Webサイト制作プラットフォーム「Studio」を運営するStudio株式会社は2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあり、顧客から預かっている情報が外部に流出した可能性があると公表しました。
Studioによると、第三者がStudioの一部機能の脆弱性を悪用してクラウド環境へ不正にアクセスしていたことを、2026年10月13日に社内調査で確認しました。
不正アクセスを確認した期間
現時点でStudioが不正アクセスを確認できている期間は、2026年9月30日から10月1日まで（日本時間）です。
一方、クラウド環境内のデータを外部から取得できる状態は、Studioが対処を行った2026年10月14日まで継続していたとしています。
実際に第三者がデータを取得した事実については現時点で確認できていませんが、Studioでは情報が取得されたものとみなして対応を進めています。
流出した可能性のある情報
Studioが公表している流出した可能性のある情報には、Studioアカウントに関する情報や、Studio上で管理されているデータ、各種設定に含まれる認証情報などが含まれます。
- Studioアカウントのユーザー名、メールアドレス、ハッシュ化されたパスワードなど
- デザインエディタやCMSで管理されている内容
- Studioのフォーム機能を通じて送信された内容
- フォームに添付されたファイルのファイル名
- 各種設定に含まれる認証情報
フォームに添付されたファイルについては、ファイル名が対象となる一方、ファイルの中身は対象に含まれないとしています。
暗号化されたフォーム送信内容も対象となる可能性
Studioから対象ユーザーに送信された案内によると、Studioのフォーム機能に送信された内容について、暗号化して保存されていたデータも流出した可能性があります。
これは、暗号化されたデータの復号に必要な鍵についても読み出された可能性があるためで、氏名、メールアドレス、電話番号など、各プロジェクトのフォームに設定されていた項目の内容を第三者に知られた可能性があるとしています。
Studioは、フォームを通じてサイト利用者の個人情報を取得している事業者について、状況によっては個人情報取扱事業者として個人情報保護委員会への報告や本人への通知が必要となる場合があると案内しています。
Googleスプレッドシート連携の解除を呼びかけ
Studioのフォーム回答をGoogleスプレッドシートへ連携している場合、Studioは連携を一度解除するよう呼びかけています。
連携に使用していた認証情報についても流出した可能性のある情報に含まれるためで、引き続きGoogleスプレッドシートを利用する場合は、既存の連携を解除したうえで改めて連携するよう案内しています。
パスワード変更やライブプレビューURLの再発行も推奨
Studioはすべてのユーザーに対し、メールアドレスとパスワードを使用してStudioへログインしている場合はパスワードを変更するよう求めています。
GoogleログインまたはFacebookログインのみを利用し、Studioのパスワードを設定していない場合は変更不要としています。
また、ライブプレビューURLを発行している場合は既存URLを削除し、引き続き共有が必要な場合は新しいURLを発行するよう案内しています。
脆弱性は修正済み、二次被害は調査中
Studioによると、不正アクセスに悪用された脆弱性はすでに修正され、不正アクセスに利用された経路も遮断されています。
同社システムで使用していた決済やログインなどの認証情報については新しいものへ切り替え、そのほかの認証情報についても順次無効化・変更を進めています。
現時点でデータの改ざんや削除は確認されておらず、二次被害の有無については引き続き調査中としています。
Studioを装った不審なメールにも注意
今回の情報流出の可能性を受け、Studioは同社を装った不審なメールにも注意するよう呼びかけています。
Studioがパスワードや認証情報をメールや電話などで確認することはないとしており、今回の事案に便乗したフィッシングメールや偽サイトにも注意が必要です。
Studioは本件について個人情報保護委員会へ報告するとしており、新たに判明した事項については改めて案内するとしています。