対象：Studio（studio.design）で作られた企業・団体のサイトで、お問い合わせ・資料請求・イベント申込・採用応募などのフォームを送ったことがある人と、Studioでサイトを作っている企業・団体・制作会社。本記事はStudio株式会社と、影響を公表した利用企業・団体の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月20日時点まだ分かっていないこと
- 対象となる顧客の範囲と件数
- 二次被害（不正ログインや情報の悪用）の有無
- どの機能のどんな脆弱性だったか（原因の調査結果）
- 再発防止策
- 個人情報保護委員会への報告の進め方（Studioと利用企業の連名にするか）
Studio株式会社は、対象となる顧客の範囲と件数、二次被害の有無に関する調査の結果、原因の調査結果と再発防止策を、確認が取れ次第、発表ページで続報として知らせるとしています。10月17日と18日には、発表ページの更新と、本件の案内ページ（よくある質問）の公開がありました。
フォームを送った人が今日やること
送り先のサイトの運営者のお知らせを確かめる
Studioは、企業や自治体、団体が自分たちのサイトを作るためのサービスです。フォームを送った人はStudioではなく、そのサイトを運営する企業・団体に情報を送っています。そのため、対象かどうかはどのサイトのフォームを使ったかで決まります。
下の「自分が対象か確かめる」の表で、問い合わせや申し込みをしたサイトのお知らせを開いてください。表にない企業・団体は、その公式サイトのお知らせ欄を確認します。Studio株式会社によれば、フォームを送った人には、送り先のサイトの運営者から案内がある場合があります。不明な点は同社の「不正アクセスに関するお問い合わせ窓口」でも受け付けるとしています（窓口は 同社の案内ページ から開けます）。
問い合わせの内容に触れる連絡でも、リンクを開かない
フォームに書く内容は、名前やメールアドレスだけではありません。会社名、電話番号、住所、相談の中身まで書いていることが多く、ユーザベースのお知らせでは、生年月日、性別、経歴、収入まで項目に挙がっています。
こうした内容を知っている相手からの連絡は、本物らしく見えます。「先日のお問い合わせの件で」「資料請求ありがとうございました」のように、自分が実際に送った内容に触れるメール・SMS・電話でも、リンクや添付ファイルは開かず、自分で開いた公式サイトの窓口から確かめてください（見分け方は フィッシングとは）。
電話でカード番号や認証コードを聞かれても答えない
フォームに電話番号や住所を書いていた場合は、メールだけでなく電話や郵便で企業を名乗る連絡が来る可能性も考えてください。複数の利用企業のお知らせが、メールや電話でパスワードやクレジットカード番号などを尋ねることはないと明記しています。聞かれたらいったん切り、公式サイトに載っている番号にかけ直します。
Studioのアカウントがなくても、Studioからメールが届くことがある
Studio株式会社は、2022年12月〜2023年8月にAIによるサイト作成機能「Studio AI」（当初の名称は「Auto」）の先行利用に申し込んだ人について、メールアドレス、ユーザー名、住んでいる国（接続元のIPアドレスから同社が判定したもの）も流出した可能性があるとして、個別に連絡しています。件名は「【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び」です。この申し込みではパスワードや支払いの情報は預かっておらず、パスワードの変更などは不要としています。
「可能性」の段階であることも覚えておく
Studio株式会社は、実際に第三者に取得された事実は確認できていないとしています。そのうえで、取得されたものとみなして対応しています。二次被害の有無は調査中です。慌てて何かを解約したり、問い合わせ先に個人情報を追加で送ったりする必要はありません。知らない連絡に応じないことが、今できる対策です。
自分が対象か確かめる（利用企業・団体のお知らせ）
Studioでサイトを作っていた企業・団体が、それぞれお知らせを出しています。以下は、当サイトが各社・各団体の公式ページを開いて内容を確認したものです（2026年10月20日時点）。ほかにも発表している企業・団体が多数あります。
件数は各社の発表の値です。数え方（同じ人の複数回の送信を含むかなど）が社ごとに違うため、足し合わせることはできません。
| 企業・団体 | 対象のフォーム（各社の発表） | 件数（各社の発表） | 主な項目（各社の発表） | 状態 | 発表日 |
|---|---|---|---|---|---|
| Luup | ポート設置リクエスト、Unimoの問い合わせ、改正道路交通法の質問など4つのフォーム（2022年2月〜2025年12月の各期間） | 合計21,368件（同じ人の複数回の送信を含む） | 氏名、連絡先（メールアドレス・電話番号）、住所、会社名・部署名など。LUUPアプリの登録情報は対象外 | 可能性（同社） | 10月16日 |
| Link-Uグループ | 同社コーポレートサイトのお問い合わせフォーム（影響は同社と連結子会社のコーポレートサイトに限られるとしている） | 7,663件（10月16日時点） | 項目の記載なし（範囲は確認中）。グループが運営する各サービスへの影響はない | 可能性（同社） | 10月16日 |
| TRUSTART | サービス紹介ページのお問い合わせ・資料請求フォーム（2021年12月〜2026年5月） | 約1,440件（同じ人の複数回の送信やテスト送信を含む） | 氏名、会社名、会社URL、役職、メールアドレス、電話番号、従業員規模、問い合わせ種別。同社サービスの利用者情報は対象外 | 可能性（同社） | 10月19日 |
| 埼玉県（さいたま緑の森博物館） | 博物館のサイトのイベント申込・問い合わせ | 162件（10月16日時点） | 項目の記載なし（漏えいの有無と範囲は確認中） | 可能性（県） | 10月16日 |
| リワイア | 「App Unity」のサイトのフォーム（2024年2〜4月ごろ。利用は終了済みで、データがStudio上に残っていた） | 6件 | メールアドレス、氏名、会社名、電話番号、問い合わせ内容など | 可能性（同社） | 10月19日 |
| ユーザベース | Studioで作成・運営していたサイトのお問い合わせフォーム | 記載なし | 氏名、生年月日、性別、住所、電話番号、メールアドレス、その他フォームに入力された情報（所属先、経歴、収入等）。Speeda・NewsPicksのアカウントとパスワードは対象外 | 可能性（同社） | 10月19日 |
| 琉球新報社 | コーポレートサイトの各種申込・お問い合わせフォーム（Studio内に残っていた一部のデータ） | 記載なし（対象の人には10月16日にメールで連絡） | 名前、住所、メールアドレス、会社名、電話番号、問い合わせ内容 | 可能性（同社） | 10月16日 |
| くふうカンパニーホールディングス | Studioを使っていたグループ会社5社（くふうカンパニー、くふう住まい、くふうウェディング、キッズスター、Seven Signatures International）がそれぞれお知らせ | 記載なし | 各社で対象の情報の有無と範囲を確認中 | 調査中（同社） | 10月16日 |
同じStudioのサイトでも、フォームに何を書いたかで変わる
対象の項目は、そのフォームが何を聞いていたかと、自由記述欄に何を書いたかで決まります。Luup、TRUSTARTは、自由記述欄には記入した内容によって上記以外の情報が含まれている場合があるとしています。採用応募や相談のフォームのように、経歴や収入まで書くフォームもあります。自分がそのフォームに何を書いたかを思い出してください。
何が起きたのか（Studio株式会社の発表より）
以下は、Studio株式会社の2026年10月16日の発表（10月17日・18日更新）、10月17日のフォーム利用者向けの案内、10月18日公開の本件の案内ページ（よくある質問）にもとづきます。
2026年9月30日〜10月1日（日本時間）
第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にした（現時点で確認できている期間）。10月13日
社内の調査により不正アクセスを確認。10月13日〜14日
脆弱性を修正し、不正アクセスに利用された経路を塞ぐ対応を完了。外部から取得できる状態を解消。10月14日 午前2時30分ごろ
安全のため、Studioにログインしていたすべての利用者を一度ログアウトさせた。10月14日
Googleスプレッドシート連携の接続に必要な鍵を更新（流出した可能性のある認証情報は使えない状態に）。10月16日
発表（第一報）を公開。API連携・パスワード保護ページ・フォーム・カスタムプロキシ・Webhook通知を使うプロジェクトのオーナーに、機能ごとの個別メールを送信。利用企業・団体も同日から各自のお知らせを出し始めた。10月17日
フォーム利用者向けに、個人情報保護委員会からの要請を受けて同委員会への個別の報告をいったん保留するよう求める案内を公開。フォームの送信内容や外部サービスのAPIキーなどを暗号化する鍵を新しい鍵に切り替えた。10月18日
本件の案内ページ（よくある質問）を公開。発表ページに、対応状況と、Googleスプレッドシート連携・カスタムプロキシの手順の変更を反映。
フォームを送った人の情報
Studioで作られたサイトのフォームに送った内容（名前、連絡先、問い合わせ内容など）
やること：送り先のサイトのお知らせを確かめ、偽の連絡に注意
Studioの登録者の情報
ユーザー名、メールアドレス、ハッシュ化されたパスワード
やること：Studioと、同じパスワードを使った他のサービスのパスワードを変える
サイト運営者が預けた鍵
APIキー・トークン、パスワード保護ページ、スプレッドシート連携、プロキシキー、Webhook通知のURL、ライブプレビューのURL
やること：Studioの個別メールの案内どおりに切り替える
- アカウントの情報
- ユーザー名、メールアドレス、ハッシュ化されたパスワードなど（すべての登録者）
- Studio上で管理しているデータ
- デザインエディタ・CMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL。パスワード保護ページの内容も含まれる
- ライブプレビュー
- 公開前のページを確認するためのライブプレビューのURL
- 設定に含まれる認証情報
- API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード（ハッシュ化）、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー
- 暗号化していた情報
- フォームの送信内容、APIキーやトークン、スプレッドシート連携の認証情報、プロキシキー、reCAPTCHAの設定情報、Webhook通知のURLは、暗号化して保存していたものも、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性がある
- フォームの回答の範囲
- Studioに保存されていた回答。ゴミ箱に移した回答（「完全に削除」していないもの）、ライブプレビューでのテスト送信、プランの上限を超えて表示できなかった回答も含む。添付ファイルはファイル名のみで、中身は含まない
- 含まれないフォームの回答
- 「フォームの結果をStudioに保存」を無効にしていた間の回答、9月30日より前に「完全に削除」した回答、埋め込んだ外部サービス（Googleフォームなど）のフォームの回答
- Studio AIの先行申込
- 2022年12月〜2023年8月の申込者のメールアドレス、ユーザー名、住んでいる国（Studioのアカウントがない人を含む）
- 原因として説明されたこと
- 第三者がStudioの一部機能の脆弱性を悪用した。詳しい内容は公表されていない
- 対応
- 脆弱性の修正と経路の遮断、決済やログインに用いるものを含む同社の認証情報の切り替え、暗号化の鍵の切り替え（10月17日）と、それ以前のデータの暗号化し直し（作業中）
同社によれば、第三者が取得した認証情報にはデータを書き換えることができる権限も含まれていましたが、すでに無効化しています。この認証情報による操作の記録を調べ、デザインエディタ・CMSの内容などを書き換えたり削除したりした記録はないことを確認したとしています。個人情報保護委員会への報告をはじめ、関係機関への対応を進めているとしています。
分かっていること・分かっていないこと
2026年10月20日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスの期間 | 2026年9月30日〜10月1日（日本時間。現時点で確認できている期間）。データを外部から取得できる状態は10月14日まで続いた | 確認済み・現時点（同社） |
| アカウント情報（ユーザー名・メールアドレス・ハッシュ化されたパスワードなど） | すべての登録者について流出した可能性 | 可能性（同社） |
| フォームに送信された内容 | Studioに保存されていた回答。暗号化していたものも内容を知られた可能性 | 可能性（同社） |
| フォームの添付ファイルの中身 | ファイル名のみが対象で、中身は含まれない | 含まれない（同社） |
| 埋め込んだ外部サービスのフォームの回答 | Studioを経由しないため含まれない（埋め込みコード自体はデザインエディタの内容として対象） | 含まれない（同社） |
| APIキー・トークン、Webhook通知のURL、プロキシキーなど | 暗号化していたものも内容を知られた可能性 | 可能性（同社） |
| 実際に第三者が取得したか | 取得された事実は確認できていない。取得されたものとみなして対応 | 確認されていない（同社） |
| データの改ざん・削除 | 操作の記録を調べ、書き換え・削除の記録はないことを確認 | 確認されていない（同社） |
| 対象となる顧客の範囲と件数 | 精査のうえ続報で知らせる | 調査中 |
| 二次被害（不正ログイン・情報の悪用） | 調査中 | 調査中 |
| 原因 | 一部機能の脆弱性の悪用。詳しい内容は記載なし。外部の専門機関に調査を依頼する調整中 | 調査中 |
| 個人情報保護委員会への報告 | 同委員会の要請で、フォーム利用者の個別の報告をいったん保留。連名で報告できるか協議予定 | 協議予定（同社） |
利用企業のお知らせの「件数」は、人数ではないことが多い
Luupの21,368件、TRUSTARTの約1,440件は、同じ人が複数回送った分やテスト送信を含む件数です。Link-Uグループと埼玉県の件数は10月16日時点の値で、漏えいの有無と範囲は確認中としています。人数や確定した件数として読まないでください。
漏れた項目で何が起きうるか
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- 氏名＋メールアドレス＋問い合わせ内容：「お問い合わせいただいた件について」と、送った人しか知らない話題に触れる偽のメールが作れる
- 会社名＋役職＋電話番号：取引先や営業担当を装った電話や、請求書を装うメールの材料になる
- 生年月日・住所・経歴・収入（そうした項目のあるフォームの場合）：本人確認を装った問い合わせや、投資・副業の勧誘を信用させる材料になる
- サイト運営者側のAPIキー・Webhook通知のURL：キーで外部サービスのデータを読まれる、Webhookの通知先（チャットサービスなど）に偽の通知を送られる
1つのサービスから、それを使う多数の会社の顧客情報が漏れた事案には、2026年10月の コミューン「Commune」への不正アクセス もあります。そこでも、利用企業ごとに項目と人数が違い、自分が対象かは利用しているサービスの運営企業のお知らせで確かめる形でした。
Studioでサイトを作っている企業・団体がやること
Studio株式会社は、すべての顧客へのお願いと、一部の機能を使う顧客へのお願いを分けて案内しています。以下はその順番です。対象のプロジェクト名とやることは、2026年10月16日に機能ごとに送られた個別メール（件名は「【重要】不正アクセスに伴う、」で始まる）に書かれています。メールはプロジェクトのオーナー宛てで、見当たらなければ迷惑メールフォルダを確認し、同社の窓口に問い合わせるよう求めています。
Studioのパスワードを変える（同じパスワードを使った他のサービスも）
メールアドレスとパスワードでログインしている人が対象です。他のサービスで同じパスワードを使っている場合は、そちらも変えるよう同社は強く勧めています。GoogleログインまたはFacebookログインだけを使い、Studioのパスワードを設定していない人は不要です。
ただし同社によれば、以前にメールアドレスとパスワードで登録・ログインしたことがある場合はパスワードが設定されている可能性があり、ログイン画面の「パスワードをお忘れですか？」から再設定するよう案内しています。ハッシュ化の意味は パスワードのハッシュ化とは、使い回しをやめる方法は パスワードマネージャー を参照してください。
ライブプレビューのURLを削除し、必要なら発行し直す
発行済みのライブプレビューのURLが特定されたことは確認していないものの、可能性を完全には否定できないとして、同社は削除を求めています。削除したURLは無効になります。共有を続けるなら、削除後に新しいURLを発行して、共有先に伝え直します。
API連携のキーを「新しいキーの発行→Studioの更新→古いキーの失効」の順で切り替える
Data Connect API・API連携（Beta）に、外部サービス（CMSや文書管理サービスなど）のAPIキーやトークンを登録している場合が対象です。外部サービスのキーは発行元が管理しているため、Studio側では無効にできず、利用者自身で切り替える必要があると同社は説明しています。
順番は、各サービスで新しいキーを発行し、Studioの設定を新しいキーに更新し、最後に各サービスで古いキーを失効させる、です。古いキーを先に失効させると、サイトでの連携が止まる場合があります。いまは使っていない外部サービスのキーが残っている場合も、失効を勧めています。あわせて、各サービスの利用履歴で、2026年9月30日以降に心当たりのない利用がないかを確かめます（消すだけでは足りず失効が必要な理由は 公開された認証情報が今も有効だった調査）。
パスワード保護ページのパスワードを変え、閲覧する人に伝え直す
パスワードはハッシュ化して保存していたものの、割り出される可能性を完全には否定できないとして、同社は変更を求めています。パスワード保護ページの内容そのものも、流出した可能性のある情報に含まれます。保護していたページに機密の資料を置いていた場合は、内容が知られた前提で扱います。
フォームで集めた個人情報：本人への通知を検討し、委員会への報告はStudioの案内を待つ
フォームを通じてサイト利用者の個人情報を集めていた場合、サイト運営者自身が個人情報取扱事業者として、個人情報保護委員会への報告や本人への通知が必要になる場合があると、同社は10月16日の個別メールで案内しました。
そのうえで10月17日、同委員会からの要請を受けて、委員会への個別の報告はいったん保留するよう求めています。同社が取りまとめて連名で報告できるか協議する予定で、進め方や期限の扱いは改めて案内するとしています。保留の対象は委員会への報告だけで、本人への通知は含まれません。同社の案内ページには、通知の要否を考えるための確認点（事業のためにフォームを使っていたか、回答に個人データが含まれるか、本件の影響を受ける可能性があるか）と、自社サイトでのお知らせに使える雛形が載っています。判断に迷う場合は、弁護士などの専門家への相談も勧めています。
Googleスプレッドシート連携は「解除→Googleでアクセス権を削除→連携し直す」
同社は10月14日に接続に必要な鍵を更新しており、流出した可能性のある認証情報は現在使えない状態としています。そのうえで、より確実にするため、Studioで連携を解除し、Googleアカウントの「リンク済みアプリ」のページでStudioのアクセス権を削除し、改めて連携する順番を勧めています。連携していたシートは、9月30日から10月14日までの間に、回答の追加以外の心当たりのない編集がないかを変更履歴で確かめます。
カスタムプロキシのプロキシキーを差し替え、完了を知らせる
同社が新しいプロキシキーを発行し、対象のプロジェクトに反映済みです。自分のサーバー（リバースプロキシやCDNなど）の設定を新しいキーに差し替え、完了を同社の窓口に知らせると、同社が古いキーを無効にします。期日は10月16日のメールの受信から30日以内です。
Webhook通知のURLを「新しいURLの発行→Studioの更新→古いURLの無効化」の順で切り替える
URLを知っている第三者が、通知先にメッセージを送れる場合があります。同社は、通知先のサービス（チャットサービスの受信用Webhookなど）で新しいURLを作り、Studioのプロジェクト設定で更新して「テスト送信」で確かめ、最後に古いURLを無効にする順番を勧めています。9月30日以降に心当たりのない通知が届いていないかも確かめ、届いていた場合は通知の中のリンクを開かないよう求めています。
reCAPTCHAのシークレットキーと、埋め込みコード
Google reCAPTCHA v3のシークレットキーについて、同社は一律の差し替えは求めていません。このキーだけでフォームの回答を見たり、Googleの管理画面に入ったりはできないためとしています。フォームが送信できなくなった場合や、管理画面で心当たりのない利用の増加が見られる場合は、新しいキーに切り替えるよう案内しています。また、Studioに貼り付けた埋め込みコードはデザインエディタの内容として対象に含まれるため、コードにAPIキーなど外に知られてはいけない値を書いていた場合は、外部サービス側で新しい値に切り替えるよう求めています。
当サイトの視点：使い終わったフォームの回答が、Studioに残っていた
今回、利用企業のお知らせを並べると、いま使っているフォームだけでなく、過去に使っていたフォームの回答が対象に入っている例が目立ちます。リワイアは2024年2〜4月ごろに使っていたフォームの回答が、仕組みを改めたあともStudio上に残っていたとしています。TRUSTARTは2021年12月〜2026年5月に送信された回答、Luupは2022年2月以降の各期間に送信された回答を対象に挙げています。
Studio株式会社の説明では、ゴミ箱に移しただけの回答も対象で、9月30日より前に「完全に削除」した回答と、「フォームの結果をStudioに保存」を無効にしていた間の回答は対象外でした。保存しない設定と、使い終わった回答の削除が、そのまま漏れる範囲の差になった形です。
フォームごとに、回答をどこで受け取り、いつまで残すかを決める
回答をメール通知や自社のシステムで受け取っているなら、Studioのダッシュボードに残す必要があるかを見直します。残す場合も、「問い合わせへの対応が終わってから何か月」のように期間を決め、過ぎたものは書き出してから「完全に削除」します。ゴミ箱に移すだけでは削除になりません。
サービスの利用をやめるときは、そのサービス上のデータも消す
フォームの仕組みを別のサービスに移したときや、サイトを閉じたときに、古いサービス上のデータが残っていないかを確かめます。TRUSTARTも、外部サービスの利用を停止する際のデータ削除の手順を見直すとしています。
外部サービスに預けている鍵の一覧を作っておく
今回、運営者が切り替えを求められたのは、パスワード、APIキー、パスワード保護ページ、スプレッドシート連携、プロキシキー、Webhook通知のURLでした。どのサービスに、どの鍵を、どのプロジェクトで登録しているかの一覧があれば、次に同じことが起きても、切り替えの漏れを防げます（レンタルサーバー側の事故で同じことが起きた例は レンタルサーバーが不正アクセスされたとき、ConoHa WINGの一部サーバーへの不正アクセス）。
自社のシステムで異常がないかを点検するときの順番は、不正アクセスの注意喚起（2026年10月）と今週やる点検 にまとめています。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない不正アクセスの手口は推測していません。
- Studio株式会社「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日、10月17日・18日更新） — studio.design
- Studio株式会社「【重要】フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内（第一報）」（2026年10月17日） — studio.design
- Studio株式会社「Studioにおける不正アクセスに関するご案内」（2026年10月18日） — studio.design
- 株式会社Luup「Webサイト制作サービス「Studio」への不正アクセスに伴う、当社Webフォームに送信された個人情報流出の可能性について」（2026年10月16日） — luup.sc
- Link-Uグループ株式会社「Studio株式会社で発生した不正アクセスに伴う個人情報漏えいの可能性に関するお知らせ」（2026年10月16日） — content.link-u.co.jp
- 株式会社TRUSTART「当社ウェブサイトのお問い合わせフォーム送信情報の流出の可能性に関するお詫びとお知らせ」（2026年10月19日） — trustart.co.jp
- 埼玉県「Studio株式会社で発生した不正アクセスに伴う個人情報漏えいの可能性について」（2026年10月16日） — pref.saitama.lg.jp
- 株式会社リワイア「当社が利用する外部サービスへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年10月19日） — rewired.jp
- 株式会社ユーザベース「ノーコードWebサイトプラットフォーム「Studio」への不正アクセスに伴う、情報流出の可能性に関するお知らせ」（2026年10月19日） — uzabase.com
- 株式会社琉球新報社「Studio 株式会社で発生した不正アクセスによる個人情報流出の可能性についてのお知らせ」（2026年10月16日） — corp.ryukyushimpo.jp
- 株式会社くふうカンパニーホールディングス「外部サービス「Studio」への不正アクセスによる当社グループへの影響について（第一報）」（2026年10月16日） — kufu.co.jp
更新履歴
2026-10-20：初版。Studio株式会社の10月16日の発表（10月17日・18日の更新を含む）、10月17日のフォーム利用者向けの案内、10月18日の案内ページと、利用企業・団体8件のお知らせにもとづく。件数、二次被害の有無、原因の調査結果が公表され次第更新します。
次に読む
- 同じ型の事案：コミューン「Commune」への不正アクセス ／ ConoHa WINGの一部サーバーへの不正アクセス
- サービス側の事故のとき利用者がやること：レンタルサーバーが不正アクセスされたとき ／ 不正アクセスの注意喚起と今週やる点検
- 鍵とパスワード：公開された認証情報は削除ではなく失効を ／ .env と APIキーの基本 ／ フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
QStudioの件で何が漏れたのですか？
Studio株式会社の2026年10月16日の発表によれば、Studioに登録しているすべての顧客について、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタ・CMSの内容、サイトのフォームに送信された内容、ライブプレビューのURL、API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Webhook通知のURLなどが流出した可能性があります。暗号化していた一部の情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとしています。実際に第三者に取得された事実は確認できていませんが、同社は取得されたものとみなして対応しています。
QStudioで作られたサイトのお問い合わせフォームを使いました。自分は対象ですか？
Studioのフォーム機能で送信され、Studioに保存されていた回答が対象です。どのサイトがStudioで作られているかは、外から見ても分かりにくいため、問い合わせや申し込みをしたサイトの運営者のお知らせを確認してください（本文の表に、当サイトが公式ページで確認したものをまとめました）。Studio株式会社によれば、送信先のサイトの運営者から案内がある場合があります。Googleフォームなど外部サービスのフォームを埋め込んだサイトで送った回答は、Studioを経由しないため対象に含まれないとしています。
Qパスワードは変えたほうがいいですか？
Studioのアカウントを持っている人は、変えてください。Studio株式会社は、パスワードはハッシュ化して保存しており元のパスワードを割り出すことは困難としつつ、その可能性を完全には否定できないとして、メールアドレスとパスワードでログインしている全員に変更を求めています。同じパスワードを他のサービスでも使っているなら、そちらも変えるよう強く勧めています。GoogleログインまたはFacebookログインだけを使い、Studioのパスワードを設定していない人は不要です。フォームを送っただけの人は、Studioのパスワードを持っていないので、この対応はありません。
Q原因は何ですか？
Studio株式会社は、第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスしたと説明しています。どの機能のどんな脆弱性かは公表されていません。脆弱性はすでに修正し、経路も塞いだとしています。原因の詳しい調査は外部の専門機関に依頼する調整を進めており、結果と再発防止策は確認が取れ次第、続報で知らせるとしています。
QStudioやサイトの運営者を名乗る連絡が来たらどうすればいいですか？
Studio株式会社は、本件に便乗して同社を装ったメールやメッセージが送られる可能性があるとして、心当たりのないリンクや添付ファイルを開かないよう呼びかけています。同社がパスワードや認証情報をメールや電話で尋ねることはなく、本件のメールにパスワードの入力を求めるリンクを入れることもないとしています。同社からのメールは @studio.design・@studio.site のアドレスと、同社ヘルプの「Studioから配信されるメールの種類と停止方法」に載っているアドレスから送られ、ログイン画面のURLは app.studio.design です。サイトの運営者を名乗る連絡も、メールのリンクではなく、自分で開いた公式サイトで確かめてください。
Qフォームで個人情報を集めていました。個人情報保護委員会への報告はどうすればいいですか？
Studio株式会社は10月17日、個人情報保護委員会からの要請を受けて、これから同委員会へ報告する予定の顧客に、個別の報告をいったん保留するよう求めました。同社が取りまとめて顧客と連名で報告できるか同委員会と協議する予定で、進め方や保留中の期限の扱いは改めて案内するとしています。保留の対象は同委員会への報告だけで、フォームを送ったサイト利用者（本人）への通知が必要となる場合があるため、引き続き検討するよう求めています。通知の要否の判断は、同社の案内でも、必要に応じて弁護士などの専門家に相談するよう書かれています。