概要

京都のHelpfeel社が運営する画像・スクリーンショット共有サービス「Gyazo」で大規模な情報漏えいが発生した。攻撃者はGyazoの画像アップロードサーバーに存在した脆弱性を悪用してシステムへの不正アクセスに成功し、任意のコマンドを実行してデータベースにアクセス、約2362万件のユーザーレコードと約4.9億件の画像メタデータを窃取した。窃取されたユーザーレコードには、氏名・ニックネーム、メールアドレス、パスワードハッシュ、ユーザーIDおよびデバイスID、ログインセッションID、X(旧Twitter)連携トークン、Google SSOのメールアドレス、プロフィール情報、言語設定、登録・ログイン日時、サブスクリプションプランや請求ステータスなどが含まれる。クレジットカード情報は流出していないとされる。画像メタデータには、画像ID、アップロード元IPアドレス、User-Agent、EXIF位置情報、OCRで抽出されたテキスト、画像タイトル、ソースURL、非公開画像用のハッシュ化されたパスフレーズなどが含まれ、大半は2019年1月以前のデータだった。加えて、特定の抽出条件により約240万件分の画像メタデータも別途取得されたという。

発生の経緯と対応

不審なアクティビティは日本時間9月11日夜に検知され、Helpfeelは翌12日未明にアクセス経路を遮断し、同日中に脆弱性を修正した。9月14日にデータ流出の事実を確認、9月15日には個人情報保護委員会に報告し、9月16日に公式に事案を公表した。この間、Gyazoは一時的にメンテナンス状態となり、流出した画像へのアクセスも一時的に無効化された。Helpfeelは外部のフォレンジック調査会社と連携して調査を進めており、影響を受けたユーザーには個別にメールで通知するとしている。同社は「第三者がGyazoのデータベースおよびユーザー情報にアクセスし、メタデータが不正に開示された」と説明する一方、流出した2362万件のレコードには匿名アカウントが含まれるとし、「個人情報が不正開示された実際の対象者数については引き続き特定を進めている」と述べている。同社は全ユーザーに対してパスワードの変更と、不審な挙動の監視を呼びかけている。

影響とリスク

今回の漏えいで特に懸念されるのは、画像IDの流出がGyazoのセキュリティモデルそのものを揺るがす点だ。Gyazoは推測困難なURLによって非公開画像を保護する設計を採っているが、画像IDが流出したことで、2019年以前にアップロードされた古い画像については、IDを知る第三者が閲覧できてしまう状態にある。また、パスワードハッシュやX連携トークン、Google SSOのメールアドレスといった認証関連情報の流出は、同じ認証情報を使い回しているユーザーにとってアカウント乗っ取りのリスクを高める。Helpfeelは決済カード情報や他のHelpfeel関連サービス、削除済みデータへの影響は確認されていないとしているが、ユーザーには同一パスワードを使用している他サービスでも変更を行うよう推奨している。今回の事案は、画像共有サービスが扱うメタデータ(位置情報やOCRテキストなど)がユーザーの想定以上にプライバシーリスクを伴うことを改めて浮き彫りにした。