「削除したはず」の1.74億件——Gyazo流出が突きつけるバックアップの死角

削除ボタンは何を消していたのか

Helpfeelが9月25日に公表したGyazoの不正アクセスに関する第二報で、最も重い数字は「約1億7400万件」だ。流出したのは、ユーザーが過去に削除した画像のメタデータ。つまり、画面上から消えたはずの情報が、少なくとも約1.74億件分、サーバー側に残り、外部に持ち出されたことになる。

これはGyazo固有の失敗というより、多くのオンラインサービスが抱える構造的な問題である。ユーザーが「削除」を押したとき、消えるのは通常、表示用のレコードやオブジェクトへの参照であって、バックアップ、ログ、解析用の複製、非同期処理のキューに残ったコピーではない。今回の件は、その「消えていない部分」が攻撃者にとって十分に価値のあるデータだったことを示している。

メタデータはなぜ本体より厄介なのか

画像そのものではなく「メタデータ」が流出した点を軽く見てはいけない。メタデータには、撮影日時、端末情報、アップロード日時、アクセスURL、ユーザーID、タグ、フォルダ情報などが含まれ得る。単体では断片でも、組み合わせると行動履歴や人間関係、業務上のやり取りの文脈が復元できる。

さらに厄介なのは、画像本体を消してもメタデータが残るケースだ。ユーザーは「画像を消したから大丈夫」と考えるが、実際には「誰が、いつ、何を共有したか」という記録が残っている。削除の意味が、ユーザーの理解と実装の間でずれている。このずれは、個人向けサービスだけでなく、企業のファイル共有やチャット、プロジェクト管理ツールにも広く存在する。

「消す」を前提にした設計の限界

クラウドストレージの多くは、可用性と検索性を優先する。そのため、削除は論理削除になり、実体は複数の階層に残る。バックアップからの復元、監査ログ、機械学習用のデータセット、CDNのキャッシュ——どれも「消えたはずのデータ」を保持し得る。

ここで問われるのは、保存の設計思想だ。サブスクリプション型のクラウドは、容量と引き換えに継続課金を前提とする。解約すればアクセスは止まるが、事業者側のバックアップにデータが残る期間は、多くの場合ユーザーには見えない。一方、Arweaveのようなブロックチェーン基盤のストレージは、事前に支払った料金でデータを半永久的に保持する。Long Driveはこの仕組みを採用し、クライアント側でAES-256-GCM暗号化を施すオプションを用意している。パスワードが鍵を守るため、プラットフォーム側でも内容は読めない。

重要なのは、どちらが優れているかではなく、何を消したいのか、何を残したいのかをユーザーが選べることだ。すべてを消すことは難しくても、残すと決めたものを、誰にも読めない形で長期保管することはできる。

長期保存という別の問い

今回の流出は、セキュリティ事故として語られがちだ。だが本質は、現代のデータ管理が「削除」と「保存」のどちらも曖昧にしたまま運用されている点にある。削除は完全でなく、保存は事業者の都合に依存する。

だからこそ、個人や企業は「消すデータ」と「残すデータ」を分けて考える必要がある。消すべきものは、そもそも保存しない。残すべきものは、消えない前提で、内容を守った形で保管する。契約書、研究記録、家族の写真、業務のアーカイブ——これらは、サービスの継続や仕様変更に左右されない場所に置く価値がある。

Gyazoの1.74億件という数字は、削除のつもりが保存だったという現実を示す。逆に、保存のつもりが消えていたという事故も、これまで何度も起きてきた。データの寿命を自分で決められない限り、私たちはどちらの事故にも備えられない。