Helpfeel、Gyazo不正アクセスで新たに約1.74億件の流出を確認

Helpfeelは9月25日、画像共有サービス「Gyazo」への不正アクセスについて第二報を公表した。16日の第一報の後に続けた調査で、ユーザーが過去に削除した画像のメタデータ約1億7400万件も外部に流出していたことが新たに分かった。

新たに判明した流出の対象は、主に2023年2月以前に削除された画像のメタデータだ。ユーザーが画像を1枚ずつ削除した場合と、アカウントの削除に伴って画像が消えた場合の両方が含まれる。これらの画像は現在閲覧できない状態になっており、該当するユーザーや企業には調査完了後に順次メールで知らせる。

流出の規模も整理された。Gyazo上の総画像数に対し、第一報で公表した約4億9000万件（主に2019年1月以前のアップロード）は約14.4%、何らかの条件で絞り込んで取得された240万件は約0.07%、今回判明した削除済み分は約5.1%にあたる。240万件の詳細は調査中だ。第一報で流出を公表したユーザー関連データ約2362万件の内訳も分かり、メールアドレスなどを登録していない匿名ユーザーが約1801万件（約76%）、登録ユーザーが約562万件（約24%）だった。

流出情報に含まれていたX（旧Twitter）連携用のトークンについては、それ単体では第三者がXアカウントにログインしたり操作したりはできないことを確認した。予防措置として、トークンを含むOAuth連携の認証情報は無効化済みだ。25日時点で、これ以外のメタデータの流出や、個人情報の不正利用などの二次被害は確認していない。同社の「Helpfeel」「Cosense」はGyazoとシステム構成が異なり、攻撃の痕跡は見つかっていない。

Gyazoは二次被害を防ぐためサービスを止めているが、アップロード済み画像のデータ消失は確認していない。侵入経路の遮断と脆弱性の修正は完了しており、追加のセキュリティ検証を経て段階的に再開する。再開時はまず所有者本人だけが保存済みの画像を見られるようにし、その後ユーザー自身の操作で公開状態に戻せる仕組みを検討している。今後の対応は29日までをめどに改めて知らせるとしている。

今回の第二報で目を引くのは、ユーザーが「削除した」はずの画像の情報まで流出対象に含まれていた点だ。サービス側で削除済みデータのメタデータがどう保持されていたかは、利用者にとって見えにくい部分であり、データの保持と削除の設計が改めて問われる事案といえる。