画像を削除して、画面から消えた。はい、お片づけ完了――普通はそう思いますよね。ところがデジタルの世界では、画像本体が見えなくなることと、その画像についての情報までなくなることは、同じとは限りません。
画像共有サービス「Gyazo」の不正アクセスで、新たに流出が確認されたのは、削除済み画像ファイル約1.74億枚ではありません。削除済み画像にひもづくメタデータ約1.74億件です。いや、ここがミソなんですよ。今回は「何件」という大きな数字に驚くだけでなく、削除の中にある段差を見ていきます。
株式会社Helpfeelは9月25日、画像共有サービス「Gyazo」への不正アクセスに関する第二報を発表した。
今回の登場人物
- Gyazo: スクリーンショット、GIF、動画などを保存し、リンクで共有できるサービスです。今回のお知らせでいう「画像」には、静止画だけでなくGIFや動画も含まれます。
- Helpfeel: Gyazoを運営する会社です。不正アクセス後の調査結果や、影響範囲を公表しています。
- 画像ファイル: 画面で実際に見るスクリーンショットや動画の本体です。今回追加で判明した約1.74億件の流出には、削除済み画像ファイルそのものは含まれていません。
- メタデータ: 画像にひもづく識別番号、取得元、通信や端末の情報、画像から読み取った文字などの付随情報です。荷物でいえば荷札ですが、住所や中身の説明が書いてあれば、荷札も「ただの紙」ではありません。
- フォレンジック調査: ログや保存状態を調べ、何が起き、どこまで影響したかをたどるデジタルな現場検証です。今回も外部の専門機関を交えた調査が続いています。
何が起きたか
INTERNET Watchによると、Helpfeelは2026年9月25日、Gyazoへの不正アクセスについて第2報を公表しました。そこで新たに確認されたのが、ユーザーが過去に削除した画像に関するメタデータ約1.74億件の流出です。
対象は、主に2023年2月以前に画像を削除したケースと、同じ時期までに削除したアカウントの画像です。ここでの基準は画像をアップロードした時期ではなく、画像またはアカウントを削除した時期。似た日付が並ぶと、数字のほうが先に帰宅しそうなので、ここは置いていかれないようにしましょう。
事件の流れはこうです。9月11日に、画像アップロードサーバーの脆弱性を悪用した不正アクセスが発生。Helpfeelは同日夜に不審な動きを検知し、12日までに侵入経路を遮断して、原因となった脆弱性を修正しました。14日にデータベースへのアクセスと情報流出を確認し、16日に第1報を出しました。
第1報では、ユーザーに関するデータ約2,362万件、主に2019年1月以前にアップロードされた画像のメタデータ約4.9億件、さらに条件を絞って取得された画像メタデータ約240万件などが公表されました。公式発表では、約240万件は総画像数の約0.07％です。そして25日の第2報で、削除済み画像に関する約1.74億件が加わりました。こちらは総画像数の約5.1％に当たります。
ここが本題
約1.74億件という数字だけを見ると、「削除した画像が大量にそのまま残り、流出した」と受け取りたくなります。でも、公式発表が確認したのは別のことです。
今回新たに確認された流出に、削除済み画像ファイルそのものは含まれていません。対象画像ファイルは現在、閲覧できない状態です。一方で、その画像に関するメタデータは存在し、外部へ流出しました。
つまり、画像本体と、画像についての情報は別々に考えなければならない。削除ボタン一つに「表示を消す」「ファイルへアクセスできなくする」「関連情報を処理する」という仕事を全部まとめて想像すると、話を読み違えます。削除ボタン、こちらが思うより担当業務が多いんです。
メタデータは脇役ではない
「でも、本体ではなく付随情報でしょう」と思うかもしれません。たしかに、画像ファイルとメタデータは同じではありません。ただし、メタデータだから中身が軽い、とも限りません。
Helpfeelの第1報では、流出した画像メタデータに含まれ得る項目として、画像ID、アップロード元のIPアドレス、ブラウザーや端末の種類を示すUser-Agent、写真ファイルに付くEXIF位置情報、画像内の文字を機械で読み取ったOCRテキスト、画像タイトル、取得元URL、非公開画像のパスフレーズのハッシュ値などを挙げています。
たとえばOCRテキストは、スクリーンショットに写った文字を検索などに使える形へしたものです。予約番号、会話、エラー表示、仕事の資料の一部が読み取られていれば、画像そのものを見なくても内容の手掛かりになり得ます。取得元URLや位置情報も、状況によっては行動や場所を推測する材料になります。写真の外側に付いた付箋が、付箋だけでちょっとしゃべりすぎることもあるわけです。
ただし、ここで話を盛ってはいけません。削除済み画像に関する約1.74億件の一つ一つへ、これらの項目がすべて含まれていたとは公表されていません。各レコードの内容、重複の有無、実際に影響を受けた人数も調査中です。約1.74億件を、そのまま約1.74億人や約1.74億枚と読み替えることはできません。
「削除」の中身
デジタルサービスの削除を考えるときは、少なくとも三つに分けると見通しがよくなります。
一つ目は、利用者の画面から見えなくなること。二つ目は、画像ファイルへアクセスできなくなること。三つ目は、画像にひもづく識別情報や検索用の情報などが処理されることです。これらは利用者から見ると一回の操作でも、扱う対象は同じではありません。
今回、Helpfeelが明らかにしたのは、削除済み画像ファイルは新たに確認された流出へ含まれず、現在は閲覧できない一方、関連するメタデータ約1.74億件が流出したという段差です。では、なぜメタデータが残っていたのか。どこに保存され、どの処理を通っていたのか。そこは公表されていません。
ですから、「論理削除だった」「バックアップに残っていた」といった説明を、もっともらしく差し込むのは禁物です。一般にあり得る仕組みを並べても、今回の原因の証明にはなりません。分からないところへ専門用語を置くと、賢そうには見えますが、調査は一ミリも進まないんですよ。
大事なのは、「削除済み」という表示がうそだったと即断することでも、画像本体がなければ問題なしと片づけることでもありません。何を削除の対象とし、どの時点で、どの状態をもって完了とするのか。その説明と実際の処理がそろっているかを見ることです。
分かったことと未確認のこと
ここで線を引いておきましょう。確認されたのは、主に2023年2月以前に画像またはアカウントを削除した際の画像に関するメタデータ約1.74億件が流出したこと、新たに確認されたこの流出へ削除済み画像ファイル自体は含まれないこと、対象ファイルは現在閲覧できないことです。
まだ分からないのは、約1.74億件の詳しい中身、保存場所、残っていた理由、重複関係、影響を受けた利用者数です。Helpfeelは9月25日時点で、個人情報の不正利用などの二次被害は確認していないと説明しています。ただし、調査と監視は続いており、将来の被害がないと保証する発表ではありません。
もう一つ、事件全体との切り分けも必要です。第1報では、流出した別のメタデータに画像URLを構成する情報が含まれ、非公開画像の一覧も取得されたため、一部の非公開画像が第三者に閲覧された可能性を完全には否定できないと説明されています。今回の「削除済み画像ファイルは含まれない」を、事件全体で画像閲覧が一切なかったという意味へ広げてはいけません。
削除ボタンのその先
利用者が今できることは、まず公式のお知らせと個別連絡を確認することです。Helpfeelは、サービス再開後にGyazoのパスワードを変更し、同じ、または似たパスワードを他サービスでも使っている場合は、そちらも変更するよう案内しています。本件に関連した不審なメールやメッセージにも注意が必要です。連絡内のリンクを反射で押すのではなく、公式サイトから確認する。地味ですが、こういうときの地味は強いです。
サービスを運営する側には、削除の設計を利用者の言葉で説明する宿題があります。画像本体、索引、検索用データなど、何を対象にするのか。処理にはどれだけ時間がかかるのか。残す例外があるなら、何のためか。そして本当に想定どおり消えたかを、どう検証するのか。
事故を公表するときも同じです。「何億件」だけでは足りません。ファイル本体なのか、派生した記録なのか。1件は一人なのか、一画像なのか、一つの記録なのか。閲覧された可能性と、外部へ取得された確認はどこまで違うのか。単位と状態を分けて初めて、利用者は自分への影響を判断できます。
まとめ
Gyazoの第2報が示した約1.74億件は、削除済み画像ファイルの流出件数ではありません。削除済み画像に関するメタデータの件数です。だから軽い、という話でも、画像が丸ごと残っていた、という話でもありません。答えはその間にあります。
削除とは、画面上の一瞬の操作ではなく、複数の対象を片づける処理です。次にデータ流出の数字を見るときは、「何件ですか」のあとに「何の件数で、どの段階の話ですか」と聞く。そこまで読めれば、大きな数字に振り回されず、事件の本当の重さを見られます。