ホームページ作成ツールStudioで不正アクセス、全顧客に影響の可能性

ノーコードのWeb制作ツール「Studio」を提供するStudio株式会社は2026年10月16日、同社のクラウド環境への不正アクセスを公表しました。Studioによると、登録しているすべての顧客に影響が出る可能性があります。ホームページ制作を発注した中小企業や、Studioで制作・運用している制作会社にとって、自社サイトの問い合わせフォームに届いた情報や、連携しているAPIキーが関係してくる話です。国の機関や自治体も、Studioを使っていたサイトで、個人情報が漏れた可能性があると、続けて発表しています。この記事では、Studioの公式発表を中心に、確認しておきたいことを整理します。

9月30日からの不正アクセスと、10月14日までの経過

Studioの公式発表（10月16日付、10月18日まで更新）によると、第三者が、同社の一部機能の脆弱性を悪用してクラウド環境に不正アクセスし、環境内のデータを取得できる状態にしていました。時系列は次のとおりです（日本時間）。

  • 9月30日〜10月1日：不正アクセス（これまでに確認された期間）
  • 10月13日：社内調査で不正アクセスを確認
  • 10月13日〜14日：脆弱性を修正し、侵入経路を遮断
  • 10月16日：第一報を公表

Studioは、第三者が実際にデータを取得した事実は確認できていないものの、取得されたものとして扱っている、と説明しています。データを取得できる状態は、10月14日に対処するまで続いていました。データの改ざんや削除は、現時点で確認されていません。第三者が取得した認証情報には、データを書き換えられる権限も含まれていましたが、すでに無効化されていて、操作の記録上、顧客データへの変更はない、としています。影響を受けた顧客の数、二次被害の調査結果、原因と再発防止策は、公表の時点では未確定です。

流出の可能性がある情報：フォームの送信内容、APIキー、トークンなど

Studioが挙げている、流出した可能性のある情報は、次のとおりです（表は、公式発表の分類を、この記事で整理したものです）。

流出の可能性がある情報（Studio公式発表より）
区分内容
アカウント情報ユーザー名、メールアドレス、ハッシュ化されたパスワード
コンテンツと設定デザインエディタとCMSのコンテンツ、フォームの送信内容、reCAPTCHA v3の設定、Webhook URL、ライブプレビューURL
認証情報外部サービスのAPIキーとトークン、ページ保護のパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー

パスワードは、ハッシュ化されていて、平文では保存されていませんでした。一方で、フォームの送信内容やAPIキーなど、暗号化して保存されていた項目についても、同じ不正アクセスで復号のための鍵が読まれたため、流出した可能性があるとされています。フォームの送信内容は、ゴミ箱の回答やテスト送信、プランの上限を超えて表示されなかった回答も対象で、ファイルはファイル名だけが対象です（Googleフォームなど、外部のフォームを埋め込んでいる場合は対象外）。2022年12月から2023年8月の「Studio AI」の先行利用の申込者は、メールアドレス、ユーザー名、IPアドレスから推定した国が、流出した可能性があります。Studioのアカウントを持たない人にも、個別に連絡するとしています。

Studioが利用者に求めている対応

公式発表の「お願い」は、全員向けと、特定の機能を使っている人向けに分かれています。

  • 全員：メールアドレスとパスワードでログインしている場合は、Studioのパスワードを変更する。ほかのサービスで同じパスワードを使い回している場合は、そちらも変更する。ライブプレビューURLは、削除して、必要なら新しく発行する。Studioを名乗るフィッシングのメールやメッセージに注意する（Studioが、メールや電話でパスワードや認証情報を尋ねることはない）
  • API連携：APIキーを切り替える
  • パスワード保護ページ：パスワードを変更する
  • フォーム：送信されたデータに関する通知を確認する
  • Googleスプレッドシート連携：Studio側で連携を解除し、Googleの「リンク済みアプリ」からStudioのアクセスを削除してから、再連携することを勧めている（流出した可能性のある認証情報は、すでに使えないため、連携はそのまま使えるとされています）
  • カスタムプロキシ：Studioが発行した新しいプロキシキーに、サーバー側を差し替えてから、Studioに知らせる（Studioは、その後に古いキーを無効にします。期日は、10月16日のメールを受け取ってから30日以内）
  • Webhook：新しい通知URLに切り替える

reCAPTCHA v3については、シークレットキーの一律の差し替えは求めていません（詳しくは、Studioのよくある質問を参照とされています）。一部の機能向けの依頼は、プロジェクトのオーナーに、個別のメールで届きます。制作会社がオーナーになっている場合、発注した側には直接届かないこともあります。問い合わせは、Studioにログインしている人は、サポートセンターから、ログインできない人、契約の管理だけを担当している人、アカウントを持たない人は、公式発表にあるフォームから、24時間受け付けています（回答は平日10時〜18時に順次）。個人情報保護委員会への報告についての案内も、10月17日と20日に、Studioの公式発表に追記されています。

デジタル庁と埼玉県の施設でも、個人情報が漏れた可能性

デジタル庁は10月22日、「Studio株式会社における不正アクセスによる個人情報の漏えいの可能性について」を発表しました。デジタル庁が、ホームページ運営の一部でStudioのサービスを使っていたためで、Studioからの報告を受けたのは10月16日です。流出した可能性があるとされるのは、2021年5月から2023年3月までに、お問合せフォームに入力された内容（氏名やメールアドレスは、任意で記入した場合）で、一般的なご意見・ご要望が最大8,833件、採用に関するお問合せが最大250件、接種証明書アプリに関するお問合せが最大3,661件などです（範囲は精査中）。Studioのアカウント情報も35件が対象で、デジタル庁は、現時点で二次被害は確認されていないとし、不審なメールや電話、SMSへの注意を呼びかけています。

埼玉県も10月16日に、県の施設「さいたま緑の森博物館」の指定管理者が、Studioのクラウドサービスをイベント申込と問い合わせに使っていたとして、162件の個人情報が漏れた可能性があると発表しています。実際に漏えいしたかどうか、範囲は確認中で、不正利用は確認されていないとされています。

制作を発注している側が確認したいこと

ここからは筆者の見方です。今回の件で、制作を発注した側にとって重要なのは、「自社サイトがStudioで作られているか」と「そのサイトのフォームに、どんな個人情報が入っているか」を、早く把握することだと考えます。使っているツールを発注側が把握していないと、今回のような場合に、対応が遅れることがあります。

確認の流れとしては、制作会社に、使用しているツールとフォームの仕組みを尋ね、Studioを使っている場合は、Studioからの通知メールが届いていないかを確かめます。Studioの個別の案内は、プロジェクトのオーナーにメールで届くため、制作会社がオーナーになっている場合は、制作会社に確認しておくと安心です。そのうえで、フォームの送信内容に、氏名や連絡先などの個人情報が含まれていたなら、通知や対応の必要性を、制作会社や専門家に相談するのがよいと考えます。個人情報保護法に基づく対応の判断は、個別の事情で変わるため、個人情報保護委員会の案内や専門家に確認してください。

参考にした公式情報

2026年10月24日時点の情報です。