Для кого эта статья: для тех, кто отправлял контактную форму, запрос документов, заявку на мероприятие, отклик на вакансию или другую форму на сайте компании или организации, созданном в Studio (studio.design), а также для компаний, организаций и ведомств, создающих сайты в Studio. Статья основана на официальных уведомлениях Studio Inc. и клиентских компаний и организаций, сообщивших о затронутых данных. Способ проведения атаки в ней не рассматривается. Источники — на японском языке.
Ситуация развивается: статья будет обновляться по мере новых публикаций организации
По состоянию на 24 октября 2026 годаПока неизвестно
- Какие клиенты затронуты и сколько их
- Были ли случаи вторичного ущерба (несанкционированные входы, злоупотребление данными)
- Какая функция и какая уязвимость (результаты расследования причины)
- Меры по предотвращению повторения
- Как подать заявку на совместное уведомление PPC и срок подачи (Studio обещает объявить их после определения)
Studio Inc. сообщает, что опубликует масштаб и число затронутых клиентов, результаты расследования вторичного ущерба, а также причину и меры предотвращения в дополнениях на странице уведомления после их подтверждения. При проверке 24 октября страница уведомления в последний раз обновлялась 18 октября. Относительно уведомления PPC Studio 20 октября сообщила, что клиенты могут выбрать индивидуальное или совместное уведомление. 22 октября Цифровое агентство Японии объявило, что содержимое контактных форм на его сайте могло утечь.
Что отправителям форм делать сегодня
Проверьте уведомление владельца сайта, на который вы отправляли форму
Studio — сервис, с помощью которого компании, местные власти и организации создают собственные сайты. Отправляя форму, вы отправляете данные организации, которая ведёт сайт, а не Studio. Поэтому то, затронуты ли вы, зависит от того, формой какого сайта вы воспользовались.
Откройте уведомление для нужного сайта в таблице «Проверьте, затронуты ли вы» ниже. Для организаций, которых нет в таблице, посмотрите раздел новостей на их официальном сайте. По данным Studio Inc., владелец сайта может связаться с отправителями форм. Если владелец сайта вас уведомил, Studio Inc. советует обращаться к нему по вопросам обработки вашего обращения и действий сайта (добавлено 20 октября). Компания говорит, что хранит обращения по поручению владельцев и не может отвечать на вопросы об отдельных обращениях. Вопросы о том, что опубликовала сама компания, принимаются через её форму «обращение по несанкционированному доступу» (доступна с её информационной страницы, на японском языке).
Не открывайте ссылки, даже в сообщениях, где упоминается то, что вы отправляли
В формах люди пишут не только имя и адрес электронной почты. Часто указывают название компании, номер телефона, адрес и подробности вопроса, а в уведомлении Uzabase перечислены дата рождения, пол, опыт работы и доход.
Сообщение от того, кто знает эти подробности, выглядит правдоподобно. Даже если письмо, SMS или звонок ссылаются на то, что вы действительно отправляли («по поводу вашего недавнего обращения», «спасибо за запрос брошюры»), не открывайте ссылки и вложения; проверяйте через контакты на официальном сайте, который вы открываете сами (как распознать: Что такое фишинг?).
Не называйте по телефону номера карт и коды подтверждения
Если вы указали в форме номер телефона или адрес, учитывайте, что возможны не только электронные письма, но и звонки или бумажные письма от имени компании. Несколько клиентских компаний указывают в своих уведомлениях, что никогда не запрашивают пароли или номера кредитных карт по электронной почте или телефону. Если просят — положите трубку и перезвоните по номеру, указанному на официальном сайте.
Письмо от Studio можно получить, даже не имея учётной записи Studio
Studio Inc. сообщает, что адрес электронной почты, имя пользователя и страна проживания (определённая компанией по IP-адресу, с которого подавалась заявка) тех, кто подавал заявку на ранний доступ к её функции создания сайтов с помощью ИИ «Studio AI» (сначала называвшейся «Auto») с декабря 2022 года по август 2023 года, также могли утечь, и связывается с ними индивидуально. Тема письма (на японском): «【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び». В этой заявке пароли и платёжные данные не собирались, поэтому, по словам компании, менять пароль не нужно.
Помните: пока речь идёт лишь о том, что данные «могли утечь»
Studio Inc. сообщает, что не подтвердила, что третья сторона действительно забрала данные. Тем не менее компания считает данные забранными. Наличие вторичного ущерба расследуется. Спешить с отменой чего-либо или отправлять кому-либо дополнительные персональные данные не нужно. Сейчас можно не отвечать на незнакомые обращения.
Проверьте, затронуты ли вы (уведомления клиентских компаний и организаций)
Компании и организации, создавшие сайты в Studio, опубликовали собственные уведомления. В таблице перечислены те, которые этот сайт проверил, открыв официальную страницу каждой организации (по состоянию на 20 октября 2026 года; Цифровое агентство проверено 24 октября). Многие другие организации также опубликовали уведомления.
Числа приведены так, как их указала каждая организация. Они считались по-разному (например, учитываются ли повторные отправки одним и тем же человеком), поэтому их нельзя суммировать.
| Организация | Формы в области инцидента (как указано) | Записи (как указано) | Основные данные (как указано) | Статус | Дата |
|---|---|---|---|---|---|
| Luup | Четыре формы, включая заявки на установку портов, обращения по Unimo и вопросы о пересмотренном Законе о дорожном движении (разные периоды, февраль 2022 — декабрь 2025) | 21 368 всего (включая повторные отправки одним и тем же человеком) | Имя, контактные данные (почта, телефон), адрес, компания и отдел и другое. Данные, зарегистрированные в приложении LUUP, не входят в область инцидента | Возможно (компания) | 16 окт. |
| Link-U Group | Контактная форма на корпоративном сайте компании (компания сообщает, что затронуты только корпоративные сайты компании и её консолидированных дочерних обществ) | 7 663 (на 16 окт.) | Данные не указаны (область проверяется). Услуги, которыми управляет группа, не затронуты | Возможно (компания) | 16 окт. |
| TRUSTART | Формы обращений и запроса документов на страницах услуг (декабрь 2021 — май 2026) | Около 1 440 (включая повторные и тестовые отправки) | Имя, компания, URL компании, должность, почта, телефон, размер компании, тип обращения. Данные пользователей её услуг не входят в область инцидента | Возможно (компания) | 19 окт. |
| Префектура Сайтама (Saitama Green Forest Museum) | Заявки на мероприятия и обращения на сайте музея | 162 (на 16 окт.) | Данные не указаны (факт утечки и её масштаб проверяются) | Возможно (префектура) | 16 окт. |
| Rewired | Форма на сайте «App Unity» (примерно февраль — апрель 2024; больше не используется, но данные остались в Studio) | 6 | Почта, имя, компания, телефон, содержание обращения и другое | Возможно (компания) | 19 окт. |
| Uzabase | Контактные формы на сайтах, которые компания создала и вела в Studio | Не указано | Имя, дата рождения, пол, адрес, телефон, почта и другие сведения, введённые в формах (место работы, опыт работы, доход и т. д.). Учётные записи и пароли Speeda и NewsPicks не входят в область инцидента | Возможно (компания) | 19 окт. |
| Ryukyu Shimpo | Формы заявок и обращений на корпоративном сайте (часть данных, оставшихся в Studio) | Не указано (затронутым людям письма отправлены 16 окт.) | Имя, адрес, почта, компания, телефон, содержание обращения | Возможно (компания) | 16 окт. |
| Kufu Company Holdings | Пять компаний группы, использовавших Studio (Kufu Company, Kufu Sumai, Kufu Wedding, KidsStar, Seven Signatures International), опубликовали каждая своё уведомление | Не указано | Каждая компания проверяет, затронуты ли данные и какие именно | Расследуется (компания) | 16 окт. |
| Цифровое агентство (Япония) | Пять категорий контактных форм на его сайте (общие мнения и запросы, набор персонала, приложение сертификата вакцинации, прокат костюма талисмана Myna-chan, семинары и другое участие; записи с мая 2021 по март 2023), а также данные учётных записей Studio | До 8 833, 250, 3 661, 117 и 462 по категориям (до 13 323 всего — сумма этого сайта); 35 учётных записей (область уточняется) | Имя, адрес почты, текст обращения и другое (в первых четырёх категориях имя и почта только если введены (необязательно); в категории семинаров — имя, почта, место работы и телефон). В зависимости от категории — номер телефона, место работы, адрес доставки. Учётные записи: имена и адреса почты сотрудников агентства и подрядчиков | Возможно (агентство) | 22 окт. |
На одном и том же сайте, созданном в Studio, то, что утекло, зависит от того, что вы написали
Данные зависят от того, что запрашивала форма и что вы написали в полях свободного текста. Luup и TRUSTART сообщают, что в полях свободного текста, в зависимости от написанного, могут быть и другие сведения. Некоторые формы, например для откликов на вакансии или консультаций, запрашивают опыт работы или доход. Вспомните, что вы писали в этой форме.
Что произошло (по данным Studio Inc.)
Ниже изложено по уведомлению Studio Inc. от 16 октября 2026 года (обновлено 17 и 18 октября), её уведомлению для пользователей форм от 17 октября и информационной странице (FAQ), опубликованной 18 октября (с дополнениями 19 и 20 октября).
30 сентября – 1 октября 2026 (по времени Японии)
Третья сторона использует уязвимость в некоторых функциях Studio, чтобы получить доступ к облачной среде компании, и делает её данные доступными для получения извне (период, подтверждённый на данный момент).13 октября
Несанкционированный доступ обнаружен при внутренней проверке.13–14 октября
Уязвимость устранена, маршрут, использованный для доступа, закрыт. Данные больше нельзя получить извне.Около 2:30 14 октября
В целях безопасности все, кто был в системе Studio, один раз были разлогинены.14 октября
Обновлён ключ, необходимый для интеграции с Google Sheets (учётные данные, которые могли утечь, больше нельзя использовать).16 октября
Опубликовано уведомление (первое сообщение). Владельцам проектов, использующих API-интеграции, страницы под паролем, формы, пользовательский прокси или вебхук-уведомления, отправлены письма по каждой функции. В тот же день клиентские компании и организации начинают публиковать собственные уведомления.17 октября
Опубликовано уведомление для пользователей форм с просьбой, по запросу PPC, воздержаться от индивидуальных уведомлений PPC. Ключ, шифрующий ответы форм, внешние API-ключи и аналогичные данные, заменён на новый.18 октября
Опубликована информационная страница (FAQ) об инциденте. Страница уведомления обновлена: статус реагирования и изменённые шаги для интеграции с Google Sheets и пользовательского прокси.19 октября
На информационную страницу добавлен ответ: даже ответы, являющиеся рекламными предложениями, спамом или вызывающие опасения за безопасность, в принципе требуют уведомления человека, если содержат информацию, позволяющую его идентифицировать.20 октября
Уведомление для пользователей форм обновлено: после обсуждения с PPC клиенты могут выбрать индивидуальное или совместное со Studio уведомление. На информационную страницу добавлен раздел для тех, кого уведомил владелец сайта (обращаться к этому владельцу).С 22:26 21 октября до 04:05 22 октября
Studio Inc. провела экстренное техническое обслуживание. В её уведомлении сказано, что, в отличие от заранее объявленного, были недоступны также отправка форм на опубликованных сайтах и некоторые другие функции (обслуживание проведено как мера предосторожности из-за уязвимостей во внешнем программном обеспечении, ущерба от него, по её данным, не обнаружено). Компания просит владельцев сайтов при необходимости сообщить посетителям о повторной отправке форм.22 октября
Цифровое агентство Японии объявляет, что записи контактных форм на его сайте и данные учётных записей Studio могли утечь. Агентство сообщает, что Studio Inc. уведомила его об инциденте 16 октября.
Данные тех, кто отправлял формы
То, что они отправили в формах на сайтах, созданных в Studio (имя, контактные данные, обращение и другое)
Что делать: проверить уведомление сайта; остерегаться поддельных обращений
Данные пользователей Studio
Имя пользователя, адрес почты, хешированный пароль
Что делать: сменить пароль Studio и повторно используемый пароль
Ключи, хранимые владельцами сайтов
API-ключи и токены, пароли защищённых страниц, интеграция с Sheets, ключ прокси, URL вебхуков, URL живого предпросмотра
Что делать: заменить так, как описано в письмах Studio по каждой функции
- Данные учётных записей
- Имена пользователей, адреса электронной почты, хешированные пароли и другое (все зарегистрированные пользователи)
- Данные, управляемые в Studio
- Содержимое редактора дизайна и CMS, ответы форм, настройки Google reCAPTCHA v3, URL вебхук-уведомлений. Включено содержимое страниц под паролем
- Живой предпросмотр
- URL живых предпросмотров, используемых для проверки страниц перед публикацией
- Учётные данные в настройках
- API-ключи и токены внешних сервисов, зарегистрированные в API-интеграциях, пароли страниц под паролем (хешированные), учётные данные интеграции с Google Sheets, ключи пользовательского прокси
- Зашифрованные данные
- Ответы форм, API-ключи и токены, учётные данные Sheets, ключи прокси, настройки reCAPTCHA и URL вебхуков могли стать известными даже там, где хранились в зашифрованном виде, так как ключ, необходимый для расшифровки, был прочитан при том же доступе
- Ответы форм в области инцидента
- Ответы, хранящиеся в Studio, включая перемещённые в корзину (не «окончательно удалённые»), тестовые отправки из живого предпросмотра и ответы, которые нельзя было показать из-за превышения лимита тарифа. Для вложений — только имена файлов, но не содержимое файлов
- Ответы форм вне области инцидента
- Ответы, отправленные при выключенной настройке «сохранять результаты формы в Studio», ответы, окончательно удалённые до 30 сентября, и ответы на встроенные формы других сервисов (например, Google Forms)
- Ранний доступ к Studio AI
- Адрес почты, имя пользователя и страна тех, кто подавал заявку с декабря 2022 года по август 2023 года (включая людей без учётной записи Studio)
- Причина по описанию компании
- Третья сторона использовала уязвимость в некоторых функциях Studio. Подробности не раскрыты
- Реагирование
- Уязвимость устранена, маршрут закрыт; собственные учётные данные компании, включая используемые для платежей и входа, заменены; ключ шифрования заменён (17 октября), более старые данные перешифровываются
По словам компании, учётные данные, полученные третьей стороной, включали право изменять данные, но они отключены. Компания проверила журнал операций, выполненных с этими учётными данными, и подтвердила, что записей об изменении или удалении содержимого редактора дизайна или CMS нет. Она сообщает, что уведомляет PPC и взаимодействует с другими компетентными органами.
Что известно и что неизвестно
Статус по состоянию на 24 октября 2026 года. Когда будут опубликованы дополнения, столбец статуса будет обновлён.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Период несанкционированного доступа | С 30 сентября по 1 октября 2026 года (по времени Японии; период, подтверждённый на данный момент). Данные оставались доступными для получения извне до 14 октября | Подтверждено на данный момент (компания) |
| Данные учётных записей (имена пользователей, почта, хешированные пароли и другое) | Могли утечь у всех зарегистрированных пользователей | Возможно (компания) |
| Ответы форм | Ответы, хранящиеся в Studio. Даже зашифрованные могли стать известными | Возможно (компания) |
| Содержимое файлов, приложенных к формам | В область инцидента входят только имена файлов; содержимое не входит | Не включено (компания) |
| Ответы на встроенные формы других сервисов | Не входят в область инцидента, так как не проходят через Studio (сам код встраивания входит как содержимое редактора дизайна) | Не включено (компания) |
| API-ключи и токены, URL вебхуков, ключи прокси и другое | Даже зашифрованные могли стать известными | Возможно (компания) |
| Действительно ли третья сторона забрала данные | Не подтверждено. Считаются забранными | Не обнаружено (компания) |
| Изменение или удаление данных | В журналах операций записей об изменении или удалении не найдено | Не обнаружено (компания) |
| Масштаб и число затронутых клиентов | Будут опубликованы после проверки | Расследуется |
| Вторичный ущерб (несанкционированные входы, злоупотребление) | Расследуется | Расследуется |
| Причина | Использование уязвимости в некоторых функциях. Подробности не указаны. Организуется расследование внешним специалистом | Расследуется |
| Уведомления PPC | По рекомендациям от 20 октября клиенты могут выбрать индивидуальное или совместное со Studio уведомление. Порядок подачи заявки на совместное уведомление и срок будут объявлены | Подтверждено (компания) |
Числа в уведомлениях клиентов часто не являются числом людей
21 368 у Luup и около 1 440 у TRUSTART — это числа записей, включающие повторные отправки одним и тем же человеком и тестовые отправки. Числа Link-U Group и префектуры Сайтама приведены на 16 октября, и обе сообщают, что факт утечки и её масштаб ещё проверяются. Числа Цифрового агентства также являются максимумами по категориям, и область инцидента ещё уточняется. Не воспринимайте их как число людей или подтверждённые числа.
Для чего могут использоваться утёкшие данные
Вообще, когда такие данные собраны вместе, становятся возможны следующие виды злоупотреблений. Это не означает, что в данном случае они были.
- Имя + почта + содержание обращения: поддельные письма, ссылающиеся на темы, известные только отправителю («по поводу вашего обращения»)
- Компания + должность + номер телефона: материал для звонков от имени делового партнёра или менеджера по продажам либо писем под видом счетов
- Дата рождения, адрес, опыт работы, доход (для форм, которые их запрашивали): материал для поддельных проверок личности или для придания правдоподобия инвестиционным предложениям и предложениям подработки
- API-ключи и URL вебхуков владельцев сайтов: чтение данных во внешних сервисах с помощью ключа; отправка поддельных уведомлений по адресу вебхука (например, в чат-сервис)
Другой случай, когда один сервис раскрыл данные многих клиентских компаний, — октябрьский несанкционированный доступ к Commune 2026 года. И там данные и числа различались по клиентам, а проверить можно было по уведомлению компании, которая вела каждое сообщество.
Что делать организациям, у которых есть сайты в Studio
Studio Inc. разделяет свои просьбы ко всем клиентам и к клиентам, использующим определённые функции. Шаги ниже следуют её порядку. Названия затронутых проектов и что делать указаны в письмах по каждой функции, отправленных 16 октября 2026 года (темы писем начинаются с «【重要】不正アクセスに伴う、»). Письма отправляются владельцам проектов; если не можете найти письмо, проверьте папку со спамом и обратитесь через форму обращений компании, говорит она.
Смените пароль Studio (и на любых других сервисах, где использовали такой же)
Это относится к тем, кто входит по адресу электронной почты и паролю. Компания настоятельно рекомендует также сменить пароль на других сервисах, где использовался тот же. Если вы пользуетесь только входом через Google или Facebook и никогда не задавали пароль Studio, это не нужно.
Однако компания говорит, что если вы когда-либо регистрировались или входили с помощью почты и пароля, пароль мог быть задан; в таком случае сбросьте его через «Забыли пароль?» на экране входа. О том, что такое хеширование, см. хеширование паролей; чтобы не использовать пароли повторно, см. менеджеры паролей.
Удалите URL живого предпросмотра и при необходимости выпустите их заново
Компания не подтвердила, что какой-либо выданный URL живого предпросмотра был выявлен, но не может полностью этого исключить, поэтому просит владельцев удалить их. Удалённый URL перестаёт работать. Если предпросмотром по-прежнему нужно делиться, после удаления выпустите новый URL и отправьте его заново.
Замените ключи API-интеграций в таком порядке: выпустите новый ключ, обновите Studio, отзовите старый ключ
Это относится к тем, кто зарегистрировал API-ключи или токены внешних сервисов (например, сервисов контента и документов) в Data Connect API или API Integration (Beta). Ключами внешних сервисов управляет выдавший их сервис, поэтому Studio не может их отключить; заменить их должны владельцы, говорит компания.
Порядок такой: выпустите новый ключ в каждом сервисе, обновите настройку Studio на новый ключ и в конце отзовите старый ключ в каждом сервисе. Если сначала отозвать старый ключ, интеграция на вашем сайте может перестать работать. Компания также рекомендует отозвать ключи внешних сервисов, которыми вы больше не пользуетесь. Проверьте в истории использования каждого сервиса, нет ли неожиданного использования с 30 сентября 2026 года (почему недостаточно удалить, а нужно отозвать: учётные данные, опубликованные на GitHub, продолжали работать).
Смените пароли страниц под паролем и сообщите новый пароль тем, кто их просматривает
Пароли хранились в хешированном виде, но компания не может полностью исключить их восстановление, поэтому просит владельцев их сменить. Само содержимое страниц под паролем входит в данные, которые могли утечь. Если вы разместили конфиденциальные материалы за паролем, считайте их содержимое известным.
Персональные данные, собранные через формы: выберите индивидуальное или совместное уведомление PPC и рассмотрите уведомление физических лиц
В своём письме по функции от 16 октября компания сообщила, что владельцам сайтов, собиравшим персональные данные посетителей через формы, как организациям, обрабатывающим персональную информацию, может потребоваться уведомить PPC и уведомить затронутых лиц.
17 октября компания попросила клиентов воздержаться от индивидуальных уведомлений PPC, затем 20 октября сообщила, что после обсуждения с PPC клиенты могут выбрать индивидуальное или совместное со Studio уведомление. Если вы выбираете совместное уведомление и подаёте его способом, согласованным с PPC, то только для этого инцидента оно не будет считаться просроченным, даже если ориентировочный срок предварительного уведомления прошёл. Порядок подачи заявки и срок приёма заявок Studio объявит после их определения. Можно уведомлять индивидуально независимо от просьбы воздержаться, а если вы уже уведомили индивидуально, можно перейти на совместное уведомление (тогда отдельный итоговый отчёт не нужен). Совместное уведомление не охватывает уведомление физических лиц. На информационной странице компании приведены критерии для решения о том, нужно ли уведомление (использовалась ли форма в деловых целях, содержат ли ответы персональные данные, могут ли данные быть затронуты), и шаблон уведомления на собственном сайте. Компания также советует при сомнениях обратиться к юристу или другому специалисту.
Рекламные предложения, спам и тревожные ответы нельзя просто исключить. 19 октября компания ответила следующим образом, сославшись на раздел об «уведомлении физического лица» общих руководящих принципов PPC.
- Ответ нельзя исключить из уведомления только из-за причины его отправки или его содержания. Если он содержит информацию, позволяющую идентифицировать конкретного человека, например имя или адрес почты, физическое лицо в принципе должно быть уведомлено
- Ответам, по которым конкретного человека определить нельзя, например бессмысленным строкам, отправленным ботом, уведомление может не требоваться вовсе
- Если уведомить трудно, например из-за отсутствия контактных данных или невозможности связаться с человеком, допускаются альтернативные меры, например публичное объявление
- По ответам, вызывающим опасения за безопасность, например угрозам убийством, о способе и сроках уведомления следует проконсультироваться с юристом или другим специалистом либо с полицией
Интеграция с Google Sheets: отключите, удалите доступ в Google, подключите заново
14 октября компания обновила ключ, необходимый для подключения, и сообщает, что учётные данные, которые могли утечь, больше нельзя использовать. Для большей надёжности она рекомендует отключить интеграцию в Studio, удалить доступ Studio на странице «Связанные приложения» аккаунта Google и подключить заново. Для связанных таблиц проверьте историю версий на предмет неожиданных правок, кроме добавленных ответов, в период с 30 сентября по 14 октября.
Замените ключ пользовательского прокси и сообщите о завершении
Компания выпустила новый ключ прокси и применила его к затронутым проектам. Смените ключ в настройках собственного сервера (обратный прокси, CDN и так далее) и сообщите о завершении через форму обращений компании; после этого она отключит старый ключ. Срок — 30 дней с момента получения письма от 16 октября.
Смените URL вебхуков в таком порядке: создайте новый URL, обновите Studio, отключите старый URL
Третья сторона, знающая URL, может отправлять сообщения по адресу назначения. Компания рекомендует создать новый URL в сервисе назначения (например, входящий вебхук чат-сервиса), обновить его в настройках проекта Studio и проверить с помощью «тестовой отправки», а затем отключить старый URL. Также проверьте, нет ли неожиданных уведомлений с 30 сентября, и не открывайте ссылки в найденных.
Секретные ключи reCAPTCHA и код встраивания
Заменить секретный ключ Google reCAPTCHA v3 компания не просит всех клиентов. Она говорит, что один этот ключ нельзя использовать для просмотра ответов форм или входа в консоль администратора Google. Она советует перейти на новый ключ, если формы перестали отправляться или в консоли виден неожиданный рост использования. Код встраивания, вставленный в Studio, входит в область инцидента как содержимое редактора дизайна, поэтому, если в этом коде есть API-ключи или другие значения, которые должны оставаться секретными, замените их новыми во внешнем сервисе, говорит компания.
Мнение этого сайта: ответы форм оставались в Studio после того, как формы перестали использоваться
Если сопоставить уведомления клиентов, заметная часть данных в области инцидента приходится не на формы, используемые сейчас, а на формы, использовавшиеся в прошлом. Rewired сообщает, что ответы на форму, которой она пользовалась примерно с февраля по апрель 2024 года, остались в Studio после смены её настроек. TRUSTART указывает ответы, отправленные с декабря 2021 года по май 2026 года, а Luup — ответы за разные периоды начиная с февраля 2022 года.
По данным Studio Inc., ответы, лишь перемещённые в корзину, входят в область инцидента, а ответы, окончательно удалённые до 30 сентября, и ответы, отправленные при выключенной настройке «сохранять результаты формы в Studio», не входят. На то, что оказалось раскрыто, повлияли настройка не хранить ответы и удаление старых ответов.
Для каждой формы решите, куда попадают ответы и как долго они хранятся
Если вы уже получаете ответы по уведомлениям на почту или в собственной системе, пересмотрите, нужно ли хранить их в панели Studio. Если нужно, задайте срок (например, определённое число месяцев после обработки обращения) и по его истечении экспортируйте ответы, а затем «окончательно удалите». Перемещение в корзину не является удалением.
Прекращая пользоваться сервисом, удаляйте данные в нём
Когда вы переносите формы в другой сервис или закрываете сайт, проверьте, что в прежнем сервисе не осталось данных. TRUSTART также сообщает, что пересмотрит порядок удаления данных при прекращении использования внешнего сервиса.
Ведите список ключей, которые вы храните во внешних сервисах
В данном случае владельцев просили сменить пароли, API-ключи, пароли страниц под паролем, интеграцию с Sheets, ключи прокси и URL вебхуков. Список того, какой ключ в каком сервисе и для какого проекта зарегистрирован, помогает в следующий раз ничего не упустить (похожие случаи на стороне хостинга: если взломан ваш веб-хостинг-провайдер, несанкционированный доступ к некоторым серверам ConoHa WING).
О порядке проверки собственных систем на аномалии см. Предупреждения Японии о несанкционированном доступе в октябре 2026 года и что проверить на этой неделе.
Источники (публичные данные)
Факты в этой статье основаны на следующей публичной информации (на японском языке). Мы не строили догадок о нераскрытых способах несанкционированного доступа.
- Studio Inc., «[Важно] Извинения и просьба в связи с утечкой информации из-за несанкционированного доступа (первое сообщение)» (16 октября 2026 года; обновлено 17 и 18 октября) — studio.design
- Studio Inc., «[Важно] Клиентам, использующим функцию форм: информация об уведомлении Комиссии по защите персональной информации» (17 октября 2026 года; обновлено 20 октября с выбором индивидуального или совместного уведомления, а «(первое сообщение)» убрано из заголовка) — studio.design
- Studio Inc., «Информация о несанкционированном доступе к Studio» (опубликовано 18 октября 2026 года, с дополнениями 19 и 20 октября) — studio.design
- Luup, Inc., уведомление о возможной утечке персональных данных, отправленных через её веб-формы (16 октября 2026 года) — luup.sc
- Link-U Group Inc., уведомление о возможной утечке персональных данных в связи с несанкционированным доступом в Studio Inc. (16 октября 2026 года) — content.link-u.co.jp
- TRUSTART Inc., извинения и уведомление о возможной утечке данных контактных форм на её сайте (19 октября 2026 года) — trustart.co.jp
- Префектура Сайтама, уведомление о возможной утечке персональных данных в связи с несанкционированным доступом в Studio Inc. (16 октября 2026 года) — pref.saitama.lg.jp
- Rewired Inc., извинения и уведомление о возможной утечке персональных данных из-за несанкционированного доступа к используемому ею внешнему сервису (19 октября 2026 года) — rewired.jp
- Uzabase, Inc., уведомление о возможной утечке информации в связи с несанкционированным доступом к no-code платформе для сайтов Studio (19 октября 2026 года) — uzabase.com
- Ryukyu Shimpo, уведомление о возможной утечке персональных данных в связи с несанкционированным доступом в Studio Inc. (16 октября 2026 года) — corp.ryukyushimpo.jp
- Kufu Company Holdings Inc., влияние на её группу несанкционированного доступа к внешнему сервису Studio (первое сообщение) (16 октября 2026 года) — kufu.co.jp
- Studio Inc., уведомление об экстренном техническом обслуживании с 22:00 21 октября (завершено в 04:05 22 октября) (обновлено 22 октября 2026 года, на японском языке) — studio.design
- Цифровое агентство (Япония), «Возможная утечка персональных данных из-за несанкционированного доступа в Studio Inc.» (22 октября 2026 года) — digital.go.jp
История обновлений
2026-10-24: В таблицу клиентских организаций, хронологию и FAQ добавлено уведомление Цифрового агентства от 22 октября (записи контактных форм на его сайте с мая 2021 года по март 2023 года, до 8 833 записей в крупнейшей категории, и 35 записей учётных записей Studio). Учтено обновление Studio Inc. от 20 октября (клиенты могут выбрать индивидуальное или совместное уведомление PPC), переписаны шаг для владельцев сайтов и таблица статусов. По состоянию на 24 октября страница уведомления Studio Inc. в последний раз обновлялась 18 октября, а числа и результаты расследования причины не опубликованы.
2026-10-24 (дополнение): Добавлена сумма максимумов Цифрового агентства по категориям (до 13 323; агентство общий итог не приводит, поэтому это сумма этого сайта) и то, что, по словам агентства, Studio Inc. уведомила его 16 октября. В шаги для владельцев сайтов и отправителей форм, FAQ и хронологию внесены дополнения Studio Inc. от 19 и 20 октября на её информационной странице (ответы, являющиеся рекламными предложениями, спамом или вызывающие опасения за безопасность, в принципе всё равно требуют уведомления, если идентифицируют человека, а по вопросам безопасности следует обращаться к юристу или в полицию; тем, кого уведомил владелец сайта, следует обращаться к этому владельцу). В хронологии исправлен порядок обслуживания 21 октября и уведомления Цифрового агентства 22 октября.
2026-10-20: Первая версия. Основана на уведомлении Studio Inc. от 16 октября (включая обновления от 17 и 18 октября), её уведомлении для пользователей форм от 17 октября, информационной странице от 18 октября и уведомлениях восьми клиентских компаний и организаций. Будет обновлена после публикации чисел, сведений о вторичном ущербе и результатов расследования причины.
Читайте далее
- Похожие случаи: Несанкционированный доступ к Commune / Несанкционированный доступ к некоторым серверам ConoHa WING
- Что делать клиентам, когда взломан провайдер: Если взломан ваш веб-хостинг-провайдер / Предупреждения Японии в октябре 2026 года и что проверить на этой неделе
- Ключи и пароли: Отзывайте утёкшие учётные данные, а не просто удаляйте / Основы .env и API-ключей / Что такое фишинг?
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года