サイバー攻撃
画像共有サービス「Gyazo」の脆弱性を突かれ、ユーザー情報約2,362万件と画像メタデータ約4.9億件が流出 ― Helpfeel
発表：当事者の株式会社Helpfeelが2026年9月16日に「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」を公表した。9月11日、Gyazoの画像アップロードサーバーの脆弱性を悪用され、第三者が同社システム上で任意のコマンドを実行する不正アクセスが発生。同日夜に不正な挙動を検知し、9月12日未明までに侵入経路の遮断と不正接続の切断を実施した。その後の調査で、第三者がデータベースにアクセスし情報が外部へ流出した事実を確認している。流出したユーザーデータは約2,362万件で、名前、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレス、プロフィール情報、契約プラン、課金ステータス、利用統計などを含む。クレジットカード番号等の決済情報は含まれない。メールアドレスを登録していない匿名アカウントも含まれるため、個人情報の流出対象となる人数は調査中。画像メタデータは約4.9億件（画像データ全体の約14.4％、主に2019年1月以前に登録されたもの）に加え、条件を絞って取得された約240万件が流出。メタデータには画像IDのほか、アップロード元IPアドレス、User-Agent、EXIF位置情報、画像のOCRテキスト、画像タイトル、非公開画像のパスフレーズ（ハッシュ化）が含まれる。画像URLを構成する情報が含まれるため不正閲覧の恐れがあるとして、一部画像の閲覧を一時的に無効化した。非公開画像のファイル一覧が取得されていたことも確認しており、一部の非公開画像が第三者に閲覧された可能性を完全には否定できないとしている。9月15日に個人情報保護委員会へ報告済み。利用者にはパスワードの変更と、同一・類似のパスワードを使っている他サービスでの変更を求めている。外部の専門機関によるフォレンジック調査を実施する。同社の「Helpfeel」「Cosense」は別のシステム構成で、情報流出は確認されていない。再発防止として、システムの認証・認可およびアクセス制御の見直し、監視・監査体制の強化、安全な設計・開発・レビュー体制の整備に取り組むとしている。
関連報道：https://www.itmedia.co.jp/news/article/2609/16/2000001560/
流出したのが画像そのものではなくURLを構成する情報とパスフレーズのハッシュであり、二次被害の入口が「鍵」ではなく「所在」の側にある点
クラウド環境の認証情報を取得され、退会者を含む会員情報が流出の可能性 ― CINRA（CINRA JOB）
発表：当事者のCINRAが「求人サービス『CINRA JOB』への不正アクセスによる個人情報漏えいのおそれに関するお知らせとお詫び（第一報）」を公表し、Security NEXTが9月16日に続報を報じた。2026年8月18日、同社が管理する認証情報が第三者に取得され、クラウド環境にある「CINRA JOB」のシステムが不正アクセスを受けたことを確認した。取得された認証情報を用いれば、会員情報を保管するデータベースやバックアップにアクセスすることが可能だった。第三者による閲覧・取得は確認されていないものの、閲覧取得がなかったことを確認するに足る記録が存在しないため、漏えいのおそれがあると判断した。対象は退会者を含む会員の氏名、住所、電話番号、生年月日、性別、メールアドレス、学歴、職歴、希望条件、スキルと資格、志望動機、自己PRなど。同社は認証情報を無効化し原因箇所を修正、警察へ相談するとともに個人情報保護委員会へ報告した。外部の専門機関による調査を行い、完了後に登録メールアドレスと自社サイトで結果を告知するとしている。
関連報道：https://www.security-next.com/189866
求人サービスの会員情報が、履歴書1通ぶんに近い粒度でひとまとまりになっている点
（続報）通販システムの侵害で、顧客との通話音声データが流出した可能性 ― ロート製薬
発表：当事者のロート製薬が2026年9月11日に「当社システムにおける不正アクセスの可能性について」を公表し、Security NEXTが9月16日に続報を報じた。同社は9月10日に通信販売で利用しているシステムが侵害された疑いを確認し、影響拡大を防ぐため当該システムへのアクセス制限を含む措置を実施した。その後の調査で、通信販売の顧客対応に利用するシステム内に保存されていた顧客との通話音声データや関連情報が第三者に取得された可能性があることが判明した。さらに同社が利用する顧客管理システムも侵害され、情報を窃取された可能性があるという。個人情報保護委員会へ報告するとともに、外部協力のもとで取得された可能性のある情報の範囲・件数・影響を調査している。同社や同社の通信販売を装う不審な電話・メール・SMSに注意するよう利用者へ呼びかけている。
関連報道：https://www.security-next.com/190377
流出の対象に通話の録音が入っており、テキストの個人情報とは別の粒度で会話の中身が外へ出る点
