Para quem é: pessoas que enviaram um formulário de contato, pedido de material, evento, candidatura a vaga ou outro em um site de empresa ou organização feito com o Studio (studio.design), e empresas, organizações e agências que criam sites com o Studio. Este artigo se baseia nos comunicados oficiais da Studio Inc. e das empresas e organizações clientes que divulgaram impacto. Ele não trata de como o ataque foi realizado. As fontes estão em japonês.
Em desenvolvimento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- Quais clientes foram afetados e quantos
- Se houve algum dano secundário (logins não autorizados, uso indevido de dados)
- Qual recurso e qual vulnerabilidade (resultados da investigação da causa)
- Medidas para evitar a repetição
- Como solicitar a comunicação conjunta à PPC e o prazo de solicitação (a Studio diz que anunciará quando forem definidos)
A Studio Inc. diz que publicará o escopo e o número de clientes afetados, os resultados da investigação sobre danos secundários e a causa e as medidas de prevenção como atualizações na sua página de comunicados quando confirmados. Quando conferida em 24 de outubro, a página de comunicados tinha sido atualizada pela última vez em 18 de outubro. Sobre a comunicação à PPC, a Studio disse em 20 de outubro que os clientes podem escolher comunicação individual ou conjunta. Em 22 de outubro, a Agência Digital do Japão anunciou que o conteúdo dos formulários de contato do seu site pode ter vazado.
O que quem enviou formulários deve fazer hoje
Verifique o comunicado do dono do site para o qual você enviou o formulário
O Studio é um serviço que empresas, governos locais e organizações usam para criar seus próprios sites. Se você enviou um formulário, enviou seus dados à organização que administra o site, não ao Studio. Portanto, ser afetado ou não depende de qual site teve o formulário que você usou.
Abra o comunicado do site que você contatou na tabela "Verifique se você foi afetado" abaixo. Para organizações que não estão na tabela, consulte a seção de notícias do site oficial delas. Segundo a Studio Inc., quem enviou formulários pode ser contatado pelo dono do site. Se um dono de site o notificou, a Studio Inc. diz para perguntar a ele como o seu envio é tratado e o que o site fará (acrescentado em 20 de outubro). A empresa diz que guarda os envios em nome dos donos e não pode responder a perguntas sobre envios individuais. Dúvidas sobre o que a empresa publicou são recebidas pelo formulário "consulta sobre acesso não autorizado" (acessível a partir de sua página de orientação, em japonês).
Não abra links, mesmo em mensagens que mencionem o que você enviou
As pessoas escrevem mais do que nome e e-mail em formulários. Nomes de empresas, telefones, endereços e detalhes da dúvida são comuns, e o comunicado da Uzabase lista data de nascimento, gênero, histórico profissional e renda.
Uma mensagem de alguém que conhece esses detalhes parece verdadeira. Mesmo que um e-mail, SMS ou ligação faça referência a algo que você realmente enviou ("sobre sua consulta recente", "obrigado por pedir nosso folheto"), não abra seus links ou anexos; confira pelos contatos do site oficial que você mesmo abrir (como reconhecer: O que é phishing?).
Não informe números de cartão nem códigos de verificação por telefone
Se você escreveu seu telefone ou endereço em um formulário, considere que ligações ou cartas que dizem vir de uma empresa também são possíveis, não só e-mails. Várias empresas clientes afirmam em seus comunicados que nunca pedem senhas ou números de cartão de crédito por e-mail ou telefone. Se pedirem, desligue e ligue de volta para o número listado no site oficial.
Você pode receber um e-mail da Studio mesmo sem ter conta no Studio
A Studio Inc. diz que o endereço de e-mail, o nome de usuário e o país de residência (estimado pela empresa a partir do endereço IP usado na inscrição) de quem se inscreveu para acesso antecipado ao seu recurso de criação de sites com IA "Studio AI" (inicialmente chamado "Auto") entre dezembro de 2022 e agosto de 2023 também podem ter vazado, e que está entrando em contato com essas pessoas individualmente. O assunto do e-mail é (em japonês) "【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び". Nenhuma senha nem dado de pagamento foi coletado nessa inscrição, portanto não é preciso trocar senha, segundo a empresa.
Lembre-se de que ainda estamos na fase de 'pode ter vazado'
A Studio Inc. diz que não confirmou que um terceiro realmente levou os dados. Mesmo assim, a empresa trata os dados como levados. Se houve algum dano secundário está sob investigação. Não há necessidade de correr para cancelar nada nem de enviar mais dados pessoais a ninguém. Não responder a contatos desconhecidos é o que você pode fazer agora.
Verifique se você foi afetado (comunicados de empresas e organizações clientes)
As empresas e organizações que criaram sites com o Studio publicaram, cada uma, seus comunicados. A tabela lista os que este site conferiu abrindo a página oficial de cada organização (em 20 de outubro de 2026; a Agência Digital foi conferida em 24 de outubro). Muitas outras também publicaram comunicados.
As quantidades são as declaradas por cada organização. Elas são contadas de formas diferentes (por exemplo, se envios repetidos da mesma pessoa estão incluídos), portanto não podem ser somadas.
| Organização | Formulários no escopo (conforme declarado) | Registros (conforme declarado) | Principais itens (conforme declarado) | Situação | Data |
|---|---|---|---|---|---|
| Luup | Quatro formulários, incluindo pedidos de instalação de pontos, consultas sobre o Unimo e dúvidas sobre a lei de trânsito revisada (vários períodos, fev. 2022–dez. 2025) | 21.368 no total (inclui envios repetidos da mesma pessoa) | Nome, dados de contato (e-mail, telefone), endereço, empresa e departamento, e mais. Dados registrados no aplicativo LUUP não estão no escopo | Possível (empresa) | 16 out. |
| Link-U Group | O formulário de contato do site corporativo da empresa (diz que o impacto se limita aos sites corporativos da empresa e de suas subsidiárias consolidadas) | 7.663 (em 16 out.) | Itens não informados (escopo em verificação). Sem impacto nos serviços operados pelo grupo | Possível (empresa) | 16 out. |
| TRUSTART | Formulários de consulta e de pedido de material nas páginas de serviços (dez. 2021–maio 2026) | Cerca de 1.440 (inclui envios repetidos e de teste) | Nome, empresa, URL da empresa, cargo, e-mail, telefone, porte da empresa, tipo de consulta. Dados de usuários dos seus serviços não estão no escopo | Possível (empresa) | 19 out. |
| Província de Saitama (Museu Floresta Verde de Saitama) | Inscrições em eventos e consultas no site do museu | 162 (em 16 out.) | Itens não informados (se houve vazamento e seu escopo estão sendo verificados) | Possível (província) | 16 out. |
| Rewired | Formulário do site "App Unity" (por volta de fev.–abr. 2024; não é mais usado, mas os dados permaneceram no Studio) | 6 | E-mail, nome, empresa, telefone, detalhes da consulta e mais | Possível (empresa) | 19 out. |
| Uzabase | Formulários de contato em sites que criou e operou com o Studio | Não informado | Nome, data de nascimento, gênero, endereço, telefone, e-mail e outras informações inseridas nos formulários (afiliação, histórico profissional, renda etc.). Contas e senhas do Speeda e do NewsPicks não estão no escopo | Possível (empresa) | 19 out. |
| Ryukyu Shimpo | Formulários de inscrição e de contato em seu site corporativo (alguns dados que permaneceram no Studio) | Não informado (pessoas afetadas receberam e-mail em 16 out.) | Nome, endereço, e-mail, empresa, telefone, detalhes da consulta | Possível (empresa) | 16 out. |
| Kufu Company Holdings | Cinco empresas do grupo que usaram o Studio (Kufu Company, Kufu Sumai, Kufu Wedding, KidsStar, Seven Signatures International) publicaram cada uma um comunicado | Não informado | Cada empresa está verificando se há dados afetados e quais | Em investigação (empresa) | 16 out. |
| Agência Digital (Japão) | Cinco categorias de formulários de contato em seu site (opiniões e pedidos gerais, recrutamento, aplicativo do certificado de vacinação, empréstimo da fantasia do mascote Myna-chan, workshop e outras participações; entradas de maio de 2021 a março de 2023), mais dados de contas do Studio | Até 8.833, 250, 3.661, 117 e 462 por categoria (até 13.323 no total, somados por este site); 35 contas (escopo em exame) | Nome, endereço de e-mail, texto da consulta e mais (nas quatro primeiras categorias, nome e e-mail apenas se informados (opcionais); a categoria de workshop lista nome, e-mail, afiliação e telefone). Conforme a categoria, telefone, afiliação, endereço de entrega. Contas: nomes e endereços de e-mail de funcionários da agência e de funcionários de contratadas | Possível (agência) | 22 out. |
No mesmo site feito no Studio, o que vazou depende do que você escreveu
Os itens dependem do que o formulário pedia e do que você escreveu nos campos de texto livre. A Luup e a TRUSTART dizem que os campos de texto livre podem conter outras informações, conforme o que foi escrito. Alguns formulários, como candidaturas a vagas ou consultas, pedem histórico profissional ou renda. Lembre-se do que você escreveu naquele formulário.
O que aconteceu (segundo a Studio Inc.)
O que segue se baseia no comunicado da Studio Inc. de 16 de outubro de 2026 (atualizado em 17 e 18 de outubro), no seu comunicado de 17 de outubro para usuários de formulários e na página de orientação (FAQ) publicada em 18 de outubro (com acréscimos em 19 e 20 de outubro).
30 de setembro – 1º de outubro de 2026 (horário do Japão)
Um terceiro explora uma vulnerabilidade em alguns recursos do Studio para acessar o ambiente de nuvem da empresa e torna seus dados acessíveis de fora (o período confirmado até agora).13 de outubro
Acesso não autorizado descoberto em uma investigação interna.13–14 de outubro
Vulnerabilidade corrigida e rota usada no acesso fechada. Os dados deixam de ser acessíveis de fora.Cerca das 2h30, 14 de outubro
Todos os conectados ao Studio foram desconectados uma vez, por segurança.14 de outubro
Chave necessária para a integração com o Google Sheets atualizada (credenciais que possam ter vazado não podem mais ser usadas).16 de outubro
Comunicado (primeiro relatório) publicado. E-mails por recurso enviados aos donos de projetos que usam integrações de API, páginas protegidas por senha, formulários, proxy personalizado ou notificações de webhook. Empresas e organizações clientes começam a publicar seus próprios comunicados no mesmo dia.17 de outubro
Comunicado para usuários de formulários publicado, pedindo, a pedido da PPC, que suspendam comunicações individuais à PPC. A chave que criptografa envios de formulários, chaves de API externas e dados semelhantes foi trocada por uma nova.18 de outubro
Página de orientação (FAQ) sobre o incidente publicada. Página de comunicados atualizada com a situação da resposta e com etapas alteradas para a integração com o Google Sheets e o proxy personalizado.19 de outubro
A página de orientação acrescenta uma resposta de que até respostas que sejam propaganda comercial, spam ou que gerem preocupação de segurança exigem, em princípio, notificação ao indivíduo se contiverem informações que identifiquem uma pessoa.20 de outubro
Comunicado para usuários de formulários atualizado: após conversas com a PPC, os clientes podem escolher comunicar individualmente ou em conjunto com a Studio. A página de orientação acrescenta uma seção para pessoas notificadas por um dono de site (perguntar a esse dono de site).22h26 de 21 de outubro às 04h05 de 22 de outubro
A Studio Inc. realizou manutenção de emergência. Seu comunicado diz que, diferentemente do que havia anunciado antes, os envios de formulários em sites publicados e algumas outras funções também ficaram indisponíveis (diz que a manutenção foi uma precaução contra vulnerabilidades em software externo e que nenhum dano decorrente dela foi encontrado). Pede que os donos de sites digam aos visitantes para reenviar formulários quando necessário.22 de outubro
A Agência Digital do Japão anuncia que entradas de formulários de contato do seu site e dados de contas do Studio podem ter vazado. Diz que a Studio Inc. comunicou o incidente a ela em 16 de outubro.
Dados de quem enviou formulários
O que enviaram em formulários de sites feitos no Studio (nome, dados de contato, consulta e mais)
O que fazer: verificar o comunicado do site; atenção a contatos falsos
Dados de usuários do Studio
Nome de usuário, endereço de e-mail, senha com hash
O que fazer: trocar a senha do Studio e qualquer senha reutilizada
Chaves armazenadas por donos de sites
Chaves de API e tokens, senhas de páginas protegidas, integração com o Sheets, chave de proxy, URLs de webhook, URLs de pré-visualização ao vivo
O que fazer: renovar conforme descrevem os e-mails por recurso da Studio
- Dados de conta
- Nomes de usuário, endereços de e-mail, senhas com hash e mais (todos os usuários cadastrados)
- Dados gerenciados no Studio
- Conteúdo do editor de design e do CMS, envios de formulários, configurações do Google reCAPTCHA v3, URLs de notificação de webhook. O conteúdo de páginas protegidas por senha está incluído
- Pré-visualização ao vivo
- URLs de pré-visualizações ao vivo usadas para conferir páginas antes de publicar
- Credenciais nas configurações
- Chaves de API e tokens de serviços externos registrados em integrações de API, senhas de páginas protegidas por senha (com hash), credenciais da integração com o Google Sheets, chaves de proxy personalizado
- Dados criptografados
- Envios de formulários, chaves de API e tokens, credenciais do Sheets, chaves de proxy, configurações do reCAPTCHA e URLs de webhook podem ser conhecidos mesmo quando armazenados de forma criptografada, porque a chave necessária para descriptografá-los foi lida no mesmo acesso
- Respostas de formulários no escopo
- Respostas armazenadas no Studio, incluindo as movidas para a lixeira (não "excluídas permanentemente"), envios de teste de pré-visualizações ao vivo e respostas que não puderam ser exibidas por exceder o limite do plano. Para anexos, apenas os nomes dos arquivos; não o conteúdo dos arquivos
- Respostas de formulários fora do escopo
- Respostas enviadas enquanto "salvar resultados do formulário no Studio" estava desativado, respostas excluídas permanentemente antes de 30 de setembro e respostas a formulários incorporados de outros serviços (como o Google Forms)
- Acesso antecipado ao Studio AI
- E-mail, nome de usuário e país de quem se inscreveu entre dezembro de 2022 e agosto de 2023 (incluindo pessoas sem conta no Studio)
- Causa conforme descrita
- Um terceiro explorou uma vulnerabilidade em alguns recursos do Studio. Detalhes não divulgados
- Resposta
- Vulnerabilidade corrigida e rota fechada; credenciais da própria empresa, incluindo as usadas para pagamentos e login, substituídas; chave de criptografia trocada (17 de outubro) e dados mais antigos sendo recriptografados
Segundo a empresa, as credenciais que o terceiro obteve incluíam permissão para alterar dados, mas foram desativadas. Ela examinou o registro das operações feitas com essas credenciais e confirmou que não há registro de conteúdo do editor de design ou do CMS ter sido alterado ou excluído. Diz que está comunicando à PPC e tratando com outras autoridades relevantes.
O que sabemos e o que não sabemos
Situação em 24 de outubro de 2026. Quando atualizações forem publicadas, a coluna de situação será atualizada.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Período do acesso não autorizado | 30 de setembro a 1º de outubro de 2026 (horário do Japão; o período confirmado até agora). Os dados continuaram acessíveis de fora até 14 de outubro | Confirmado até agora (empresa) |
| Dados de conta (nomes de usuário, e-mails, senhas com hash e mais) | Podem ter vazado para todos os usuários cadastrados | Possível (empresa) |
| Envios de formulários | Respostas armazenadas no Studio. Mesmo as criptografadas podem ser conhecidas | Possível (empresa) |
| Conteúdo de arquivos anexados a formulários | Apenas os nomes dos arquivos estão no escopo; o conteúdo não | Não incluído (empresa) |
| Respostas a formulários incorporados de outros serviços | Fora do escopo porque não passam pelo Studio (o código de incorporação em si está no escopo como conteúdo do editor de design) | Não incluído (empresa) |
| Chaves de API e tokens, URLs de webhook, chaves de proxy e mais | Mesmo os criptografados podem ser conhecidos | Possível (empresa) |
| Se um terceiro realmente levou os dados | Não confirmado. Tratado como levado | Nada encontrado (empresa) |
| Alteração ou exclusão de dados | Nenhum registro de alteração ou exclusão encontrado nos registros de operações | Nada encontrado (empresa) |
| Escopo e número de clientes afetados | A serem publicados após análise | Em investigação |
| Dano secundário (logins não autorizados, uso indevido) | Em investigação | Em investigação |
| Causa | Exploração de uma vulnerabilidade em alguns recursos. Detalhes não informados. Providenciando investigação por um especialista externo | Em investigação |
| Comunicações à PPC | Conforme a orientação de 20 de outubro, os clientes podem escolher comunicar individualmente ou em conjunto com a Studio. Como solicitar a comunicação conjunta e o prazo de solicitação serão anunciados | Confirmado (empresa) |
As quantidades nos comunicados dos clientes muitas vezes não são números de pessoas
Os 21.368 da Luup e os cerca de 1.440 da TRUSTART são contagens de registros que incluem envios repetidos da mesma pessoa e envios de teste. Os números do Link-U Group e da Província de Saitama são de 16 de outubro, e ambos dizem que se houve vazamento e seu escopo ainda estão sendo verificados. Os números da Agência Digital também são máximos por categoria, e o escopo ainda está sendo examinado. Não os leia como números de pessoas nem como contagens confirmadas.
Para que os itens vazados podem ser usados
Em geral, quando esses itens se juntam, o seguinte uso indevido se torna possível. Isso não significa que tenha acontecido neste caso.
- Nome + e-mail + detalhes da consulta: e-mails falsos que citam assuntos que só quem enviou conheceria ("sobre sua consulta")
- Empresa + cargo + telefone: material para ligações que se passam por parceiro comercial ou contato de vendas, ou e-mails que se passam por cobranças
- Data de nascimento, endereço, histórico profissional, renda (nos formulários que pediram): material para falsas verificações de identidade, ou para fazer ofertas de investimento ou de trabalho extra parecerem confiáveis
- Chaves de API e URLs de webhook de donos de sites: dados em serviços externos lidos com a chave; notificações falsas enviadas ao destino do webhook (como um serviço de chat)
Outro caso em que um serviço expôs dados de muitas empresas clientes é o acesso não autorizado ao Commune, de outubro de 2026. Ali também os itens e os números variaram por cliente, e a forma de verificar era o comunicado da empresa que administrava cada comunidade.
O que organizações com sites no Studio devem fazer
A Studio Inc. separa seus pedidos a todos os clientes dos pedidos a clientes que usam certos recursos. As etapas abaixo seguem a ordem dela. Os nomes dos projetos afetados e o que fazer estão nos e-mails por recurso enviados em 16 de outubro de 2026 (os assuntos começam com "【重要】不正アクセスに伴う、"). Os e-mails vão para os donos dos projetos; se você não encontrar um, verifique a pasta de spam e entre em contato pelo formulário de consulta da empresa, diz ela.
Troque sua senha do Studio (e a de qualquer outro serviço em que você a usou)
Isto vale se você entra com endereço de e-mail e senha. A empresa recomenda fortemente trocar também a senha dos outros serviços em que você usou a mesma. Se você usa apenas login do Google ou do Facebook e nunca definiu uma senha no Studio, isso não é necessário.
Porém, a empresa diz que, se você alguma vez se cadastrou ou entrou com e-mail e senha, pode haver uma senha definida; nesse caso, redefina-a em "Esqueceu a senha?" na tela de login. Para entender o que significa hash, veja hash de senha; para deixar de reutilizar senhas, veja gerenciadores de senhas.
Exclua as URLs de pré-visualização ao vivo e emita novas se necessário
A empresa não confirmou que alguma URL de pré-visualização ao vivo emitida tenha sido identificada, mas não pode descartar isso totalmente; por isso pede aos donos que as excluam. Uma URL excluída deixa de funcionar. Se você ainda precisar compartilhar uma pré-visualização, emita uma nova URL depois de excluir e envie de novo.
Renove as chaves de integração de API nesta ordem: emita uma nova chave, atualize o Studio, revogue a chave antiga
Isto vale se você registrou chaves de API ou tokens de serviços externos (como serviços de conteúdo e de documentos) no Data Connect API ou na Integração de API (Beta). As chaves de serviços externos são gerenciadas pelo serviço emissor, portanto o Studio não pode desativá-las; os donos devem renová-las, diz a empresa.
A ordem é: emitir uma nova chave em cada serviço, atualizar a configuração do Studio com a nova chave e, por fim, revogar a chave antiga em cada serviço. Revogar primeiro a chave antiga pode interromper a integração no seu site. A empresa também recomenda revogar chaves de serviços externos que você não usa mais. Verifique no histórico de uso de cada serviço se houve algum uso inesperado desde 30 de setembro de 2026 (por que excluir não basta e é preciso revogar: credenciais publicadas no GitHub continuaram funcionando).
Troque as senhas de páginas protegidas por senha e informe a nova a quem as visualiza
As senhas foram armazenadas com hash, mas a empresa não pode descartar totalmente a sua recuperação; por isso pede aos donos que as troquem. O conteúdo das páginas protegidas por senha está entre os dados que podem ter vazado. Se você colocou material confidencial atrás de uma senha, trate o conteúdo como conhecido.
Dados pessoais coletados em formulários: escolha comunicação individual ou conjunta à PPC e avalie notificar os indivíduos
No e-mail por recurso de 16 de outubro, a empresa disse que donos de sites que coletaram dados pessoais de visitantes por formulários podem, como empresas que tratam informações pessoais, precisar comunicar à PPC e notificar os indivíduos.
Ela pediu aos clientes em 17 de outubro que suspendessem as comunicações individuais à PPC e disse em 20 de outubro que, após conversas com a PPC, os clientes podem escolher comunicar individualmente ou em conjunto com a Studio. Se você escolher a comunicação conjunta e a apresentar pelo método combinado com a PPC, apenas neste incidente ela não será tratada como atrasada, mesmo que o prazo de referência para o relatório preliminar tenha passado. A Studio anunciará como solicitar e o prazo de solicitação quando forem definidos. Você pode comunicar individualmente independentemente da suspensão e, se já comunicou individualmente, pode mudar para a comunicação conjunta (nesse caso, não é preciso um relatório final separado). A comunicação conjunta não cobre a notificação dos indivíduos. A página de orientação da empresa lista pontos para decidir se a notificação é necessária (se o formulário foi usado para negócios, se as respostas contêm dados pessoais, se os dados podem ter sido afetados) e um modelo de aviso para o seu próprio site. Também sugere consultar um advogado ou outro especialista em caso de dúvida.
Propagandas comerciais, spam e respostas preocupantes não podem simplesmente ser deixados de fora. Em 19 de outubro, a empresa respondeu o seguinte, citando a seção "notificação ao indivíduo" das diretrizes gerais da PPC.
- Uma resposta não pode ser excluída da notificação apenas pelo motivo de ter sido enviada ou pelo que diz. Se contiver informações que identifiquem uma pessoa específica, como nome ou endereço de e-mail, o indivíduo deve, em princípio, ser notificado
- Respostas que não permitem identificar uma pessoa específica, como sequências sem sentido enviadas por um bot, podem nem precisar de notificação
- Se a notificação for difícil, por exemplo porque não há dado de contato ou a pessoa não pode ser alcançada, medidas alternativas, como um anúncio público, são permitidas
- Para respostas que geram preocupação de segurança, como ameaças de morte, consulte um advogado ou outro especialista, ou a polícia, sobre como e quando notificar
Integração com o Google Sheets: desconecte, remova o acesso no Google, reconecte
A empresa atualizou a chave necessária para a conexão em 14 de outubro e diz que credenciais que possam ter vazado não podem mais ser usadas. Para mais segurança, recomenda desconectar a integração no Studio, remover o acesso do Studio na página "Aplicativos vinculados" da conta Google e conectar novamente. Nas planilhas que estavam vinculadas, verifique o histórico de versões em busca de edições inesperadas, além das respostas adicionadas, entre 30 de setembro e 14 de outubro.
Substitua a chave do proxy personalizado e informe a conclusão
A empresa emitiu uma nova chave de proxy e a aplicou aos projetos afetados. Troque a chave nas configurações do seu próprio servidor (proxy reverso, CDN etc.) e avise o formulário de consulta da empresa quando terminar; ela então desativará a chave antiga. O prazo é de 30 dias a partir do recebimento do e-mail de 16 de outubro.
Troque as URLs de webhook nesta ordem: crie uma nova URL, atualize o Studio, desative a URL antiga
Um terceiro que conheça a URL pode conseguir enviar mensagens ao destino. A empresa recomenda criar uma nova URL no serviço de destino (como o webhook de entrada de um serviço de chat), atualizá-la nas configurações do projeto no Studio e conferir com "envio de teste", e depois desativar a URL antiga. Verifique também se houve notificações inesperadas desde 30 de setembro e não abra links em nenhuma que encontrar.
Chaves secretas do reCAPTCHA e código de incorporação
Quanto à chave secreta do Google reCAPTCHA v3, a empresa não está pedindo a todos os clientes que a substituam. Diz que a chave sozinha não pode ser usada para ver respostas de formulários nem para entrar no console de administração do Google. Aconselha trocar por uma nova chave se os formulários deixarem de enviar ou se o console mostrar um aumento inesperado de uso. O código de incorporação colado no Studio está no escopo como conteúdo do editor de design; portanto, se esse código contiver chaves de API ou outros valores que devem permanecer secretos, troque-os por novos valores no serviço externo, diz a empresa.
A visão deste site: as respostas de formulários permaneceram no Studio depois que os formulários deixaram de ser usados
Ao alinhar os comunicados dos clientes, uma parte notável dos dados no escopo veio não de formulários em uso hoje, mas de formulários usados no passado. A Rewired diz que as respostas a um formulário que usou por volta de fevereiro a abril de 2024 permaneceram no Studio depois que ela mudou sua configuração. A TRUSTART lista respostas enviadas de dezembro de 2021 a maio de 2026, e a Luup lista respostas de vários períodos desde fevereiro de 2022.
Segundo a Studio Inc., respostas apenas movidas para a lixeira estão no escopo, enquanto as excluídas permanentemente antes de 30 de setembro e as enviadas enquanto "salvar resultados do formulário no Studio" estava desativado não estão. A configuração de não armazenar respostas e a exclusão de respostas antigas fizeram diferença no que foi exposto.
Decida, para cada formulário, para onde vão as respostas e por quanto tempo são mantidas
Se você já recebe respostas por notificação de e-mail ou no seu próprio sistema, reavalie se precisa mantê-las no painel do Studio. Se precisar, defina um prazo (por exemplo, um número fixo de meses depois que a consulta for atendida) e, quando passar, exporte e depois "exclua permanentemente". Mover para a lixeira não é excluir.
Ao deixar de usar um serviço, exclua os dados nele
Ao migrar formulários para outro serviço ou encerrar um site, confira se não restam dados no serviço antigo. A TRUSTART também diz que revisará seu procedimento de exclusão de dados ao deixar de usar um serviço externo.
Mantenha uma lista das chaves que você armazena em serviços externos
Neste caso, pediu-se aos donos que trocassem senhas, chaves de API, páginas protegidas por senha, a integração com o Sheets, chaves de proxy e URLs de webhook. Uma lista de qual chave está registrada em qual serviço para qual projeto dificulta esquecer alguma da próxima vez (casos semelhantes do lado de hospedagem: quando seu provedor de hospedagem web sofre uma violação, acesso não autorizado a alguns servidores ConoHa WING).
Para a ordem em que verificar anomalias nos seus próprios sistemas, veja Alertas do Japão de outubro de 2026 sobre acesso não autorizado e o que verificar esta semana.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo (em japonês). Não especulamos sobre métodos não divulgados do acesso não autorizado.
- Studio Inc., "[Importante] Pedido de desculpas e solicitação sobre o vazamento de informações causado por acesso não autorizado (primeiro relatório)" (16 de outubro de 2026; atualizado em 17 e 18 de outubro) — studio.design
- Studio Inc., "[Importante] Aos clientes que usam o recurso de formulário: orientação sobre a comunicação à Comissão de Proteção de Informações Pessoais" (17 de outubro de 2026; atualizado em 20 de outubro com a escolha entre comunicação individual ou conjunta, e "(primeiro relatório)" removido do título) — studio.design
- Studio Inc., "Orientação sobre o acesso não autorizado ao Studio" (publicada em 18 de outubro de 2026, com acréscimos em 19 e 20 de outubro) — studio.design
- Luup, Inc., comunicado sobre o possível vazamento de dados pessoais enviados por seus formulários web (16 de outubro de 2026) — luup.sc
- Link-U Group Inc., comunicado sobre o possível vazamento de dados pessoais após o acesso não autorizado na Studio Inc. (16 de outubro de 2026) — content.link-u.co.jp
- TRUSTART Inc., pedido de desculpas e comunicado sobre o possível vazamento de envios do formulário de contato do seu site (19 de outubro de 2026) — trustart.co.jp
- Província de Saitama, comunicado sobre o possível vazamento de dados pessoais após o acesso não autorizado na Studio Inc. (16 de outubro de 2026) — pref.saitama.lg.jp
- Rewired Inc., pedido de desculpas e comunicado sobre o possível vazamento de dados pessoais devido a acesso não autorizado a um serviço externo que utiliza (19 de outubro de 2026) — rewired.jp
- Uzabase, Inc., comunicado sobre o possível vazamento de informações após o acesso não autorizado à plataforma de sites no-code Studio (19 de outubro de 2026) — uzabase.com
- Ryukyu Shimpo, comunicado sobre o possível vazamento de dados pessoais após o acesso não autorizado na Studio Inc. (16 de outubro de 2026) — corp.ryukyushimpo.jp
- Kufu Company Holdings Inc., impacto no seu grupo do acesso não autorizado ao serviço externo Studio (primeiro relatório) (16 de outubro de 2026) — kufu.co.jp
- Studio Inc., aviso de manutenção de emergência a partir das 22h de 21 de outubro (encerrada às 04h05 de 22 de outubro) (atualizado em 22 de outubro de 2026, em japonês) — studio.design
- Agência Digital (Japão), "Possível vazamento de dados pessoais devido a acesso não autorizado na Studio Inc." (22 de outubro de 2026) — digital.go.jp
Histórico de atualizações
2026-10-24: Acrescentado o comunicado da Agência Digital de 22 de outubro (entradas de formulários de contato do seu site de maio de 2021 a março de 2023, até 8.833 registros na maior categoria, e 35 registros de contas do Studio) à tabela de organizações clientes, à linha do tempo e ao FAQ. Incorporada a atualização da Studio Inc. de 20 de outubro (os clientes podem escolher comunicar à PPC individualmente ou em conjunto) e reescritos a etapa para donos de sites e a tabela de situação. Em 24 de outubro, a página de comunicados da Studio Inc. havia sido atualizada pela última vez em 18 de outubro, e os números e os resultados da investigação da causa não foram publicados.
2026-10-24 (acréscimo): Acrescentada a soma dos máximos por categoria da Agência Digital (até 13.323; a agência não informa um total, portanto esta é a soma deste site) e a informação de que a agência diz que a Studio Inc. comunicou a ela em 16 de outubro. Incorporados os acréscimos da Studio Inc. de 19 e 20 de outubro à sua página de orientação (respostas que sejam propaganda comercial, spam ou que gerem preocupação de segurança ainda exigem, em princípio, notificação se identificarem uma pessoa, e preocupações de segurança devem ser levadas a um advogado ou à polícia; pessoas notificadas por um dono de site devem perguntar a esse dono de site) nas etapas para donos de sites e para quem enviou formulários, no FAQ e na linha do tempo. Corrigida a ordem da manutenção de 21 de outubro e do comunicado da Agência Digital de 22 de outubro na linha do tempo.
2026-10-20: Primeira versão. Baseada no comunicado da Studio Inc. de 16 de outubro (incluindo as atualizações de 17 e 18 de outubro), no seu comunicado de 17 de outubro para usuários de formulários, na sua página de orientação de 18 de outubro e em comunicados de oito empresas e organizações clientes. Será atualizada quando os números, os danos secundários e os resultados da investigação da causa forem publicados.
Leia a seguir
- Casos semelhantes: Acesso não autorizado ao Commune / Acesso não autorizado a alguns servidores ConoHa WING
- O que os clientes devem fazer quando um provedor sofre uma violação: Quando seu provedor de hospedagem web sofre uma violação / Alertas do Japão de outubro de 2026 e o que verificar esta semana
- Chaves e senhas: Revogue credenciais vazadas, não apenas as exclua / Noções básicas de .env e chaves de API / O que é phishing?
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos de 2026