대상 독자: Studio(studio.design)로 만든 기업·단체 사이트에서 문의, 자료 청구, 이벤트, 채용 지원 등의 폼을 전송한 분, 그리고 Studio로 사이트를 만드는 기업·단체·기관. 이 기사는 Studio Inc.와 영향을 공개한 고객 기업·단체의 공식 공지에 근거합니다. 공격 수법은 다루지 않습니다. 출처는 일본어입니다.
진행 중: 조직이 추가로 공표하는 대로 이 기사를 갱신합니다
2026년 10월 24일 기준아직 알 수 없음
- 영향을 받은 고객과 그 수
- 2차 피해(부정 로그인, 데이터 악용) 발생 여부
- 어떤 기능의 어떤 취약점인지(원인 조사 결과)
- 재발 방지책
- PPC 공동 보고 신청 방법과 신청 기간(결정되는 대로 Studio가 공지한다고 함)
Studio Inc.는 영향을 받은 고객의 범위와 수, 2차 피해 조사 결과, 원인과 재발 방지책이 확인되는 대로 공지 페이지에 속보로 공표하겠다고 밝혔습니다. 10월 24일 확인 시점에 공지 페이지의 마지막 갱신은 10월 18일이었습니다. PPC 보고에 관해 Studio는 10월 20일 고객이 개별 보고 또는 공동 보고를 선택할 수 있다고 밝혔습니다. 10월 22일에는 일본 디지털청이 자사 웹사이트 문의 폼 내용이 유출되었을 가능성이 있다고 발표했습니다.
폼 전송자가 오늘 해야 할 일
폼을 보낸 사이트 운영자의 공지를 확인하십시오
Studio는 기업, 지자체, 단체가 자체 웹사이트를 만들 때 쓰는 서비스입니다. 폼을 전송했다면 Studio가 아니라 그 사이트를 운영하는 조직에 데이터를 보낸 것입니다. 따라서 영향 여부는 어느 사이트의 폼을 이용했는지에 달려 있습니다.
아래 "영향 여부 확인" 표에서 문의한 사이트의 공지를 여십시오. 표에 없는 조직은 공식 사이트의 새소식을 확인하십시오. Studio Inc.에 따르면 폼 전송자에게 사이트 운영자가 연락할 수 있습니다. 사이트 운영자로부터 통지를 받았다면, Studio Inc.는 제출 내용의 취급과 해당 사이트의 대응을 그 운영자에게 문의하라고 안내합니다(10월 20일 추가). 회사는 운영자를 대신해 제출 내용을 보관하고 있으므로 개별 제출 내용에 대한 문의에는 답할 수 없다고 합니다. 회사가 공표한 내용에 대한 문의는 "부정 접속 문의" 폼으로 접수합니다(안내 페이지에서 이동 가능, 일본어).
보낸 내용을 언급하는 메시지라도 링크는 열지 마십시오
사람들은 폼에 이름과 이메일 외에도 많은 것을 적습니다. 회사명, 전화번호, 주소, 질문 내용이 흔하며, Uzabase의 공지에는 생년월일, 성별, 경력, 소득도 기재되어 있습니다.
이런 내용을 아는 상대의 메시지는 진짜처럼 보입니다. 이메일, 문자, 전화가 실제로 보낸 내용("최근 문의 건", "자료 청구 감사합니다")을 언급하더라도 링크나 첨부 파일은 열지 말고, 직접 연 공식 사이트의 연락처로 확인하십시오(구분 방법: 피싱이란?).
전화로 카드 번호나 인증 코드를 알려주지 마십시오
폼에 전화번호나 주소를 적었다면 이메일뿐 아니라 기업을 자칭하는 전화나 우편이 올 수 있다고 생각하십시오. 여러 고객 기업이 공지에서 이메일이나 전화로 비밀번호나 신용카드 번호를 묻지 않는다고 밝히고 있습니다. 요구받으면 끊고 공식 사이트에 기재된 번호로 다시 거십시오.
Studio 계정이 없어도 Studio에서 이메일이 올 수 있습니다
Studio Inc.는 AI 사이트 제작 기능 "Studio AI"(처음 이름은 "Auto")의 선행 이용을 2022년 12월~2023년 8월에 신청한 사람의 이메일 주소, 사용자 이름, 거주 국가(신청 시 IP 주소로 회사가 추정)도 유출되었을 가능성이 있다며 개별로 연락하고 있다고 밝혔습니다. 제목은 (일본어로) "【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び"입니다. 이 신청에서는 비밀번호나 결제 정보를 수집하지 않았으므로 비밀번호 변경은 필요 없다고 회사는 밝혔습니다.
아직 '유출 가능성' 단계라는 점을 기억하십시오
Studio Inc.는 제3자가 실제로 데이터를 가져갔는지는 확인하지 못했다고 밝혔습니다. 그래도 가져간 것으로 간주하고 대응하고 있습니다. 2차 피해 발생 여부는 조사 중입니다. 서둘러 해지하거나 다른 곳에 개인정보를 더 보낼 필요는 없습니다. 지금 할 수 있는 일은 모르는 연락에 응하지 않는 것입니다.
영향 여부 확인(고객 기업·단체의 공지)
Studio로 사이트를 만든 기업·단체가 각자 공지를 냈습니다. 표는 본 사이트가 각 조직의 공식 페이지를 열어 확인한 것입니다(2026년 10월 20일 기준, 디지털청은 10월 24일 확인). 이 밖에도 많은 조직이 공지를 냈습니다.
건수는 각 조직이 밝힌 그대로입니다. 집계 방식(예: 같은 사람의 중복 전송 포함 여부)이 달라 합산할 수 없습니다.
| 조직 | 대상 폼(발표 기준) | 건수(발표 기준) | 주요 항목(발표 기준) | 상태 | 날짜 |
|---|---|---|---|---|---|
| Luup | 포트 설치 요청, Unimo 문의, 개정 도로교통법 관련 질문 등 4개 폼(기간은 각각 다름, 2022년 2월~2025년 12월) | 합계 21,368건(같은 사람의 중복 전송 포함) | 이름, 연락처(이메일, 전화), 주소, 회사·부서 등. LUUP 앱에 등록된 데이터는 대상 아님 | 가능성 있음(회사) | 10월 16일 |
| Link-U Group | 회사 기업 사이트의 문의 폼(영향은 회사와 연결 자회사의 기업 사이트에 한정된다고 함) | 7,663건(10월 16일 기준) | 항목 미기재(범위 확인 중). 그룹이 운영하는 서비스에는 영향 없음 | 가능성 있음(회사) | 10월 16일 |
| TRUSTART | 서비스 페이지의 문의·자료 청구 폼(2021년 12월~2026년 5월) | 약 1,440건(중복 및 테스트 전송 포함) | 이름, 회사, 회사 URL, 직함, 이메일, 전화, 회사 규모, 문의 종류. 서비스 이용자 데이터는 대상 아님 | 가능성 있음(회사) | 10월 19일 |
| 사이타마현(사이타마 그린 포레스트 뮤지엄) | 뮤지엄 사이트의 이벤트 신청 및 문의 | 162건(10월 16일 기준) | 항목 미기재(유출 여부와 범위 확인 중) | 가능성 있음(현) | 10월 16일 |
| Rewired | "App Unity" 사이트의 폼(2024년 2~4월경, 현재 미사용이나 데이터가 Studio에 남아 있었음) | 6건 | 이메일, 이름, 회사, 전화, 문의 내용 등 | 가능성 있음(회사) | 10월 19일 |
| Uzabase | Studio로 구축·운영한 사이트의 문의 폼 | 미기재 | 이름, 생년월일, 성별, 주소, 전화, 이메일 및 폼에 입력된 기타 정보(소속, 경력, 소득 등). Speeda와 NewsPicks의 계정 및 비밀번호는 대상 아님 | 가능성 있음(회사) | 10월 19일 |
| 류큐신포 | 기업 사이트의 신청 및 문의 폼(Studio에 남아 있던 일부 데이터) | 미기재(10월 16일 해당자에게 이메일 발송) | 이름, 주소, 이메일, 회사, 전화, 문의 내용 | 가능성 있음(회사) | 10월 16일 |
| Kufu Company Holdings | Studio를 이용한 그룹 5개사(Kufu Company, Kufu Sumai, Kufu Wedding, KidsStar, Seven Signatures International)가 각각 공지를 게시 | 미기재 | 각 회사가 영향 여부와 대상 데이터를 확인 중 | 조사 중(회사) | 10월 16일 |
| 디지털청(일본) | 웹사이트의 문의 폼 5개 분류(일반 의견·요청, 채용, 백신 접종 증명 앱, 마이나짱 캐릭터 의상 대여, 워크숍 등 참가; 2021년 5월~2023년 3월 입력분)와 Studio 계정 데이터 | 분류별 최대 8,833건, 250건, 3,661건, 117건, 462건(본 사이트 합산 기준 전체 최대 13,323건), 계정 35건(범위 조사 중) | 이름, 이메일 주소, 문의 내용 등(앞의 네 분류는 입력한 경우에만(선택 사항) 이름과 이메일, 워크숍 분류는 이름, 이메일, 소속, 전화번호 기재). 분류에 따라 전화번호, 소속, 배송지. 계정: 디지털청 직원 및 위탁 업체 직원의 이름과 이메일 주소 | 가능성 있음(청) | 10월 22일 |
같은 Studio 사이트라도 유출된 내용은 직접 쓴 내용에 따라 다릅니다
항목은 폼이 요구한 내용과 자유 입력란에 쓴 내용에 따라 다릅니다. Luup과 TRUSTART는 자유 입력란에 쓴 내용에 따라 다른 정보가 포함되어 있을 수 있다고 밝혔습니다. 채용 지원이나 상담 같은 일부 폼은 경력이나 소득을 묻습니다. 그 폼에 무엇을 썼는지 떠올려 보십시오.
무슨 일이 있었나(Studio Inc. 발표 기준)
아래는 Studio Inc.의 2026년 10월 16일 공지(10월 17일, 18일 갱신), 10월 17일 폼 이용 고객 대상 공지, 10월 18일 공개된 안내 페이지(FAQ, 10월 19일과 20일 추가)에 근거합니다.
2026년 9월 30일 ~ 10월 1일(일본 시간)
제3자가 Studio 일부 기능의 취약점을 악용해 회사의 클라우드 환경에 접속하고 그 데이터를 외부에서 가져갈 수 있는 상태로 만듦(지금까지 확인된 기간).10월 13일
내부 조사에서 부정 접속 발견.10월 13~14일
취약점 수정 및 접속에 쓰인 경로 차단. 데이터를 외부에서 가져갈 수 없는 상태가 됨.10월 14일 오전 2시 30분경
안전을 위해 Studio에 로그인 중이던 모든 사용자를 한 번 로그아웃.10월 14일
Google Sheets 연동에 필요한 키 갱신(유출되었을 수 있는 인증 정보는 더 이상 사용 불가).10월 16일
공지(속보) 게시. API 연동, 비밀번호 보호 페이지, 폼, 커스텀 프록시, 웹훅 알림을 사용하는 프로젝트 소유자에게 기능별 이메일 발송. 같은 날부터 고객 기업·단체가 각자 공지를 게시하기 시작.10월 17일
PPC의 요청에 따라 PPC에 대한 개별 보고를 보류해 달라고 요청하는 폼 이용 고객 대상 공지 게시. 폼 제출 내용과 외부 API 키 등을 암호화하는 키를 새 키로 전환.10월 18일
사고 안내 페이지(FAQ) 공개. 공지 페이지에 대응 상황과 Google Sheets 연동 및 커스텀 프록시의 변경된 절차를 갱신.10월 19일
안내 페이지에, 영업 제안, 스팸, 안전 우려가 있는 응답이라도 개인을 식별할 수 있는 정보가 포함되어 있으면 원칙적으로 본인 통지가 필요하다는 답변을 추가.10월 20일
폼 이용 고객 대상 공지 갱신: PPC와 협의한 결과 고객이 개별 보고 또는 Studio와의 공동 보고를 선택 가능. 안내 페이지에 사이트 운영자로부터 통지를 받은 사람을 위한 항목 추가(해당 사이트 운영자에게 문의).10월 21일 22:26 ~ 10월 22일 04:05
Studio Inc.가 긴급 점검 실시. 공지에 따르면 사전 안내와 달리 공개된 사이트의 폼 전송과 일부 기능도 이용할 수 없었음(점검은 외부 소프트웨어 취약점에 대한 예방 조치였으며 이로 인한 피해는 확인되지 않았다고 함). 필요하면 방문자에게 폼을 다시 보내도록 안내해 달라고 사이트 운영자에게 요청.10월 22일
일본 디지털청이 자사 웹사이트의 문의 폼 입력 내용과 Studio 계정 데이터가 유출되었을 가능성이 있다고 발표. Studio Inc.가 10월 16일 자신들에게 사고를 보고했다고 밝힘.
폼 전송자의 데이터
Studio로 만든 사이트의 폼에 보낸 내용(이름, 연락처, 문의 등)
할 일: 사이트 공지 확인, 가짜 연락 주의
Studio 이용자의 데이터
사용자 이름, 이메일 주소, 해시된 비밀번호
할 일: Studio 비밀번호와 재사용한 비밀번호 변경
사이트 운영자가 저장한 키
API 키와 토큰, 보호 페이지 비밀번호, Sheets 연동, 프록시 키, 웹훅 URL, 라이브 프리뷰 URL
할 일: Studio의 기능별 이메일대로 교체
- 계정 데이터
- 사용자 이름, 이메일 주소, 해시된 비밀번호 등(등록된 모든 이용자)
- Studio에서 관리하는 데이터
- 디자인 에디터와 CMS 콘텐츠, 폼 제출 내용, Google reCAPTCHA v3 설정, 웹훅 알림 URL. 비밀번호 보호 페이지의 콘텐츠 포함
- 라이브 프리뷰
- 게시 전 페이지 확인에 쓰는 라이브 프리뷰의 URL
- 설정 내 인증 정보
- API 연동에 등록된 외부 서비스의 API 키와 토큰, 비밀번호 보호 페이지의 비밀번호(해시), Google Sheets 연동 인증 정보, 커스텀 프록시 키
- 암호화된 데이터
- 폼 제출 내용, API 키와 토큰, Sheets 인증 정보, 프록시 키, reCAPTCHA 설정, 웹훅 URL은 암호화되어 저장되어 있어도 같은 접속에서 복호화 키가 읽혔기 때문에 알려졌을 가능성이 있음
- 대상이 되는 폼 응답
- Studio에 저장된 응답. 휴지통으로 옮겨진 것("완전 삭제"되지 않은 것), 라이브 프리뷰에서의 테스트 전송, 플랜 한도 초과로 표시되지 않던 응답 포함. 첨부 파일은 파일명만 해당하며 파일 내용은 대상 아님
- 대상이 아닌 폼 응답
- "폼 결과를 Studio에 저장"이 꺼져 있을 때 전송된 응답, 9월 30일 이전에 완전 삭제된 응답, 다른 서비스(Google Forms 등)의 임베드 폼 응답
- Studio AI 선행 이용
- 2022년 12월~2023년 8월에 신청한 사람의 이메일 주소, 사용자 이름, 국가(Studio 계정이 없는 사람 포함)
- 발표된 원인
- 제3자가 Studio 일부 기능의 취약점을 악용. 상세는 비공개
- 대응
- 취약점 수정과 경로 차단, 결제와 로그인에 쓰이는 것을 포함한 회사 자체 인증 정보 교체, 암호화 키 전환(10월 17일) 및 기존 데이터 재암호화 진행 중
회사에 따르면 제3자가 입수한 인증 정보에는 데이터를 변경할 수 있는 권한이 포함되어 있었으나 이미 무효화했습니다. 해당 인증 정보로 이루어진 작업 기록을 조사한 결과, 디자인 에디터나 CMS 콘텐츠가 변경 또는 삭제된 기록은 확인되지 않았다고 합니다. 회사는 PPC에 보고하고 기타 관계 기관에도 대응하고 있다고 밝혔습니다.
알려진 것과 알려지지 않은 것
2026년 10월 24일 기준 상황입니다. 속보가 공표되면 상태 열을 갱신합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 부정 접속 기간 | 2026년 9월 30일~10월 1일(일본 시간, 지금까지 확인된 기간). 10월 14일까지 데이터를 외부에서 가져갈 수 있는 상태였음 | 현재까지 확인됨(회사) |
| 계정 데이터(사용자 이름, 이메일, 해시된 비밀번호 등) | 등록된 모든 이용자에 대해 유출되었을 가능성 | 가능성 있음(회사) |
| 폼 제출 내용 | Studio에 저장된 응답. 암호화된 것도 알려졌을 가능성 | 가능성 있음(회사) |
| 폼에 첨부된 파일의 내용 | 파일명만 대상이며 내용은 대상 아님 | 대상 아님(회사) |
| 다른 서비스의 임베드 폼 응답 | Studio를 거치지 않으므로 대상 아님(임베드 코드 자체는 디자인 에디터 콘텐츠로서 대상) | 대상 아님(회사) |
| API 키와 토큰, 웹훅 URL, 프록시 키 등 | 암호화된 것도 알려졌을 가능성 | 가능성 있음(회사) |
| 제3자가 실제로 데이터를 가져갔는지 | 확인되지 않음. 가져간 것으로 간주 | 확인되지 않음(회사) |
| 데이터 변경·삭제 | 작업 기록에서 변경·삭제 기록은 확인되지 않음 | 확인되지 않음(회사) |
| 영향을 받은 고객의 범위와 수 | 정밀 조사 후 공표 예정 | 조사 중 |
| 2차 피해(부정 로그인, 악용) | 조사 중 | 조사 중 |
| 원인 | 일부 기능의 취약점 악용. 상세 미기재. 외부 전문가에 의한 조사 준비 중 | 조사 중 |
| PPC 보고 | 10월 20일 안내에 따라 고객이 개별 보고 또는 Studio와의 공동 보고를 선택 가능. 공동 보고 신청 방법과 신청 기간은 추후 공지 | 확인됨(회사) |
고객 공지의 건수는 사람 수가 아닌 경우가 많습니다
Luup의 21,368건과 TRUSTART의 약 1,440건은 같은 사람의 중복 전송과 테스트 전송을 포함한 레코드 수입니다. Link-U Group과 사이타마현의 수치는 10월 16일 기준이며, 둘 다 유출 여부와 범위를 아직 확인 중이라고 밝혔습니다. 디지털청의 수치도 분류별 최대치이며 범위는 아직 조사 중입니다. 사람 수나 확정된 건수로 읽지 마십시오.
유출된 항목은 어디에 악용될 수 있나
일반적으로 이런 항목이 모이면 다음과 같은 악용이 가능해집니다. 이번 사례에서 실제로 일어났다는 뜻은 아닙니다.
- 이름 + 이메일 + 문의 내용: 보낸 사람만 아는 주제("문의하신 건")를 언급하는 가짜 이메일
- 회사 + 직함 + 전화번호: 거래처나 영업 담당자를 사칭한 전화, 청구서를 사칭한 이메일의 소재
- 생년월일, 주소, 경력, 소득(해당 항목을 물은 폼): 가짜 본인 확인, 투자나 부업 권유를 그럴듯하게 보이게 하는 소재
- 사이트 운영자의 API 키와 웹훅 URL: 키로 외부 서비스의 데이터를 읽음, 웹훅 수신처(채팅 서비스 등)에 가짜 알림 전송
하나의 서비스에서 여러 고객 기업의 데이터가 노출된 또 다른 사례로 2026년 10월의 Commune 부정 접속이 있습니다. 그 경우에도 항목과 수가 고객별로 달랐고, 확인 방법은 각 커뮤니티를 운영한 회사의 공지였습니다.
Studio 사이트를 가진 조직이 해야 할 일
Studio Inc.는 모든 고객에 대한 요청과 특정 기능을 쓰는 고객에 대한 요청을 구분합니다. 아래 단계는 그 순서를 따릅니다. 영향을 받는 프로젝트 이름과 할 일은 2026년 10월 16일에 보낸 기능별 이메일(제목이 "【重要】不正アクセスに伴う、"로 시작)에 있습니다. 이메일은 프로젝트 소유자에게 가며, 찾을 수 없으면 스팸 폴더를 확인하고 회사 문의 폼으로 연락하라고 합니다.
Studio 비밀번호 변경(같은 비밀번호를 쓴 다른 서비스도)
라이브 프리뷰 URL을 삭제하고 필요하면 다시 발급
회사는 발급된 라이브 프리뷰 URL이 특정되었는지는 확인하지 못했지만 완전히 배제할 수는 없다며 소유자에게 삭제를 요청합니다. 삭제된 URL은 작동하지 않습니다. 프리뷰를 계속 공유해야 하면 삭제한 뒤 새 URL을 발급해 다시 보내십시오.
API 연동 키는 새 키 발급, Studio 갱신, 이전 키 폐기 순서로 교체
Data Connect API 또는 API Integration(베타)에 외부 서비스(콘텐츠, 문서 서비스 등)의 API 키나 토큰을 등록한 경우에 해당합니다. 외부 서비스의 키는 발급한 서비스가 관리하므로 Studio가 무효화할 수 없고, 소유자가 직접 교체해야 한다고 회사는 밝혔습니다.
순서는 각 서비스에서 새 키 발급, Studio 설정을 새 키로 갱신, 마지막으로 각 서비스에서 이전 키 폐기입니다. 이전 키를 먼저 폐기하면 사이트의 연동이 멈출 수 있습니다. 회사는 더 이상 쓰지 않는 외부 서비스의 키도 폐기할 것을 권합니다. 각 서비스의 이용 내역에서 2026년 9월 30일 이후 예상치 못한 사용이 없는지 확인하십시오(삭제만으로는 부족하고 폐기가 필요한 이유: GitHub에 공개된 인증 정보가 여전히 유효했던 사례).
비밀번호 보호 페이지의 비밀번호를 변경하고 열람자에게 새 비밀번호 안내
비밀번호는 해시되어 저장되어 있었지만 회사는 복원 가능성을 완전히 배제할 수 없다며 소유자에게 변경을 요청합니다. 비밀번호 보호 페이지의 콘텐츠 자체도 유출 가능성이 있는 데이터에 포함됩니다. 기밀 자료를 비밀번호 뒤에 두었다면 그 내용은 알려진 것으로 간주하십시오.
폼으로 수집한 개인정보: PPC에 개별 보고할지 공동 보고할지 선택하고, 당사자 통지 검토
회사는 10월 16일 기능별 이메일에서, 폼으로 방문자의 개인정보를 수집한 사이트 운영자는 개인정보 취급 사업자로서 PPC 보고와 당사자 통지가 필요할 수 있다고 밝혔습니다.
회사는 10월 17일 고객에게 PPC에 대한 개별 보고를 보류해 달라고 요청했고, 10월 20일에는 PPC와 협의한 결과 고객이 개별 보고 또는 Studio와의 공동 보고를 선택할 수 있다고 밝혔습니다. 공동 보고를 선택하고 PPC와 합의한 방법으로 제출하면, 이번 사고에 한해 속보 보고의 가이드라인 기간이 지났더라도 지연으로 취급되지 않습니다. 신청 방법과 신청 기간은 정해지는 대로 Studio가 공지합니다. 보류 요청과 관계없이 개별 보고를 할 수 있으며, 이미 개별 보고를 했다면 공동 보고로 전환할 수 있습니다(그 경우 별도의 최종 보고는 필요 없음). 공동 보고에는 당사자 통지가 포함되지 않습니다. 회사의 안내 페이지에는 통지 필요 여부를 판단하는 기준(폼이 업무에 쓰였는지, 응답에 개인정보가 포함되어 있는지, 해당 데이터가 영향을 받을 수 있는지)과 자사 사이트에 게시할 공지 양식이 있습니다. 판단이 어려우면 변호사 등 전문가와 상담하라고도 권합니다.
영업 제안, 스팸, 곤란한 응답을 그냥 제외할 수는 없습니다. 회사는 10월 19일 PPC 통칙 가이드라인의 "본인에 대한 통지" 항목을 인용해 다음과 같이 답했습니다.
- 응답이 보내진 이유나 내용만으로 통지 대상에서 제외할 수 없습니다. 이름이나 이메일 주소처럼 특정 개인을 식별할 수 있는 정보가 포함되어 있으면 원칙적으로 본인에게 통지해야 합니다
- 봇이 보낸 의미 없는 문자열처럼 특정 개인을 식별할 수 없는 응답은 통지가 아예 필요 없을 수 있습니다
- 연락처가 없거나 연락이 닿지 않는 등 통지가 어려운 경우에는 공표 등 대체 조치가 허용됩니다
- 살해 협박 등 안전에 우려가 있는 응답은 통지 방법과 시기를 변호사 등 전문가나 경찰과 상담하십시오
Google Sheets 연동: 연결 해제, Google에서 접근 권한 제거, 다시 연결
회사는 10월 14일 연결에 필요한 키를 갱신했으며 유출되었을 수 있는 인증 정보는 더 이상 쓸 수 없다고 밝혔습니다. 더 확실히 하려면 Studio에서 연동을 해제하고, Google 계정의 "연결된 앱" 페이지에서 Studio의 접근 권한을 제거한 뒤 다시 연결하라고 권합니다. 연결되어 있던 시트는 9월 30일~10월 14일 사이에 추가된 응답 외에 예상치 못한 편집이 없는지 버전 기록으로 확인하십시오.
커스텀 프록시 키를 교체하고 완료 보고
회사는 새 프록시 키를 발급해 대상 프로젝트에 적용했습니다. 자사 서버 설정(리버스 프록시, CDN 등)에서 키를 바꾸고 완료되면 회사 문의 폼으로 알리십시오. 그러면 이전 키를 무효화합니다. 기한은 10월 16일 이메일을 받은 날부터 30일입니다.
웹훅 URL은 새 URL 생성, Studio 갱신, 이전 URL 비활성화 순서로 전환
URL을 아는 제3자가 수신처에 메시지를 보낼 수 있습니다. 회사는 수신 서비스(채팅 서비스의 수신 웹훅 등)에서 새 URL을 만들고, Studio 프로젝트 설정에서 갱신해 "테스트 전송"으로 확인한 뒤 이전 URL을 비활성화할 것을 권합니다. 9월 30일 이후 예상치 못한 알림이 없는지도 확인하고, 발견한 알림의 링크는 열지 마십시오.
reCAPTCHA 시크릿 키와 임베드 코드
Google reCAPTCHA v3 시크릿 키에 대해 회사는 모든 고객에게 교체를 요청하지 않습니다. 키만으로는 폼 응답을 열람하거나 Google 관리 콘솔에 들어갈 수 없다고 합니다. 폼 전송이 안 되거나 콘솔에서 예상치 못한 사용량 증가가 보이면 새 키로 전환할 것을 권합니다. Studio에 붙여 넣은 임베드 코드는 디자인 에디터 콘텐츠로서 대상이므로, 그 코드에 API 키 등 비밀로 해야 하는 값이 있다면 외부 서비스에서 새 값으로 바꾸라고 회사는 밝혔습니다.
본 사이트의 견해: 더 이상 쓰지 않는 폼의 응답도 Studio에 남아 있었다
고객 공지를 나란히 보면, 대상 데이터의 상당 부분은 지금 쓰는 폼이 아니라 과거에 쓴 폼에서 나왔습니다. Rewired는 2024년 24월경 쓴 폼의 응답이 설정을 바꾼 뒤에도 Studio에 남아 있었다고 밝혔습니다. TRUSTART는 2021년 12월2026년 5월에 전송된 응답을, Luup은 2022년 2월 이후 여러 기간의 응답을 기재했습니다.
Studio Inc.에 따르면 휴지통으로 옮기기만 한 응답은 대상이고, 9월 30일 이전에 완전 삭제된 응답과 "폼 결과를 Studio에 저장"이 꺼져 있을 때 전송된 응답은 대상이 아닙니다. 응답을 저장하지 않는 설정과 오래된 응답의 삭제가 노출 범위를 갈랐습니다.
폼마다 응답이 어디로 가고 얼마나 보관되는지 정하십시오
이미 이메일 알림이나 자체 시스템으로 응답을 받고 있다면 Studio 대시보드에 보관할 필요가 있는지 검토하십시오. 필요하다면 기간(예: 문의 처리 후 일정 개월 수)을 정하고, 그 기간이 지나면 내보낸 뒤 "완전 삭제"하십시오. 휴지통으로 옮기는 것은 삭제가 아닙니다.
서비스 이용을 중단할 때는 그 서비스의 데이터를 삭제하십시오
폼을 다른 서비스로 옮기거나 사이트를 닫을 때 이전 서비스에 데이터가 남아 있지 않은지 확인하십시오. TRUSTART도 외부 서비스 이용을 중단할 때 데이터를 삭제하는 절차를 재검토하겠다고 밝혔습니다.
외부 서비스에 저장한 키의 목록을 관리하십시오
이번 사례에서 소유자는 비밀번호, API 키, 비밀번호 보호 페이지, Sheets 연동, 프록시 키, 웹훅 URL의 변경을 요청받았습니다. 어느 프로젝트의 어느 키가 어느 서비스에 등록되어 있는지 목록이 있으면 다음에 빠뜨리기 어렵습니다(호스팅 측의 비슷한 사례: 웹 호스팅 업체가 침해당했을 때, ConoHa WING 일부 서버 부정 접속).
자사 시스템의 이상 여부를 확인하는 순서는 2026년 10월 일본의 부정 접속 경고와 이번 주에 확인할 것을 참고하십시오.
출처(공개 자료)
이 기사의 사실은 아래 공개 정보(일본어)에 근거합니다. 공개되지 않은 부정 접속 수법은 추측하지 않았습니다.
- Studio Inc., "[중요] 부정 접속에 따른 정보 유출에 대한 사과와 요청(속보)"(2026년 10월 16일, 10월 17일·18일 갱신) — studio.design
- Studio Inc., "[중요] 폼 기능을 이용하시는 고객님께: 개인정보보호위원회 보고 안내"(2026년 10월 17일, 10월 20일에 개별·공동 보고 선택을 반영해 갱신, 제목에서 "(속보)" 삭제) — studio.design
- Studio Inc., "Studio에 대한 부정 접속 안내"(2026년 10월 18일 공개, 10월 19일·20일 추가) — studio.design
- Luup, Inc., 웹 폼으로 전송된 개인정보 유출 가능성 공지(2026년 10월 16일) — luup.sc
- Link-U Group Inc., Studio Inc.에 대한 부정 접속에 따른 개인정보 유출 가능성 공지(2026년 10월 16일) — content.link-u.co.jp
- TRUSTART Inc., 자사 웹사이트 문의 폼 제출 내용 유출 가능성에 대한 사과와 공지(2026년 10월 19일) — trustart.co.jp
- 사이타마현, Studio Inc.에 대한 부정 접속에 따른 개인정보 유출 가능성 공지(2026년 10월 16일) — pref.saitama.lg.jp
- Rewired Inc., 이용 중인 외부 서비스에 대한 부정 접속으로 인한 개인정보 유출 가능성 사과와 공지(2026년 10월 19일) — rewired.jp
- Uzabase, Inc., 노코드 웹사이트 플랫폼 Studio에 대한 부정 접속에 따른 정보 유출 가능성 공지(2026년 10월 19일) — uzabase.com
- 류큐신포, Studio Inc.에 대한 부정 접속에 따른 개인정보 유출 가능성 공지(2026년 10월 16일) — corp.ryukyushimpo.jp
- Kufu Company Holdings Inc., 외부 서비스 Studio에 대한 부정 접속이 그룹에 미치는 영향(속보)(2026년 10월 16일) — kufu.co.jp
- Studio Inc., 10월 21일 22시부터의 긴급 점검 공지(10월 22일 04:05 종료)(2026년 10월 22일 갱신, 일본어) — studio.design
- 디지털청(일본), "Studio Inc.에 대한 부정 접속에 따른 개인정보 유출 가능성"(2026년 10월 22일) — digital.go.jp
갱신 이력
2026-10-24: 디지털청의 10월 22일 공지(웹사이트 문의 폼의 2021년 5월~2023년 3월 입력분, 가장 많은 분류 최대 8,833건, Studio 계정 35건)를 고객 조직 표, 타임라인, FAQ에 추가했습니다. Studio Inc.의 10월 20일 업데이트(고객이 PPC에 개별 또는 공동 보고를 선택 가능)를 반영해 사이트 운영자 대상 단계와 상태 표를 고쳐 썼습니다. 10월 24일 기준 Studio Inc.의 공지 페이지는 10월 18일이 마지막 갱신이며, 수치와 원인 조사 결과는 공표되지 않았습니다.
2026-10-24(추가): 디지털청의 분류별 최대치의 합계(최대 13,323건, 디지털청은 합계를 제시하지 않았으므로 본 사이트의 합산)와, 디지털청이 Studio Inc.가 10월 16일 자신들에게 보고했다고 밝힌 점을 추가했습니다. Studio Inc.가 10월 19일과 20일에 안내 페이지에 추가한 내용(영업 제안, 스팸, 안전 우려가 있는 응답도 개인을 식별할 수 있으면 원칙적으로 통지 필요, 안전 우려는 변호사나 경찰에 상담, 사이트 운영자로부터 통지를 받은 사람은 그 운영자에게 문의)을 사이트 운영자와 폼 전송자 대상 단계, FAQ, 타임라인에 반영했습니다. 타임라인에서 10월 21일 점검과 10월 22일 디지털청 공지의 순서를 바로잡았습니다.
2026-10-20: 최초 버전. Studio Inc.의 10월 16일 공지(10월 17일·18일 갱신 포함), 10월 17일 폼 이용 고객 대상 공지, 10월 18일 안내 페이지, 고객 기업·단체 8곳의 공지에 근거했습니다. 수치, 2차 피해, 원인 조사 결과가 공표되면 갱신합니다.
다음에 읽을 글
- 비슷한 사례: Commune 부정 접속 / ConoHa WING 일부 서버 부정 접속
- 업체가 침해당했을 때 고객이 해야 할 일: 웹 호스팅 업체가 침해당했을 때 / 2026년 10월 일본의 경고와 이번 주에 확인할 것
- 키와 비밀번호: 유출된 인증 정보는 삭제가 아니라 폐기 / .env와 API 키 기초 / 피싱이란?
- 2026년의 다른 사고: 2026년의 개인정보 유출과 사이버 공격