Helpfeel（Gyazo） — Incident report
Published: 2026-10-21
corp.helpfeel.com
Original source text (not a translation)
10月21日第3報（調査結果の最終報告）でも利用者情報約2,362万アカウント（匿名約1,801万を含む）を流出した範囲として公表。外部専門機関は、送信内容を記録したログがなく項目・件数を直接確認できないとして「データ流出のおそれは相応に高い」と認定。別区分に画像メタデータ約4.9億件、条件を絞って取得された約240万件、削除済み画像のメタデータ約1.74億件。さらに特定133名が所有する画像ファイル432件の対象者に通知済み。アカウント・メタデータ・画像・人数は異なる単位で合算しない。パスワードは平文ではなくハッシュ値。 10月25日の日経クロステックが見出しで「6.9億件」と報道したが、Helpfeelの公表（第3報、10月21日）にはこの数字がなく、公式の件数は変更しない（画像メタデータなど別区分の合算とみられるが、報道の本文は未確認）。公表された原因・経路：9月11〜12日、画像アップロードの変換処理で入力値がコマンドと解釈される脆弱性を悪用され、任意コマンド実行・DB取得・外部送信。自社システムの脆弱性で、外部ソフト部品や委託先に起因する攻撃ではないと公表。9月12日に修正し27日サービス再開。10月20日時点で二次被害は未確認。