Web制作プラットフォーム「Studio」で不正アクセスが発生し、全登録ユーザーのアカウント情報やStudio上のデータが外部へ流出した可能性があることが2026年10月16日に公表されました。
今回注意したいのは、Studioへログインするためのパスワードだけの問題ではないことです。
- 問い合わせフォームへ送信された個人情報
- 公開前ページのURL
- 外部サービスへ接続するAPIキーやトークン
- Googleスプレッドシート連携の認証情報
なども対象に含まれています。
Studioでクライアントサイトを制作・管理しているWeb制作者は、自分のアカウントだけでなく、過去に制作したサイトまで確認する必要があります。
まず知っておきたいこと：Studioユーザーだけの情報漏えいではありません
今回の不正アクセスについて、Studioは「Studioに登録しているすべてのお客様」の情報が外部へ流出した可能性があると説明しています。
しかし、影響を受ける可能性があるのはStudioの利用者だけではありません。
Studioで作られたWebサイトのフォームから問い合わせや申し込みを行った人の情報も、Studioのクラウド環境に保存されていました。
つまり、Studioというサービス名を知らず、企業や店舗、イベントなどのWebサイトからフォームを送信しただけの人も対象になる可能性があります。
公開された情報を整理すると、対象は大きく次の4種類に分けられます。
| 種類 | 流出した可能性がある情報 |
|---|---|
| Studioアカウント | ユーザー名 メールアドレス ハッシュ化されたパスワードなど |
| Webサイト内のデータ | デザインエディタ CMS フォーム送信内容など |
| 公開前情報 | ライブプレビューURL |
| 外部サービスとの接続情報 | APIキー トークン Googleスプレッドシート連携の認証情報 カスタムプロキシキー Webhook URLなど |
CMSは、Webサイトの記事やページなどを管理する仕組みです。
ブログ記事だけでなく、商品情報、採用情報、非公開で準備しているコンテンツなどが保存されているケースもあります。
今回の事故を「Studioのログインパスワードが漏れたかもしれない」と捉えると、影響を小さく見積もってしまいます。
不正アクセスは9月30日〜10月1日、しかし外部から取得できる状態は10月14日まで
Studioが公表している経緯には、二つの日付があります。
| 日付 | Studioが公表している内容 |
|---|---|
| 9月30日〜10月1日 | 現時点で確認されている第三者による不正アクセス |
| 10月13日 | 社内調査で不正アクセスを確認 |
| 10月13〜14日 | 脆弱性を修正し、不正アクセス経路を遮断 |
| 10月14日 | データを外部から取得できる状態を解消 |
| 10月16日 | 第一報を公開 |
| 10月17日 | フォーム利用者向けの追加案内を公開 |
ここで重要なのは、「不正アクセスが確認された期間」と「データを外部から取得できる状態だった期間」が同じではないことです。
第三者によるアクセスそのものについてStudioが現在確認しているのは9月30日から10月1日ですが、クラウド環境内のデータを外部から取得できる状態は10月14日まで続いていたと説明されています。
現時点では、第三者がその期間にどのような方法でデータへアクセスできる状態を維持していたのか、その仕組みは公表されていません。
「第三者が取得した事実は確認されていない」＝安全ではありません
公式発表では、「第三者に取得された事実は確認できていない」とされています。
一方でStudio自身が、対象情報について「取得されたものとみなして対応を進めている」と説明しています。
セキュリティ事故では、ログなどからデータが持ち出された証拠を発見できないことと、持ち出されていないことは同じではありません
特に今回注意したいのが、暗号化されていた情報です。
Studioによると、以下の情報には暗号化して保存されていたものがあります。
- フォームに送信された内容
- 外部サービスのAPIキーやトークン
- Googleスプレッドシート連携の認証情報
- カスタムプロキシのキー
- Google reCAPTCHA v3の設定情報
- Webhook通知のURL
通常、保存されたデータが暗号化されていれば、データだけが流出しても内容を読むことは難しくなります。
ところが今回は、復号に必要な鍵も同じ不正アクセスによって読み出されたとStudioが説明しています。
そのため、「暗号化されていたから大丈夫」と判断することはできません。
APIキーの問題はStudioのパスワード変更では解決しません
今回の情報の中でも、Web制作者が特に注意したいのがAPIキーやアクセストークンです。
APIキーは、外部サービスへ接続するときに使う認証情報です。Studioでは、Notion、microCMS、Airtableなど外部サービスのAPIを利用し、Webサイトにデータを表示する機能があります。
APIキーにどのような権限が付与されているかは、接続先によって異なります。
読み取り専用のキーであれば閲覧できるデータが問題になりますが、より強い権限を持つ認証情報であれば、外部サービス側の操作や課金につながる可能性もあります。
そのため必要なのは、Studioのパスワード変更だけではありません。
Studioに登録していたAPIキーやトークンについては、発行元のサービス側で古いキーを無効化し、新しいキーへ切り替える必要があります。
Studioも対象ユーザーにキーの切り替えを案内しています
あわせて、外部サービス側にアクセスログや利用履歴、課金履歴が用意されている場合は、9月30日以降に身に覚えのない利用がないか確認しておいた方が安全です。
Googleスプレッドシート連携も確認が必要です
Studioのフォームでは、送信された回答をGoogleスプレッドシートへ自動で記録できます。
今回、この連携に使用される認証情報も外部から読み取られた可能性があります。
Studioは対象ユーザーに対して、Googleスプレッドシートとの連携解除を案内しています。
ただし、Googleアカウントそのもののパスワードを変更すればすべて解決する、という種類の問題ではありません。
Googleでは、Googleアカウントへアクセスできるサードパーティ製アプリやサービスをアカウント設定から確認し、個別にアクセス権を削除できます。
Studioでスプレッドシート連携を利用していた場合は、Studio側で連携を解除するとともに、Googleアカウントの「サードパーティとの接続」も確認しておくと安心です。
必要な連携については、安全を確認した後に改めて設定できます。
フォーム情報は数年前のものまで対象になっている企業があります
今回の事故では、「最近フォームを送った人だけが対象」とは限りません。
Studioを利用している企業から、対象となるフォームデータについて個別の発表が始まっています。
LUUPは、自社サイトの複数フォームについて、2022年から2025年にかけて送信された合計21,368件を流出した可能性のある情報として公表しました。氏名、メールアドレス、電話番号、住所、会社名、部署名などが含まれ、自由記述欄にはそれ以外の情報が含まれる可能性もあります。
ZENTechも、2021年から2026年までにフォームから送信された内容が対象になる可能性があると公表しています。
もちろん、これらは各企業がStudio上に保存していたデータの範囲であり、すべてのStudioサイトで同じ期間のデータが残っているという意味ではありません。
ただし、「すでに終了したキャンペーンだから」「数年前の問い合わせフォームだから」と確認対象から外すのは危険です。
過去に制作したStudioサイトがある場合は、現在公開しているサイトだけでなく、旧サイトや終了済みLPも確認した方がいいでしょう。
問い合わせフォームは「メールアドレスだけ」とは限りません
フォーム情報の影響が大きい理由は、入力される内容をサービス側が完全には予測できないためです。
一般的なお問い合わせフォームでも、氏名、メールアドレス、電話番号、勤務先などが入力されます。
採用フォームであれば、職歴や希望職種が含まれることもあります。イベント申し込みでは所属先や住所、アンケート回答を求めることがあります。
さらに注意したいのが自由記述欄です。
利用者が自身の事情を詳しく説明していれば、制作者が想定していなかった個人情報が入力されている可能性があります。
「自分のフォームには機密情報を入力する項目がなかった」と判断するだけではなく、過去の回答データに何が含まれているかを確認する必要があります。
Web制作者はクライアントサイトも確認してください
フリーランスや制作会社がStudioで企業サイトを制作した場合、事故対応の主体が誰になるかは契約やデータの管理状況によって異なります。
Web制作者がクライアントから委託を受けてサイトを構築しただけであれば、すべての法的対応を制作者自身が行うとは限りません。
一方で、制作者しかStudioの管理画面へアクセスできない、APIキーを制作者が管理している、フォーム設定を保守契約の範囲で担当している、といったケースもあります。
少なくとも、管理中のStudioサイトについては次の項目を洗い出してください。
- 現在管理しているStudioプロジェクト
- 過去に制作し、現在もアカウントに残っているプロジェクト
- Studioフォームを使用しているサイト
- API連携を設定したサイト
- Googleスプレッドシート連携を使用したサイト
- パスワード保護ページを使用したサイト
- カスタムプロキシを設定したサイト
- Webhookを設定したサイト
- ライブプレビューURLを発行した案件
該当するものがあれば、クライアントにも今回の事案を共有した方がいいでしょう。
Web制作者・サイト運営者が今やること
対応を整理すると、次の順番で確認すると進めやすくなります。
Studioアカウント
メールアドレスとパスワードでログインしている場合は、Studioのパスワードを変更してください。
ほかのサービスで同じパスワードを使用している場合は、そちらも変更します。
GoogleまたはFacebookログインだけを利用し、Studio独自のパスワードを設定していない場合は、Studioはパスワード変更を不要と案内しています。
ライブプレビュー
発行済みのライブプレビューURLは削除してください。
引き続きクライアントなどへ共有する必要がある場合は、削除後に新しいURLを発行します。
API連携
Studioに登録したAPIキーやトークンを確認し、接続先サービス側で古いキーを無効化して新しいものを発行します。
可能であれば、外部サービスのアクセスログや利用履歴も確認します。
Googleスプレッドシート
Studio側で連携を解除してください。
Googleアカウント側でもサードパーティとの接続状況を確認し、不要なアクセス権が残っていないか確認します。
パスワード保護ページ
ページ用のパスワードを変更します。
Studioアカウントのパスワードとは別に設定されているため、こちらも確認が必要です。
カスタムプロキシ
新しいプロキシキーへ切り替えます。
Webhook
Webhook通知先のURLを変更します。
SlackのIncoming Webhookなど、URLそのものが認証情報として機能するサービスもあります。該当する場合は旧URLを無効化し、新しいURLを発行してください。
フォーム
どのプロジェクトの、どのフォームデータがStudio上に保存されているか確認します。
氏名や連絡先だけでなく、自由記述欄、添付ファイル、過去の応募・問い合わせ情報も確認対象です。
フォーム利用者は個人情報保護委員会への報告も関係します
Studioは10月16日、フォームを通じて個人情報を取得している利用者に対し、個人情報保護委員会への報告や本人への通知が必要になる場合があると案内しました。
翌17日には追加案内を出し、これから個人情報保護委員会へ報告する利用者については、個別の報告をいったん保留するよう要請しています。
これは、報告そのものが不要になったという意味ではありません。
Studioによると、個人情報保護委員会からの要請を受け、Studioとサイト運営者の連名で報告できるか協議している段階です。
一方、フォームを送信した本人への通知については、引き続き各サイト運営者側で対応を検討するよう案内されています。
個人情報保護法では、個人の権利利益を害するおそれがある漏えい等について、個人情報保護委員会への報告や本人への通知が必要になる場合があります。
委託先のサービスで事故が起きた場合でも、委託元となるサイト運営者側に対応が必要になるケースがあります。
ただし、どの事業者がどの義務を負うかは、データの種類や契約関係、管理方法などによって異なります。
Studioフォームを利用して個人情報を取得していた企業・事業者は、Studioから届く案内だけでなく、自社の個人情報管理担当者や必要に応じて専門家へ確認してください。
「個人情報保護委員会への報告保留」と「何もしない」は別です
10月17日のStudioの案内だけを見ると、「委員会への報告は待っていい」と受け取ってしまう可能性があります。
ただし、現在保留するよう案内されているのは、個人情報保護委員会への個別報告です。
- フォーム利用者への通知
- クライアントへの共有
- 流出した可能性のある認証情報の交換
- 二次被害を防ぐための対応
まで待つよう求められているわけではありません。
特にAPIキーやトークンのような認証情報は、漏れた可能性がある時点で交換するのが安全です。
Studioから続報が出るまで何もせず待つのではなく、現在判明している範囲で無効化できる認証情報は先に無効化しておく方がいいでしょう。
現時点で、まだ分かっていないことも多い
2026年10月18日時点の公式情報では、今回の事故について重要な点がまだ確定していません。
特に次の情報は続報待ちです。
- 影響を受けたユーザー・プロジェクトの正確な件数
- 流出した可能性があるフォーム回答の総件数
- 悪用された脆弱性の詳細
- 第三者がどの範囲までアクセスしたのか
- 第三者がデータを取得したことを示す痕跡の有無
- 9月30日〜10月1日の不正アクセス後、なぜ10月14日まで外部からデータを取得できる状態が続いていたのか
- 不正利用やフィッシングなどの二次被害が発生しているか
- 原因調査の結果
- 再発防止策
これらが分からない以上、現時点で「被害はなかった」「この範囲だけ対応すれば安全」と断定することはできません。
反対に、第三者がすべての対象情報を持ち出したと断定する根拠もありません。
現段階では、Studioが流出した可能性を認めている情報については、第三者に知られた可能性があるものとして扱うのが現実的です。
「データの改ざんなし」でも安心できない理由
Studioは、現時点でデータの改ざんや削除を確認していないと説明しています。
これはWebサイトの内容が書き換えられたり、データそのものが消されたりした事実が確認されていないという意味です。
一方、今回問題になっているのは主に「機密性」です。
情報セキュリティでは、情報を守る考え方として「機密性」「完全性」「可用性」があります。
- 機密性は、許可されていない人に情報を見られないこと
- 完全性は、情報が勝手に書き換えられないこと
- 可用性は、必要なときに利用できること
を指します。
データが一切書き換えられていなくても、コピーされて外部へ持ち出されれば機密性の問題は発生します。
そのため、「サイトは正常に表示されている」「データは消えていない」ということと、情報漏えいのリスクは別に考える必要があります。
Studioでサイトを作った覚えがなくても、影響を受ける可能性があります
今回の事故で最も見落とされやすいのはこの点かもしれません。
Studioを使ったことがなくても、Studioで作られたWebサイトの問い合わせフォーム、資料請求フォーム、イベント応募フォーム、採用フォームなどへ情報を送ったことがあれば、送信した情報が対象になっている可能性があります。
どのWebサイトがStudioで作られているかを、一般の利用者が意識していることはほとんどありません。
そのため、今後はStudioを利用している企業や団体から、個別に情報流出の可能性について通知が届くことが予想されます。
実際に複数の企業・団体がすでに対象フォームや対象期間を公表し始めています。
心当たりのある企業から案内を受け取った場合は、対象となる情報を確認するとともに、その企業やStudioを装ったフィッシングメールにも注意してください。
今回の事故は、Web制作ツールの利用者だけに閉じた問題ではありません。企業サイトを制作するデザイナーや制作会社、そのクライアント、そしてサイトから情報を送信した利用者まで影響が広がる可能性があります。
Web制作者にとっては、制作ツールを選ぶときにデザイン機能や更新のしやすさだけでなく、フォームや外部サービスとの連携によって「どの情報をそのサービスへ預けることになるのか」を改めて考えるきっかけにもなりそうです。
