Studioの不正アクセスで何が起きた？情報流出の可能性と利用者の対応を解説
この記事の目次 読みたい項目へ移動
確認日：2026年10月18日（JST）。Studioの第一報と10月17日のフォームに関する続報を確認しています。調査中の事案のため、対応時は公式の最新案内を優先してください。
2026年10月16日、Web制作サービス「Studio」が、不正アクセスと情報流出の可能性を公表しました。この記事では、利用者が確認すべき対応、発表された経緯、影響の可能性がある情報を整理します。
30秒で分かる要点
- 対象フォームの運営者：10月17日、Studioは、これから行う個人情報保護委員会への個別報告を一旦保留するよう案内しました。本人通知の検討は継続する案内です。
- 利用者の対応：該当するパスワードの変更、プレビューURLの削除、プロジェクトごとの個別案内の確認を進めます。
- 事実の区別：不正アクセスは確認されています。一方、第三者による顧客データの実際の取得は未確認で、対象範囲・件数は精査中です。
出典：Studio 不正アクセスに関するお知らせ（第一報）／フォームに関する10月17日の案内。
Studio利用者がいま確認すること
使っている機能によって必要な対応が異なります。制作会社に管理を任せている場合も、誰が案内を受け取り、どのプロジェクトを確認するかを共有してください。
| 利用状況 | 確認すること・行うこと |
|---|---|
| メールアドレスとパスワードでログイン | Studioのパスワードを変更。同じものを使い回しているサービスも変更します。 |
| Google／Facebookログインのみ | Studioのパスワードを設定していなければ、その変更は不要です。ほかの機能の確認は引き続き必要です。 |
| ライブプレビューURLを発行済み | 発行済みURLを削除。共有を続ける場合は、削除後に再発行します。 |
| フォームで個人情報を取得 | 10月16日の個別メールで対象プロジェクトを確認し、10月17日の続報と照合。個別報告と本人通知を分けて対応します。 |
| API連携・保護ページ・外部連携を利用 | プロジェクトのオーナー宛ての個別案内を確認し、該当する手順を実施。案内が届いていなければStudioへ問い合わせます。 |
| すべての利用者 | Studioを装う連絡に注意。Studioはメールや電話でパスワードや認証情報を尋ねないと案内しています。 |
出典・操作手順：Studio第一報「お客様へのお願い」、パスワードの変更方法、ライブプレビューURLの削除方法。
フォーム利用者：10月17日の変更点
Studioの続報では、フォームから取得した個人情報について、これから個人情報保護委員会へ行う個別報告のみ、いったん保留するよう案内しています。Studioが取りまとめ、利用者とStudioの連名で報告できるか、委員会と協議する予定とされています。その実施可否や、保留中の報告期限の扱いはまだ確定していません。
本人通知は別の対応です。本人通知とは、情報が影響を受けた可能性のある方に、その内容などを知らせることです。Studioは本人通知の検討を引き続き求めています。「すべての対応が保留」「報告が免除された」「期限が延びた」とは読み替えられません。
対象プロジェクトは10月16日の個別メールに記載されています。メールが見つからない場合は、オーナーや管理担当者への確認とあわせてStudioに問い合わせてください。自社にどのような報告・通知が必要かは、取り扱う情報や状況により異なるため、公式の続報を確認し、不明点は公式窓口や専門家に相談します。
出典：Studio フォームに関する10月17日の案内。本節はStudioの案内の要約であり、各事業者の法的義務を判断するものではありません。
何が起きたか：公表された経緯
Studioの説明では、一部機能の脆弱性が悪用されました。脆弱性とは、不正な操作などにつながり得る、システムの弱点です。具体的な侵入手口や内部の構成は公表されていません。
- 9月30日〜10月1日確認されている不正アクセスの期間。
- 10月13日社内調査で不正アクセスを確認。
- 10月13日〜14日脆弱性の修正とアクセス経路の遮断。外部からデータを取得できる状態は14日に解消。
- 10月16日第一報を公表。対象のフォーム利用プロジェクトへ個別案内。
- 10月17日フォームに関する続報。これから行う個別報告の保留と、本人通知の検討継続を案内。
出典：Studio第一報、10月17日の続報。図は出来事の順序を示しており、期間の長さを比較するものではありません。
「取得できる状態」と「実際に取得された」は別
確認された不正アクセスの期間は9月30日〜10月1日です。一方、外部からデータを取得できる状態が解消したのは10月14日。この状態が始まった正確な日時は公表されていません。9月30日から10月14日まで侵入が続いていた、と確定したわけではありません。
Studioは、第三者が顧客データを実際に取得したことや、データの改ざん・削除は確認されていないとしています。対象となる顧客の範囲と件数は精査中で、二次被害の有無も調査中です。「未確認」は「起きていないことが確認できた」という意味ではないため、利用者は案内された対策を進める必要があります。
出典：Studio第一報「経緯」「流出した可能性のある情報」。具体的な被害の有無を、この記事から個別に判定することはできません。
影響の可能性がある情報
Studioは、登録しているすべての顧客に関係する情報が流出した可能性があると公表しています。次の表は対象情報を読みやすく分類したものです。掲載された情報がすべて流出したと確認された、という意味ではありません。
| 情報の種類 | 対象とされている内容 |
|---|---|
| アカウント情報 | ユーザー名、メールアドレス、ハッシュ化されたパスワード。 |
| サイトの管理データ | デザインエディタ・CMSの内容、フォームの送信内容、reCAPTCHA v3の設定、Webhook URL。 |
| 共有用のURL | ライブプレビューURL。 |
| 連携・認証情報 | 外部サービスのAPIキー・トークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー。 |
| Studio AIの先行申込情報 | 2022年12月〜2023年8月の申込者のメールアドレス・ユーザー名・居住国（申込時の接続元IPからStudioが判定した国）。Studioアカウントを持っていない方も含まれます。 |
出典：Studio第一報の対象情報一覧。Studio AIの当初の名称は「Auto」です。
CMSは記事などの内容を管理する機能です。APIキーやトークンは、別のサービスとの接続を認めるための情報、Webhookは別のシステムへ通知を送る仕組みを指します。公開ページに見える内容だけでなく、管理画面に保存した内容や接続情報も確認対象に含まれています。
連携情報を変更すると、接続先の処理にも影響することがあります。どのサービスにつながっているか、誰が設定を管理しているかを確認し、届いた個別案内に沿って対応してください。サイトが普段どおり表示されるかどうかだけで、影響の有無は判断できません。
暗号化・ハッシュ化・復号鍵の違い
今回の発表には、情報の保存方法を表す2つの言葉が出てきます。どちらも元の情報をそのまま保存する方法ではありませんが、元に戻す仕組みがあるかどうかが異なります。
- 暗号化
- 内容を読めない形に変え、必要なときに鍵で元に戻す仕組みです。元に戻すための鍵を「復号鍵」と呼びます。暗号化された情報と復号鍵の両方を取得されると、内容を知られるおそれがあります。
- ハッシュ化
- 入力した値から、照合用の値を作る仕組みです。鍵で元に戻す方式ではありません。ただし、候補を試して一致を探すことはできるため、短いパスワードなどには推測されるリスクが残ります。
一般的な仕組みの出典：OWASP Password Storage Cheat Sheet（英語）。図はStudioの内部構成を示すものではありません。
Studioは、フォーム送信内容や連携情報など、暗号化して保存していた情報について、今回の不正アクセスで復号鍵も読み出されたため、内容を知られた可能性があるとしています。一方、Studioアカウントとパスワード保護ページのパスワードはハッシュ化して保存しており、元の文字列のままでは保存していないと説明しています。
したがって、「すべてのパスワードが元の文字列のまま流出した」とは言えません。また、「ハッシュ化されているから変更は不要」とも言えません。保存方法の説明と、利用者に求められている変更手順を分けて確認することが大切です。
出典：Studio第一報の暗号化・ハッシュ化に関する説明。具体的なハッシュ方式や鍵の保存構成は公表されていません。
確認先と、対応するときに残しておく記録
自分のアカウントやプロジェクトが対象か、個別案内のどの手順を行うか分からない場合は、Studioの公式窓口で確認してください。問い合わせ経路は次のように案内されています。
- ログインできる方：サポートセンターの「メッセージ」から「不正アクセスに関するお問い合わせ」を選びます。
- ログインできない方・契約管理のみを担当する方：公式発表に掲載された専用フォームから問い合わせます。
窓口：Studio公式発表「お問い合わせ窓口」。窓口や手順の変更に備え、公式ページから確認してください。
社内や制作会社と連携する際は、次の情報を一か所にまとめると、対応の漏れや行き違いを減らせます。これは当記事の実務上の提案です。
- 対象プロジェクト名、利用しているフォーム・外部連携、担当者。
- Studioから届いた案内、問い合わせ内容と回答、確認した日付。
- 実施した変更、実施日、まだ確認できていない点と次の確認先。
パスワードやAPIキーそのものを、この記録や通常の問い合わせ文に貼り付ける必要はありません。まずは該当する対応を確認し、判断できない点を公式窓口へつなぐところから進めてください。
出典と更新履歴
本記事の事故に関する記述は、各節でリンクしたStudioの公式発表にもとづいています。調査結果や対応方針は変わる可能性があります。利用者ごとの実被害、報告・通知の要否、サイトの安全性をこの記事で確定することはできません。
- 2026年10月16日：第一報にもとづく初稿を作成。
- 2026年10月18日：10月17日のフォーム続報を反映。個別報告・本人通知の案内と、調査中の事項を更新。
