Studioの不正アクセス 第2報｜委員会への報告を連名で行えるように

Web 制作サービス「Studio」のクラウド環境への不正アクセスを公表していた Studio株式会社が2026年10月20日、フォーム機能を使う顧客に向けた続報を出しました。 個人情報保護委員会との協議の結果、フォームに集めた個人情報についての委員会への報告を、Studio がとりまとめて顧客と Studio の連名で行う方法と、顧客が個別に行う方法から選べるようになったとしています（Studio株式会社の発表）。 会社の問い合わせフォームなどを Studio で作っている会社に関係します。

公表された内容

• 連名での報告：Studio がとりまとめ、顧客と Studio の連名で委員会へ報告する。申し込みの方法と受付の期間は後日案内するとしています。この方法で報告した場合、本件に限り、速報の目安の期間を過ぎても報告の遅れとは扱われないとしています
• 個別での報告：10月17日に案内した「いったん保留」にかかわらず、顧客が自分で委員会へ報告できる。すでに個別に報告した顧客の分は受け付け済みで、連名へ切り替えることもできるとしています
• 本人への通知は別：連名の報告は委員会への報告だけが対象で、フォームを送った本人への通知は含まれません。通知が必要な場合は、サイトの運営者が行う必要があるとしています
• 通知の要否の考え方（10月19日に案内のページへ追加）：氏名やメールアドレスなど個人を識別できる情報が含まれる回答は、送信の目的や中身だけを理由に通知の対象外にはできず、原則として通知が必要としています。連絡先がないなど通知が難しい場合は、公表などで代えることが認められるとしています
• サイトの訪問者への案内（10月20日に追加）：フォームの送信内容はサイトの運営者が管理し、Studio は委託を受けて保管しているとして、個別の送信内容の問い合わせはサイトの運営者へ、と案内しています
• 件数・原因：機能ごとの件数は精査中、詳しい原因と再発防止策は外部の専門機関の調査を待つとしています（10月20日時点の案内のページ）

経緯

• 2026年10月16日：第一報。9月30日〜10月1日のクラウド環境への不正アクセスで、全顧客のアカウント情報やフォームの送信内容などが流出したおそれがあると公表
• 2026年10月17日：フォーム機能の利用者に、委員会の求めで個別の報告をいったん保留するよう案内。暗号化の鍵を切り替え
• 2026年10月18日：不正アクセスについての案内のページを公開
• 2026年10月19日：本人への通知の要否についての考え方を案内のページに追加
• 2026年10月20日：委員会への報告を連名か個別かで選べるとする続報。ログイン時のお知らせとメールでも順に案内

中小企業が今日からできること

• 連名か個別かを決める：自社のフォームで個人情報を集めていたなら、Studio からのメールとログイン時のお知らせを確かめ、どちらで報告するかを決める。連名にするなら、後日の申し込みの案内を見落とさないよう担当を決める
• 本人への通知の準備を進める：連名の報告に本人への通知は含まれない。フォームの回答から、氏名・メールアドレスなどが入った件数と連絡先の有無を数え、通知の文面と送り方を決める
• 問い合わせへの答え方を決める：自社のサイトの訪問者から問い合わせが来たときの窓口と説明を用意する。Studio の案内のページ（サイトの利用者向けの節）を説明に使える
• 連携の鍵の切り替えが済んだか確かめる：API キー・Google スプレッドシート連携・Webhook の URL・パスワード保護ページのパスワードを、第一報の案内どおり切り替えたかを見直す
• Studio を名乗る連絡に注意する：認証情報を求めるメールや電話には応じず、案内は公式のサイトで確かめる