何が起きたか（時系列）

1. 9月25日 9時07分：タイムズカーのWebシステムへの不正アクセスを検知し、調査を開始。同日、第1報で「個人情報漏えいの可能性」を公表。
2. 9月26日 7時25分：不正アクセスの経路と、攻撃元との通信を遮断。
3. 9月28日（第2報）：外部の専門機関による調査で、約660万件の会員情報が第三者に取得されたことを確認。
4. 9月29日（第3報）：約160万アカウントについて、運転免許証画像・現住所確認書類の画像（公共料金の請求書など）、学生証画像、家族確認書類画像が漏えいしたことが判明。

これが起こるとどうなるか

9月30日時点で、タイムズカーは「漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていない」としています。ただ、免許証画像が漏れた場合のリスクとして、ITmedia Mobileは次の3つを挙げています。

侵入経路は9月30日時点で未公表です。同社は再発防止策を含め、2週間程度をめどに追加で案内するとしています。

Gyazoは、パソコンの画面をワンクリックで撮影してURLで共有できるサービスです。仕事で「この画面を見て」と送るのに使っている人も多いはずです。

何が起きたか

1. 9月11日夜：画像アップロード用サーバーの脆弱性を悪用され、第三者にサーバー上で任意のコマンドを実行される。同日夜に不正な挙動を検知。
2. 9月12日未明：侵入経路を遮断し、脆弱性を修正。9月14日に情報の流出を確認し、9月16日に公表。
3. 9月25日（続報）：2023年2月以前に削除された画像などのメタデータ約1.74億件も流出していたと公表。
4. 9月27日：サービスを再開。INTERNET Watchによると、画像はすべて本人のみ閲覧できる状態に切り替えられました。

「メタデータ」に何が入っていたのか

メタデータとは「画像そのもの」ではなく「画像についての情報」です。Helpfeel社（Gyazoの運営会社）の発表では、次の項目が含まれていました。

情報が漏れたあと、実際に被害が出るのは多くの場合「偽の連絡」を通じてです。今週、フィッシング対策協議会は国税庁を名乗るメールについて注意を呼びかけました。

状況別：いまどこまで進んだ？

• A. 届いただけ開かずに削除でOK。迷惑メールとして報告すると、フィルターの精度が上がります。
• B. リンクを押した何も入力・インストールしていなければ、ページを閉じて終了。ブラウザの履歴から開き直さないこと。
• C. ID・パスワード等を入れたそのサービスのパスワードをすぐ変更。同じパスワードを使い回している所もすべて変更。
• D. アプリを入れたスマホを機内モードにし、アプリを削除。銀行・決済アプリの利用明細を確認し、不審な点は金融機関と警察相談専用電話（#9110）へ。

複合機は、紙の書類を「写し」にする機械です。中にはアドレス帳や設定、ジョブの情報が入っています。今週は、日本の職場で広く使われている機種と、家庭向けWi-Fi製品の脆弱性が公表されました。

👤 個人

1. Gyazoとタイムズカーのパスワードを変え、同じパスワードを使っている他のサービスも変える。どちらもパスワードは元に戻せない形で保管されていましたが、Gyazoは変更を求めています。
2. 「利用しているサービス名」が入った連絡ほど疑う。リンクは押さず、公式サイト・公式アプリから確認。
3. アプリは公式ストアからだけ入れる。メールのリンクから「アプリを入れてください」と言われたら、それだけで偽物と判断してよい。

🏢 企業の担当者

1. スクショ共有ツールの利用を棚卸しする。Gyazoを業務で使っていた部署を把握し、上げた画面の種類を聞き取る。代わりの社内手段を用意する。
2. 法人会員の社員に一報を入れる。タイムズビジネスサービスを使っていたなら、部署名まで漏れています。なりすまし連絡への注意を社内に周知。
3. 複合機とWi-Fi機器を更新し、管理パスワードを確認する。対象機種は各メーカーの告知で確認。