A quién va dirigido: personas que han enviado un formulario de contacto, solicitud de documentos, evento, candidatura de empleo u otro en el sitio de una empresa u organización creado con Studio (studio.design), y empresas, organizaciones y organismos que crean sitios con Studio. Este artículo se basa en los avisos oficiales de Studio Inc. y de las empresas y organizaciones clientes que han divulgado afectación. No trata cómo se llevó a cabo el ataque. Las fuentes están en japonés.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 24 de octubre de 2026Aún no se sabe
- Qué clientes están afectados y cuántos
- Si se ha producido algún daño secundario (inicios de sesión no autorizados, uso indebido de datos)
- Qué función y qué vulnerabilidad (resultados de la investigación de la causa)
- Medidas para evitar que se repita
- Cómo solicitar la notificación conjunta a la PPC y el plazo de solicitud (Studio dice que los anunciará cuando se decidan)
Studio Inc. indica que publicará el alcance y el número de clientes afectados, los resultados de su investigación sobre daños secundarios, y la causa y las medidas de prevención, como seguimientos en su página de avisos una vez confirmados. Al comprobarla el 24 de octubre, la página de avisos se había actualizado por última vez el 18 de octubre. Sobre la notificación a la PPC, Studio indicó el 20 de octubre que los clientes pueden elegir entre notificación individual o conjunta. El 22 de octubre, la Agencia Digital de Japón anunció que el contenido de los formularios de contacto de su sitio web podría haberse filtrado.
Qué deben hacer hoy quienes enviaron formularios
Revise el aviso del propietario del sitio al que envió el formulario
Studio es un servicio que empresas, gobiernos locales y organizaciones usan para crear sus propios sitios web. Si envió un formulario, envió sus datos a la organización que gestiona el sitio, no a Studio. Por tanto, que usted esté afectado depende de qué sitio y qué formulario usó.
Abra el aviso del sitio al que escribió en la tabla "Compruebe si está afectado" de más abajo. Para organizaciones que no están en la tabla, revise la sección de noticias de su sitio oficial. Según Studio Inc., el propietario del sitio podría contactar a quienes enviaron formularios. Si un propietario de sitio le ha avisado, Studio Inc. indica que le pregunte a ese propietario cómo se trata su envío y qué hará el sitio (añadido el 20 de octubre). Indica que conserva los envíos en nombre de los propietarios y que no puede responder preguntas sobre envíos individuales. Las preguntas sobre lo que la empresa ha publicado se atienden mediante su formulario de "consultas sobre acceso no autorizado" (accesible desde su página de orientación, en japonés).
No abra enlaces, ni siquiera en mensajes que mencionen lo que envió
En los formularios la gente escribe más que su nombre y correo. Son habituales los nombres de empresa, teléfonos, direcciones y el detalle de la consulta, y el aviso de Uzabase menciona fecha de nacimiento, género, trayectoria profesional e ingresos.
Un mensaje de alguien que conoce esos datos parece auténtico. Aunque un correo, SMS o llamada haga referencia a algo que usted realmente envió ("sobre su consulta reciente", "gracias por solicitar nuestro folleto"), no abra sus enlaces ni archivos adjuntos; compruébelo mediante los datos de contacto del sitio oficial que usted mismo abra (cómo reconocerlo: ¿Qué es el phishing?).
No dé números de tarjeta ni códigos de verificación por teléfono
Si escribió su número de teléfono o su dirección en un formulario, tenga en cuenta que también son posibles llamadas o cartas que digan proceder de una empresa, no solo correos. Varias empresas clientes indican en sus avisos que nunca piden contraseñas ni números de tarjeta de crédito por correo electrónico o teléfono. Si se los piden, cuelgue y llame al número que figura en el sitio oficial.
Puede recibir un correo de Studio aunque no tenga cuenta de Studio
Studio Inc. indica que el correo electrónico, el nombre de usuario y el país de residencia (estimado por la empresa a partir de la dirección IP usada al solicitarlo) de quienes pidieron acceso anticipado a su función de creación de sitios con IA "Studio AI" (llamada al principio "Auto") entre diciembre de 2022 y agosto de 2023 también podrían haberse filtrado, y los está contactando individualmente. El asunto del correo es (en japonés) "【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び". En esa solicitud no se recopilaron contraseñas ni datos de pago, por lo que no hace falta cambiar la contraseña, según la empresa.
Recuerde que aún estamos en la fase de «podría haberse filtrado»
Studio Inc. indica que no ha confirmado que un tercero haya sustraído realmente los datos. Aun así, los trata como sustraídos. Si se ha producido algún daño secundario está en investigación. No hace falta apresurarse a cancelar nada ni a enviar más datos personales a nadie. No responder a contactos desconocidos es lo que puede hacer ahora.
Compruebe si está afectado (avisos de empresas y organizaciones clientes)
Las empresas y organizaciones que crearon sitios con Studio han publicado cada una sus avisos. La tabla recoge los que este sitio comprobó abriendo la página oficial de cada organización (a 20 de octubre de 2026; la Agencia Digital, comprobada el 24 de octubre). Muchas otras también han publicado avisos.
Las cifras son las indicadas por cada organización. Se cuentan de forma distinta (por ejemplo, si se incluyen envíos repetidos de la misma persona), por lo que no pueden sumarse.
| Organización | Formularios afectados (según lo indicado) | Registros (según lo indicado) | Datos principales (según lo indicado) | Estado | Fecha |
|---|---|---|---|---|---|
| Luup | Cuatro formularios, incluidas solicitudes de instalación de puertos, consultas sobre Unimo y preguntas sobre la Ley de Tráfico Vial revisada (varios periodos, feb. 2022–dic. 2025) | 21.368 en total (incluye envíos repetidos de la misma persona) | Nombre, datos de contacto (correo, teléfono), dirección, empresa y departamento, y más. Los datos registrados en la app LUUP no están incluidos | Posible (empresa) | 16 oct. |
| Link-U Group | El formulario de contacto del sitio corporativo de la empresa (indica que el impacto se limita a los sitios corporativos de la empresa y de sus filiales consolidadas) | 7.663 (a 16 oct.) | Datos no indicados (alcance en comprobación). Sin impacto en los servicios que gestiona el grupo | Posible (empresa) | 16 oct. |
| TRUSTART | Formularios de consulta y de solicitud de documentos en páginas de servicios (dic. 2021–mayo 2026) | Unos 1.440 (incluye envíos repetidos y de prueba) | Nombre, empresa, URL de la empresa, cargo, correo, teléfono, tamaño de la empresa, tipo de consulta. Los datos de usuarios de sus servicios no están incluidos | Posible (empresa) | 19 oct. |
| Prefectura de Saitama (Museo Bosque Verde de Saitama) | Solicitudes de eventos y consultas en el sitio del museo | 162 (a 16 oct.) | Datos no indicados (se comprueba si hubo filtración y su alcance) | Posible (prefectura) | 16 oct. |
| Rewired | Formulario del sitio "App Unity" (hacia feb.–abr. 2024; ya no se usa, pero los datos seguían en Studio) | 6 | Correo, nombre, empresa, teléfono, detalles de la consulta y más | Posible (empresa) | 19 oct. |
| Uzabase | Formularios de contacto de sitios que creó y gestionó con Studio | No indicado | Nombre, fecha de nacimiento, género, dirección, teléfono, correo y otra información introducida en los formularios (afiliación, trayectoria profesional, ingresos, etc.). Las cuentas y contraseñas de Speeda y NewsPicks no están incluidas | Posible (empresa) | 19 oct. |
| Ryukyu Shimpo | Formularios de solicitud y de contacto de su sitio corporativo (algunos datos que seguían en Studio) | No indicado (personas afectadas avisadas por correo el 16 oct.) | Nombre, dirección, correo, empresa, teléfono, detalles de la consulta | Posible (empresa) | 16 oct. |
| Kufu Company Holdings | Cinco empresas del grupo que usaron Studio (Kufu Company, Kufu Sumai, Kufu Wedding, KidsStar, Seven Signatures International) publicaron cada una un aviso | No indicado | Cada empresa comprueba si hay datos afectados y cuáles | En investigación (empresa) | 16 oct. |
| Agencia Digital (Japón) | Cinco categorías de formularios de contacto de su sitio web (opiniones y solicitudes generales, contratación, app del certificado de vacunación, préstamo del disfraz de la mascota Myna-chan, participación en talleres y otros; entradas de mayo de 2021 a marzo de 2023), más datos de cuentas de Studio | Hasta 8.833, 250, 3.661, 117 y 462 por categoría (hasta 13.323 en total, según la suma de este sitio); 35 cuentas (alcance en examen) | Nombre, correo electrónico, texto de la consulta y más (en las cuatro primeras categorías, nombre y correo solo si se introdujeron (opcionales); la categoría de talleres incluye nombre, correo, afiliación y teléfono). Según la categoría, teléfono, afiliación, dirección de envío. Cuentas: nombres y correos de personal de la agencia y de personal de contratistas | Posible (agencia) | 22 oct. |
En un mismo sitio creado con Studio, lo que se filtró depende de lo que usted escribió
Los datos dependen de lo que pedía el formulario y de lo que escribió en los campos de texto libre. Luup y TRUSTART indican que los campos de texto libre pueden contener otra información según lo escrito. Algunos formularios, como los de candidaturas de empleo o consultas, piden trayectoria profesional o ingresos. Recuerde qué escribió en ese formulario.
Qué ocurrió (según Studio Inc.)
Lo siguiente se basa en el aviso de Studio Inc. del 16 de octubre de 2026 (actualizado el 17 y el 18 de octubre), su aviso del 17 de octubre para usuarios de formularios y la página de orientación (preguntas frecuentes) publicada el 18 de octubre (con adiciones el 19 y el 20 de octubre).
30 de septiembre – 1 de octubre de 2026 (hora de Japón)
Un tercero aprovecha una vulnerabilidad en algunas funciones de Studio para acceder al entorno de nube de la empresa y deja sus datos al alcance desde el exterior (el periodo confirmado hasta ahora).13 de octubre
Se detecta el acceso no autorizado en una investigación interna.13–14 de octubre
Se corrige la vulnerabilidad y se cierra la vía usada para el acceso. Los datos ya no están al alcance desde el exterior.Hacia las 2:30 del 14 de octubre
Todas las personas con sesión iniciada en Studio se desconectan una vez, por seguridad.14 de octubre
Se actualiza la clave necesaria para la integración con Google Sheets (las credenciales que pudieron filtrarse ya no pueden usarse).16 de octubre
Se publica el aviso (primer informe). Se envían correos por función a los propietarios de proyectos que usan integraciones API, páginas protegidas con contraseña, formularios, proxy personalizado o notificaciones de webhooks. Las empresas y organizaciones clientes empiezan a publicar sus propios avisos ese mismo día.17 de octubre
Se publica el aviso para usuarios de formularios, que les pide, a petición de la PPC, que pospongan las notificaciones individuales a la PPC. La clave que cifra los envíos de formularios, las claves API externas y datos similares se cambia por una nueva.18 de octubre
Se publica la página de orientación (preguntas frecuentes) sobre el incidente. La página de avisos se actualiza con el estado de la respuesta y con pasos modificados para la integración con Google Sheets y el proxy personalizado.19 de octubre
La página de orientación añade una respuesta según la cual incluso las respuestas que son ofertas comerciales, spam o que plantean preocupaciones de seguridad exigen, en principio, notificar a la persona si contienen información que la identifica.20 de octubre
Se actualiza el aviso para usuarios de formularios: tras conversar con la PPC, los clientes pueden elegir entre notificar individualmente o de forma conjunta con Studio. La página de orientación añade una sección para personas avisadas por un propietario de sitio (preguntar a ese propietario).22:26 del 21 de octubre a 04:05 del 22 de octubre
Studio Inc. realizó un mantenimiento de emergencia. Su aviso indica que, a diferencia de lo anunciado previamente, tampoco estuvieron disponibles los envíos de formularios en sitios publicados ni otras funciones (indica que el mantenimiento fue una precaución ante vulnerabilidades en software externo y que no se ha detectado ningún daño derivado). Pide a los propietarios de sitios que indiquen a los visitantes que vuelvan a enviar los formularios cuando sea necesario.22 de octubre
La Agencia Digital de Japón anuncia que las entradas de los formularios de contacto de su sitio web y los datos de cuentas de Studio podrían haberse filtrado. Indica que Studio Inc. le informó del incidente el 16 de octubre.
Datos de quienes enviaron formularios
Lo que enviaron en formularios de sitios creados con Studio (nombre, datos de contacto, consulta y más)
Qué hacer: revisar el aviso del sitio; estar atento a contactos falsos
Datos de usuarios de Studio
Nombre de usuario, correo electrónico, contraseña con hash
Qué hacer: cambiar la contraseña de Studio y la que se haya reutilizado
Claves que guardaban los propietarios de sitios
Claves API y tokens, contraseñas de páginas protegidas, integración con Sheets, clave de proxy, URL de webhooks, URL de vista previa en vivo
Qué hacer: rotarlas como describen los correos por función de Studio
- Datos de cuenta
- Nombres de usuario, direcciones de correo electrónico, contraseñas con hash y más (todos los usuarios registrados)
- Datos gestionados en Studio
- Contenido del editor de diseño y del CMS, envíos de formularios, configuración de Google reCAPTCHA v3, URL de notificación de webhooks. Se incluye el contenido de las páginas protegidas con contraseña
- Vista previa en vivo
- URL de las vistas previas en vivo usadas para revisar páginas antes de publicarlas
- Credenciales en la configuración
- Claves API y tokens de servicios externos registrados en integraciones API, contraseñas de páginas protegidas con contraseña (con hash), credenciales de la integración con Google Sheets, claves de proxy personalizado
- Datos cifrados
- Los envíos de formularios, claves API y tokens, credenciales de Sheets, claves de proxy, configuración de reCAPTCHA y URL de webhooks podrían ser conocidos incluso donde estaban almacenados cifrados, porque la clave necesaria para descifrarlos se leyó en el mismo acceso
- Respuestas de formularios incluidas
- Respuestas almacenadas en Studio, incluidas las movidas a la papelera (no "eliminadas permanentemente"), los envíos de prueba desde vistas previas en vivo y las respuestas que no pudieron mostrarse por superar el límite del plan. En los archivos adjuntos, solo los nombres de archivo; no su contenido
- Respuestas de formularios no incluidas
- Respuestas enviadas mientras "guardar resultados del formulario en Studio" estaba desactivado, respuestas eliminadas permanentemente antes del 30 de septiembre y respuestas a formularios incrustados de otros servicios (como Google Forms)
- Acceso anticipado a Studio AI
- Correo electrónico, nombre de usuario y país de quienes lo solicitaron entre diciembre de 2022 y agosto de 2023 (incluidas personas sin cuenta de Studio)
- Causa según la descripción
- Un tercero aprovechó una vulnerabilidad en algunas funciones de Studio. Detalles no divulgados
- Respuesta
- Vulnerabilidad corregida y vía cerrada; credenciales propias de la empresa, incluidas las usadas para pagos e inicio de sesión, sustituidas; clave de cifrado cambiada (17 de octubre) y datos anteriores en proceso de recifrado
Según la empresa, las credenciales que obtuvo el tercero incluían permiso para modificar datos, pero han sido desactivadas. Examinó el registro de operaciones realizadas con esas credenciales y confirmó que no hay constancia de que se haya modificado o eliminado contenido del editor de diseño o del CMS. Indica que está notificando a la PPC y tratando con otras autoridades pertinentes.
Qué sabemos y qué no
Estado a 24 de octubre de 2026. Cuando se publiquen seguimientos, se actualizará la columna de estado.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Periodo de acceso no autorizado | Del 30 de septiembre al 1 de octubre de 2026 (hora de Japón; el periodo confirmado hasta ahora). Los datos siguieron al alcance desde el exterior hasta el 14 de octubre | Confirmado hasta ahora (empresa) |
| Datos de cuenta (nombres de usuario, correos, contraseñas con hash y más) | Podrían haberse filtrado de todos los usuarios registrados | Posible (empresa) |
| Envíos de formularios | Respuestas almacenadas en Studio. Incluso las cifradas podrían ser conocidas | Posible (empresa) |
| Contenido de los archivos adjuntos a formularios | Solo los nombres de archivo están incluidos; el contenido no | No incluido (empresa) |
| Respuestas a formularios incrustados de otros servicios | No incluidas porque no pasan por Studio (el código de incrustación en sí está incluido como contenido del editor de diseño) | No incluido (empresa) |
| Claves API y tokens, URL de webhooks, claves de proxy y más | Incluso las cifradas podrían ser conocidas | Posible (empresa) |
| Si un tercero sustrajo realmente los datos | No confirmado. Se tratan como sustraídos | No se ha detectado (empresa) |
| Cambios o eliminación de datos | No se encontró constancia de cambios ni eliminación en los registros de operaciones | No se ha detectado (empresa) |
| Alcance y número de clientes afectados | Se publicará tras la revisión | En investigación |
| Daño secundario (inicios de sesión no autorizados, uso indebido) | En investigación | En investigación |
| Causa | Aprovechamiento de una vulnerabilidad en algunas funciones. Detalles no indicados. Se está organizando una investigación por un especialista externo | En investigación |
| Notificaciones a la PPC | Según la orientación del 20 de octubre, los clientes pueden elegir entre notificar individualmente o de forma conjunta con Studio. Se anunciarán cómo solicitar la notificación conjunta y el plazo de solicitud | Confirmado (empresa) |
Las cifras de los avisos de los clientes a menudo no son números de personas
Los 21.368 de Luup y los unos 1.440 de TRUSTART son recuentos de registros que incluyen envíos repetidos de la misma persona y envíos de prueba. Las cifras de Link-U Group y de la Prefectura de Saitama son a 16 de octubre, y ambas indican que aún se comprueba si hubo filtración y su alcance. Las cifras de la Agencia Digital también son máximos por categoría, y el alcance sigue en examen. No las interprete como números de personas ni como recuentos confirmados.
Para qué pueden usarse los datos filtrados
En general, cuando estos datos se combinan, es posible el siguiente uso indebido. Esto no significa que haya ocurrido en este caso.
- Nombre + correo + detalles de la consulta: correos falsos que hacen referencia a temas que solo conoce quien los envió ("en relación con su consulta")
- Empresa + cargo + número de teléfono: material para llamadas que se hagan pasar por un socio comercial o un contacto de ventas, o para correos que se hagan pasar por facturas
- Fecha de nacimiento, dirección, trayectoria profesional, ingresos (en formularios que los pedían): material para falsas verificaciones de identidad, o para que parezcan creíbles ofertas de inversión o de trabajos complementarios
- Claves API y URL de webhooks de los propietarios de sitios: datos de servicios externos leídos con la clave; notificaciones falsas enviadas al destino del webhook (como un servicio de chat)
Otro caso en el que un servicio expuso datos de muchas empresas clientes es el acceso no autorizado a Commune de octubre de 2026. Allí también los datos y las cifras diferían según el cliente, y la forma de comprobarlo era el aviso de la empresa que gestionaba cada comunidad.
Qué deben hacer las organizaciones con sitios en Studio
Studio Inc. separa sus peticiones a todos los clientes de las dirigidas a clientes que usan ciertas funciones. Los pasos siguientes siguen su orden. Los nombres de los proyectos afectados y qué hacer figuran en los correos por función enviados el 16 de octubre de 2026 (los asuntos empiezan por "【重要】不正アクセスに伴う、"). Los correos van a los propietarios de proyectos; si no encuentra uno, revise su carpeta de spam y use el formulario de consultas de la empresa, indica esta.
Cambie su contraseña de Studio (y la de cualquier otro servicio donde la usara)
Esto se aplica si inicia sesión con correo electrónico y contraseña. La empresa recomienda encarecidamente cambiar también la contraseña en otros servicios donde usara la misma. Si solo usa el inicio de sesión de Google o Facebook y nunca estableció una contraseña de Studio, no es necesario.
Sin embargo, la empresa indica que si alguna vez se registró o inició sesión con correo y contraseña, puede que haya una contraseña establecida; en ese caso, restablézcala desde "¿Olvidó su contraseña?" en la pantalla de inicio de sesión. Para saber qué significa el hash, vea hash de contraseñas; para dejar de reutilizar contraseñas, vea gestores de contraseñas.
Elimine las URL de vista previa en vivo y vuelva a emitirlas si hace falta
La empresa no ha confirmado que se haya identificado ninguna URL de vista previa en vivo emitida, pero no puede descartarlo del todo, por lo que pide a los propietarios que las eliminen. Una URL eliminada deja de funcionar. Si aún necesita compartir una vista previa, emita una nueva URL tras eliminar la anterior y envíela de nuevo.
Rote las claves de integración API en este orden: emita una nueva clave, actualice Studio, revoque la antigua
Esto se aplica si registró claves API o tokens de servicios externos (como servicios de contenido y de documentos) en Data Connect API o en API Integration (Beta). Las claves de servicios externos las gestiona el servicio que las emite, por lo que Studio no puede desactivarlas; deben rotarlas los propietarios, indica la empresa.
El orden es: emitir una nueva clave en cada servicio, actualizar la configuración de Studio con la nueva clave y, por último, revocar la antigua en cada servicio. Revocar primero la clave antigua puede detener la integración en su sitio. La empresa también recomienda revocar las claves de servicios externos que ya no use. Revise el historial de uso de cada servicio por si ha habido un uso inesperado desde el 30 de septiembre de 2026 (por qué eliminar no basta y hace falta revocar: las credenciales publicadas en GitHub seguían funcionando).
Cambie las contraseñas de las páginas protegidas con contraseña e informe a los visitantes de la nueva
Las contraseñas se almacenaban con hash, pero la empresa no puede descartar del todo que se recuperen, por lo que pide a los propietarios que las cambien. El contenido de las páginas protegidas con contraseña es, en sí mismo, parte de los datos que podrían haberse filtrado. Si puso material confidencial tras una contraseña, trate su contenido como conocido.
Datos personales recopilados en formularios: elija notificación individual o conjunta a la PPC y considere notificar a las personas
En su correo por función del 16 de octubre, la empresa indicó que los propietarios de sitios que recopilaron datos personales de visitantes mediante formularios podrían, como empresas que manejan información personal, tener que notificar a la PPC y a las personas afectadas.
El 17 de octubre pidió a los clientes que pospusieran las notificaciones individuales a la PPC y luego indicó el 20 de octubre que, tras conversar con la PPC, los clientes pueden elegir entre notificar individualmente o de forma conjunta con Studio. Si elige la notificación conjunta y la presenta por el método acordado con la PPC, solo para este incidente no se considerará tardía aunque haya pasado el plazo de la guía para la notificación preliminar. Studio anunciará cómo solicitarla y el plazo de solicitud cuando se decidan. Puede notificar individualmente independientemente de la pausa, y si ya notificó individualmente puede pasar a la notificación conjunta (entonces no hace falta un informe final aparte). La notificación conjunta no cubre la notificación a las personas. La página de orientación de la empresa enumera puntos para decidir si es necesario notificar (si el formulario se usó para actividad empresarial, si las respuestas contienen datos personales, si los datos pueden estar afectados) y una plantilla para un aviso en su propio sitio. También sugiere consultar a un abogado u otro especialista en caso de duda.
Las ofertas comerciales, el spam y las respuestas preocupantes no pueden dejarse fuera sin más. El 19 de octubre la empresa respondió lo siguiente, citando la sección "notificación a la persona" de las directrices generales de la PPC.
- Una respuesta no puede excluirse de la notificación solo por el motivo por el que se envió o por lo que dice. Si contiene información que identifica a una persona concreta, como un nombre o un correo electrónico, en principio debe notificarse a la persona
- Las respuestas que no pueden identificar a una persona concreta, como cadenas sin sentido enviadas por un bot, podrían no necesitar notificación alguna
- Si la notificación es difícil, por ejemplo porque no hay datos de contacto o no se puede localizar a la persona, se permiten medidas alternativas como un anuncio público
- Para respuestas que plantean preocupaciones de seguridad, como amenazas de muerte, consulte a un abogado u otro especialista, o a la policía, sobre cómo y cuándo notificar
Integración con Google Sheets: desconecte, retire el acceso en Google y vuelva a conectar
La empresa actualizó el 14 de octubre la clave necesaria para la conexión e indica que las credenciales que pudieron filtrarse ya no pueden usarse. Para mayor seguridad, recomienda desconectar la integración en Studio, retirar el acceso de Studio en la página "Aplicaciones vinculadas" de la cuenta de Google y volver a conectar. En las hojas que estaban vinculadas, revise el historial de versiones por si hubo ediciones inesperadas distintas de las respuestas añadidas entre el 30 de septiembre y el 14 de octubre.
Sustituya la clave del proxy personalizado e informe de que ha terminado
La empresa ha emitido una nueva clave de proxy y la ha aplicado a los proyectos afectados. Cambie la clave en la configuración de su propio servidor (proxy inverso, CDN, etc.) e informe al formulario de consultas de la empresa cuando termine; entonces desactivará la clave antigua. El plazo es de 30 días desde la recepción del correo del 16 de octubre.
Cambie las URL de webhooks en este orden: cree una nueva URL, actualice Studio, desactive la antigua
Un tercero que conozca la URL podría poder enviar mensajes al destino. La empresa recomienda crear una nueva URL en el servicio de destino (como el webhook entrante de un servicio de chat), actualizarla en la configuración del proyecto de Studio y comprobarla con "envío de prueba", y luego desactivar la URL antigua. Revise también si hay notificaciones inesperadas desde el 30 de septiembre y no abra los enlaces de las que encuentre.
Claves secretas de reCAPTCHA y código incrustado
Respecto a la clave secreta de Google reCAPTCHA v3, la empresa no pide a todos los clientes que la sustituyan. Indica que la clave por sí sola no puede usarse para ver respuestas de formularios ni para entrar en la consola de administración de Google. Aconseja cambiar a una nueva clave si los formularios dejan de enviarse o si la consola muestra un aumento inesperado de uso. El código incrustado pegado en Studio está incluido como contenido del editor de diseño, así que, si ese código contiene claves API u otros valores que deban mantenerse secretos, cámbielos por valores nuevos en el servicio externo, indica la empresa.
Opinión de este sitio: las respuestas de formularios seguían en Studio después de dejar de usar los formularios
Al ordenar los avisos de los clientes, una parte notable de los datos afectados no procedía de formularios en uso hoy, sino de formularios usados en el pasado. Rewired indica que las respuestas de un formulario que usó hacia febrero–abril de 2024 siguieron en Studio después de cambiar su configuración. TRUSTART enumera respuestas enviadas de diciembre de 2021 a mayo de 2026, y Luup enumera respuestas de varios periodos desde febrero de 2022.
Según Studio Inc., las respuestas solo movidas a la papelera están incluidas, mientras que las eliminadas permanentemente antes del 30 de septiembre y las enviadas mientras "guardar resultados del formulario en Studio" estaba desactivado no lo están. La configuración de no almacenar respuestas y la eliminación de las antiguas marcaron la diferencia en lo que quedó expuesto.
Decida, para cada formulario, adónde van las respuestas y cuánto tiempo se conservan
Si ya recibe las respuestas mediante notificación por correo o en su propio sistema, revise si necesita conservarlas en el panel de Studio. Si las necesita, fije un plazo (por ejemplo, un número determinado de meses después de atender la consulta) y, cuando pase, expórtelas y luego "elimínelas permanentemente". Moverlas a la papelera no es eliminarlas.
Cuando deje de usar un servicio, elimine los datos que tiene
Cuando traslade formularios a otro servicio o cierre un sitio, compruebe que no queden datos en el servicio anterior. TRUSTART también indica que revisará su procedimiento para eliminar datos cuando deje de usar un servicio externo.
Mantenga una lista de las claves que guarda en servicios externos
En este caso, se pidió a los propietarios que cambiaran contraseñas, claves API, páginas protegidas con contraseña, la integración con Sheets, claves de proxy y URL de webhooks. Una lista de qué clave está registrada en qué servicio para qué proyecto hace más difícil que se pase por alto alguna la próxima vez (casos similares en el ámbito del alojamiento: cuando su proveedor de alojamiento web sufre una brecha, acceso no autorizado a algunos servidores de ConoHa WING).
Para saber en qué orden revisar sus propios sistemas en busca de anomalías, vea las alertas de octubre de 2026 en Japón sobre acceso no autorizado y qué revisar esta semana.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente (en japonés). No hemos especulado sobre métodos no divulgados del acceso no autorizado.
- Studio Inc., "[Importante] Disculpas y petición sobre la filtración de información causada por un acceso no autorizado (primer informe)" (16 de octubre de 2026; actualizado el 17 y el 18 de octubre) — studio.design
- Studio Inc., "[Importante] A los clientes que usan la función de formularios: orientación sobre la notificación a la Comisión de Protección de Información Personal" (17 de octubre de 2026; actualizado el 20 de octubre con la opción de notificación individual o conjunta, y con "(primer informe)" eliminado del título) — studio.design
- Studio Inc., "Orientación sobre el acceso no autorizado a Studio" (publicada el 18 de octubre de 2026, con adiciones el 19 y el 20 de octubre) — studio.design
- Luup, Inc., aviso sobre la posible filtración de datos personales enviados mediante sus formularios web (16 de octubre de 2026) — luup.sc
- Link-U Group Inc., aviso sobre la posible filtración de datos personales a raíz del acceso no autorizado en Studio Inc. (16 de octubre de 2026) — content.link-u.co.jp
- TRUSTART Inc., disculpas y aviso sobre la posible filtración de los envíos del formulario de contacto de su sitio web (19 de octubre de 2026) — trustart.co.jp
- Prefectura de Saitama, aviso sobre la posible filtración de datos personales a raíz del acceso no autorizado en Studio Inc. (16 de octubre de 2026) — pref.saitama.lg.jp
- Rewired Inc., disculpas y aviso sobre la posible filtración de datos personales por el acceso no autorizado a un servicio externo que utiliza (19 de octubre de 2026) — rewired.jp
- Uzabase, Inc., aviso sobre la posible filtración de información a raíz del acceso no autorizado a la plataforma de sitios web sin código Studio (19 de octubre de 2026) — uzabase.com
- Ryukyu Shimpo, aviso sobre la posible filtración de datos personales a raíz del acceso no autorizado en Studio Inc. (16 de octubre de 2026) — corp.ryukyushimpo.jp
- Kufu Company Holdings Inc., impacto en su grupo del acceso no autorizado al servicio externo Studio (primer informe) (16 de octubre de 2026) — kufu.co.jp
- Studio Inc., aviso de mantenimiento de emergencia desde las 22:00 del 21 de octubre (terminó a las 04:05 del 22 de octubre) (actualizado el 22 de octubre de 2026, en japonés) — studio.design
- Agencia Digital (Japón), "Posible filtración de datos personales por el acceso no autorizado en Studio Inc." (22 de octubre de 2026) — digital.go.jp
Historial de actualizaciones
2026-10-24: Se añadió el aviso de la Agencia Digital del 22 de octubre (entradas de los formularios de contacto de su sitio web de mayo de 2021 a marzo de 2023, hasta 8.833 registros en la mayor categoría, y 35 registros de cuentas de Studio) a la tabla de organizaciones clientes, a la cronología y a las preguntas frecuentes. Se reflejó la actualización de Studio Inc. del 20 de octubre (los clientes pueden elegir entre notificar a la PPC individualmente o de forma conjunta) y se reescribieron el paso para propietarios de sitios y la tabla de estado. A 24 de octubre, la página de avisos de Studio Inc. se había actualizado por última vez el 18 de octubre, y no se han publicado las cifras ni los resultados de la investigación de la causa.
2026-10-24 (adición): Se añadió la suma de los máximos por categoría de la Agencia Digital (hasta 13.323; la agencia no da un total, por lo que es la suma de este sitio) y que la agencia indica que Studio Inc. le informó el 16 de octubre. Se reflejaron las adiciones de Studio Inc. del 19 y el 20 de octubre a su página de orientación (las respuestas que son ofertas comerciales, spam o que plantean preocupaciones de seguridad siguen exigiendo, en principio, notificación si identifican a una persona, y las preocupaciones de seguridad deben llevarse a un abogado o a la policía; las personas avisadas por un propietario de sitio deben preguntar a ese propietario) en los pasos para propietarios de sitios y quienes enviaron formularios, en las preguntas frecuentes y en la cronología. Se corrigió en la cronología el orden del mantenimiento del 21 de octubre y el aviso de la Agencia Digital del 22 de octubre.
2026-10-20: Primera versión. Basada en el aviso de Studio Inc. del 16 de octubre (incluidas las actualizaciones del 17 y el 18 de octubre), su aviso del 17 de octubre para usuarios de formularios, su página de orientación del 18 de octubre y avisos de ocho empresas y organizaciones clientes. Se actualizará cuando se publiquen las cifras, el daño secundario y los resultados de la investigación de la causa.
Lea a continuación
- Casos similares: Acceso no autorizado a Commune / Acceso no autorizado a algunos servidores de ConoHa WING
- Qué deben hacer los clientes cuando un proveedor sufre una brecha: Cuando su proveedor de alojamiento web sufre una brecha / Alertas de octubre de 2026 en Japón y qué revisar esta semana
- Claves y contraseñas: Revoque las credenciales filtradas, no solo las elimine / Conceptos básicos de .env y claves API / ¿Qué es el phishing?
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026