Studioの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月16日、Studio株式会社は、同社のクラウド環境に第三者の不正アクセスがあったと公表しました（Studio株式会社の発表）。 不正アクセスは9月30日〜10月1日（現時点で確認できている期間）で、Studio の一部の機能の脆弱性が悪用され、クラウド環境の中のデータを外から取り出せる状態になっていたとしています。 現時点の調査では、Studio に登録するすべての顧客について、アカウント情報・デザインや CMS の内容・フォームに送られた内容・API キーなどの認証情報が流出したおそれがあるとしています。 件数は精査中です。第三者が実際に取得した事実は確認できていないものの、取得されたものとみなして対応しているとしています。 2026年10月20日の続報では、フォーム機能を使う顧客の個人情報保護委員会への報告について、Studio がとりまとめて連名で報告する方法と、顧客が個別に報告する方法から選べるようになったと案内しました（本人への通知は連名の報告に含まれません）。

会社の対応

• 10月13日に社内の調査で見つけ、10月13〜14日に脆弱性を直して経路を塞いだ。10月14日未明に全利用者を一度ログアウトさせた
• 認証情報を新しいものへ切り替え、10月17日に暗号化の鍵を切り替えて、保存済みのデータの暗号化のし直しを進めている
• 利用者にパスワードの変更とライブプレビューの URL の削除を求め、API 連携などを使う利用者には機能ごとに個別のメールで案内（10月16日）
• フォーム機能の利用者には、個人情報保護委員会の求めで個別の報告をいったん保留するよう案内（10月17日）
• 10月19日、フォームを送った本人への通知の要否の考え方を案内のページに追加。10月20日、サイトの訪問者向けの案内を追加
• 10月20日、委員会との協議により、委員会への報告を Studio との連名か個別かで選べると案内。連名の申し込み方法は後日案内するとしている
• 不正アクセスの専用の案内のページを設け、件数・二次被害の有無・原因と再発防止策を続報で知らせるとしている

この事例から中小企業が学べること

• 会社のサイトをどの制作サービスで作り、どんな情報を預けているか（フォームの回答・連携の鍵）を一覧にしておく
• 制作サービスに預けた API キーや連携の設定は、すぐ切り替えられるように手順と担当を決めておく
• 問い合わせフォームで集めた情報の件数と保存期間を把握し、要らない回答は消す
• 委託先やサービスで事故が起きたとき、自社のサイトの訪問者へどう知らせるかを決めておく
• サービスを名乗るフィッシングに注意し、案内は公式のサイトで確かめる