Studioに不正アクセス｜Web制作サービスの全顧客の情報が流出のおそれ

Web サイトを作って公開するサービス「Studio」を運営する Studio株式会社が2026年10月16日、同社のクラウド環境に第三者の不正アクセスがあったと公表しました。 現時点の調査では、Studio に登録するすべての顧客について、アカウント情報やサイトのフォームに送られた内容などが流出したおそれがあるとしています（Studio株式会社の発表）。 会社のサイトや問い合わせフォームを Studio で作っている会社は、自社のサイトの訪問者の情報にも関係します。

公表された内容

• 期間：不正アクセスは2026年9月30日〜10月1日（日本時間、現時点で確認できている期間）。10月13日に社内の調査で見つけ、10月13〜14日に脆弱性を直して経路を塞いだとしています
• 原因：Studio の一部の機能の脆弱性が悪用され、クラウド環境の中のデータを外から取り出せる状態になっていたとしています。詳しい原因は外部の専門機関に調査を頼む方向で調整中です
• 流出のおそれがある情報：Studio のアカウント情報（ユーザー名・メールアドレス・ハッシュ化されたパスワードなど）、デザインや CMS の内容、フォームに送られた内容、ライブプレビューの URL、API 連携のキーやトークン、パスワード保護ページのパスワード、Google スプレッドシート連携の認証情報、Webhook の通知先 URL など。暗号化していた項目も、復号の鍵が同じ不正アクセスで読み出されたため、中身を知られたおそれがあるとしています
• 対象と件数：現時点ではすべての顧客（2022年12月〜2023年8月の「Studio AI」の先行申込者を含む）。件数は精査中で、続報で知らせるとしています
• 取得の有無：第三者が実際にデータを取得した事実は確認できていないものの、取得されたものとみなして対応しているとしています。データの書き換え・削除の記録は確認されていません。不正ログインなどの二次被害の有無は調査中です
• 会社の対応：認証情報の切り替え、暗号化の鍵の切り替え（10月17日）と保存済みデータの暗号化のし直し、10月14日未明の全利用者の一斉ログアウト、個人情報保護委員会など関係機関への対応を進めているとしています

利用者に求められていること

• すべての利用者：メールアドレスとパスワードでログインしている人は Studio のパスワードを変える（同じパスワードをほかで使っていればそちらも）。ライブプレビューの URL を消し、必要なら作り直す。Studio を名乗るフィッシングに注意する（同社はパスワードなどを求める連絡をしないとしています）
• 一部の機能の利用者（10月16日に個別のメール）：API 連携のキーの切り替え、パスワード保護ページのパスワードの変更、Google スプレッドシート連携のつなぎ直し、カスタムプロキシのキーの差し替え（メールを受け取ってから30日以内）、Webhook の通知先の切り替えなど
• フォーム機能の利用者：個人情報保護委員会への個別の報告は、委員会の求めでいったん保留するよう案内しています（10月17日の発表）。一方、フォームを送った本人への通知が必要になる場合があるとして、サイトの運営者に検討を求めています

中小企業が今日からできること

• 自社のサイトが Studio で作られていないか確かめる：制作会社に任せている場合も、どのサービスで作ったかを問い合わせる。10月16日の Studio からのメールが届いていないか、受信箱を探す
• フォームに集めた情報を棚卸しする：問い合わせ・申し込みのフォームで、いつから・どんな項目を・何件集めたかをまとめ、本人への通知や問い合わせへの答え方を決めておく
• つないでいる鍵を全部替える：Web 制作サービスに預けた API キー・スプレッドシートの連携・Webhook の URL を一覧にし、サービス側の案内に沿って切り替える
• パスワードの使い回しをやめる：制作サービスの管理者アカウントのパスワードを、ほかと違うものに変え、使えるなら多要素認証を有効にする
• フォームの回答を外のサービスに貯めすぎない：不要になった回答は消す設定・運用にし、預ける情報をできるだけ少なくする