となり連絡先が分かる約5.7万アカウントには順次案内するとされ、これは新たな被害総数ではありません。10月21日付の第三報

削除済み画像のメタデータについては、削除後60日で消去する方針を策定・適用すると発表しています。過去分は必要な保全に支障のない範囲で順次消去する方針です。「すでに全件が消去済み」とは読み替えません。10月21日付の第三報

自社で画像・動画・PDFを変換する場合は、外部入力をOSコマンドの文字列につなぐ箇所を点検します。可能なら専用ライブラリのAPIを使い、コマンドが必要な場合も実行対象と引数を分け、許可する値を制限します。シェルを通さないだけでも、危険なオプションを引数として渡せる問題は残るため、引数の意味まで確認します。OWASPのコマンド注入対策

さらに、変換用の実行主体が必要以上の顧客DBを読めないか、外部へ自由に通信できないかを権限表と構成図で確かめます。入力処理の欠陥を減らす対策と、侵入後に触れられる範囲を絞る対策を併用する考え方です。公開資料にないGyazo内部の設定を断定するものではありません。OWASPの最小権限の考え方

OCRは画像から文字を取り出す処理です。元画像が契約書や社内画面なら、抽出した文字にも同じ注意が必要です。画像、サムネイル、OCR、検索索引、共有URLを同じデータの派生先として管理します。

利用者が削除したとき、元ファイル、索引、派生テキスト、バックアップのそれぞれがどうなるかを決めます。保持が必要な情報は、理由、期間、アクセス権を明記します。削除済みの表示と、内部の残存データを区別します。

リンクを知る全員が見られる共有は便利ですが、リンクを含むデータも実質的なアクセス手段になります。機密用途では利用者やチームの認可を確認し、必要に応じて期限・失効を設けます。サービス復旧時にも、元の公開範囲へ一括で戻してよいとは限りません。

技術的な点検の参考：OWASPの認可設計、秘密情報の管理、ログ設計。自社の構成に合わせて適用し、企業の事故原因を推定する根拠には使いません。

LLMは設定やコードの見落としを探す補助者です。以下は公開事案を自社点検へ翻訳した指示例で、製品での実測結果ではありません。社内で利用を認めた環境へ、値を除いた構成や合成データを渡して使います。

架空の文字と架空の位置情報を持つ画像を登録し、公開範囲の変更や削除がOCR検索・サムネイル・共有リンクにもどう反映されるかを確認します。保持されるコピーがある場合は、その理由と権限を別途確認します。

2026年10月22日（日本時間）確認。第三報は10月20日時点の調査結果に基づきます。約2,362万件を全員分のメールアドレスとせず、削除済みメタデータを削除済み画像本体と混同しません。追加の画像閲覧の可能性を完全には否定できないとの説明も残っています。同社が二次被害を確認していないことは、被害が起こり得ないという保証ではありません。公開資料の検証であり、当社は対象システムへの試験、利用者の画像・流出データの取得、LLMによる実監査をしていません。

• Helpfeel・Gyazo第三報（10月21日、今回の更新根拠）
• Helpfeel・Gyazo第一報（9月16日）
• Helpfeel・Gyazo第二報（9月25日）
• Helpfeel・Gyazo再開案内（9月27日、追記あり）

連載の時系列と読み方へ／脆弱性の対応判断を読む