画像共有サービス「Gyazo」を提供する株式会社Helpfeelは9月16日、同サービスに対して第三者が不正アクセスを行ったことで、ユーザー情報やアップロードされた画像に関するメタデータの一部が外部に漏洩したと明らかにした。
-
「Gyazo」に不正アクセス、メールアドレスやX連携用トークンなどユーザー情報約2,362万件が漏洩
Gyazoの画像アップロードサーバーに存在した脆弱性を悪用されたことで、第三者がHelpfeel社内システム上で任意のコマンドを実行する不正アクセスが発生したという内容。同日夜までに不正な挙動を検知して調査・対応を開始したとしており、12日までに侵入経路の遮断と接続の切断を行ったという。事後調査で判明したデータ漏洩内容は下記の通り。
- 名前（ユーザーが指定する氏名やニックネーム等の任意の文字列）
- メールアドレス
- パスワードのハッシュ値
- 利用者ID
- 端末ID
- ログインセッションID
- X（旧Twitter）連携用トークン（連携していた場合）
- Google SSOのメールアドレス（連携していた場合）
- プロフィール情報
- 利用言語
- 登録日時
- 最終ログイン日時
- 契約プラン
- 課金ステータス（カード番号等の決済情報は含まない）
- 利用統計
また、ユーザー情報に加えて2019年1月以前に登録された画像に関するメタデータ約4.9億件（画像に関するデータ全体の約14.4％）も流出した。データには画像ID（画像URLを構成する情報）、アップロード元IPアドレス、EXIF位置情報（画像に含まれる場合）、取得元URL等のメタデータなどが含まれているという。
すでに影響を受けた可能性のあるユーザーには登録されているメールアドレスで連絡を行うととしており、パスワードの変更も案内中。今回の漏洩に関連した不審なメールやメッセージ等には十分注意するよう呼びかけられている。
