STUDIO不正アクセス、サイトを​作っている​人が​今日やる​こと

2026年10月16日、Web制作ツール「STUDIO」を運営するStudio株式会社が、第三者による不正アクセスで利用者の情報が外部に流出した可能性があると公表しました。STUDIOはコードを書かずにサイトを作れるサービスで、中小企業のコーポレートサイトやLP、制作会社の納品物として広く使われています。

今回の発表で目を引くのは、対象がアカウント情報だけではないことです。サイトに設置したフォームの送信内容、外部サービスと連携するためのAPIキーやWebhookのURL、パスワード保護ページのパスワードまで含まれています。つまり影響は「STUDIOにログインする人」だけでなく、そのサイトに問い合わせをした訪問者と、制作を発注した会社にも広がります。この記事では、公表された事実、想定される原因、立場ごとに今日やることを整理します。

何が起きたか（公表の内容）

STUDIOは「実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応を進める」としています。データの改ざんや削除は確認されていないとのことです。件数は精査中で、続報で示すとしています。

パスワードはハッシュ化して保存されており平文ではないとしつつ、ハッシュから元のパスワードを特定するのは困難だが否定はできない、として変更を求めています。また、暗号化されていた項目についても、復号に使う鍵が同じ不正アクセスで読み出されたため、内容が知られた可能性があると説明しています。ここは重要な点です。「暗号化していたから大丈夫」とは言えない状態だと、運営側が自ら認めています。

あわせて、2022年12月〜2023年8月に「Studio AI」（当初の名称は「Auto」）の先行利用に申し込んだ人も対象の可能性があります。アカウントを持っていない人も含まれ、メールアドレス・ユーザー名・国の情報が該当します。

影響を受けるのは「STUDIOの利用者」だけではない

今回の事案を、自分に関係があるかどうかで整理すると3つの立場に分かれます。

②と③が今回の見落としやすいところです。STUDIOで作られたサイトのフォームは、送信内容をSTUDIO側に保存する設定にしていることが多く、その場合、問い合わせた人の個人情報は「サイトの持ち主」ではなく「STUDIO」に預けられていたことになります。問い合わせた人には、STUDIOから直接の連絡は届きません。

制作会社・発注側が今日決めること

自社サイトがSTUDIO製かどうかを、今日のうちに確認してください。制作会社に頼んだサイトなら、担当者に「STUDIOで作っていますか。フォームの送信内容はどこに保存されていますか」の2点を聞けば分かります。該当するなら、フォームから問い合わせをくれた人への案内が必要になります。個人情報保護法では、委託先で起きた漏えいも委託元の責任で対応することになります。案内の文面は後半に用意しました。

作成者 矢嶋

想定される原因（分かっていること、分かっていないこと）

公式発表で原因として説明されているのは、「STUDIOの一部機能の脆弱性を悪用された」という点だけです。どの機能か、どのような脆弱性かは、調査中として公表されていません。この記事でも、推測で特定することはしません。

参考になるのは、JPCERT/CCが10月8日に出した注意喚起です。2026年9月前後から国内の組織で不正アクセスによる漏えいが相次いでおり、確認されている手口として、既知の脆弱性や設定の不備を探して攻撃するもの、公開アプリから管理用APIを特定して権限変更や不正なアカウント作成を行うもの、BIツールの脆弱性を悪用するもの、公開サーバー経由で内部のサーバーに侵入するものが挙げられています。JPCERT/CCは、「管理・運用側で不特定多数の利用者からのアクセスを想定していないシステムが被害に遭うケースもある」と指摘しています。

STUDIOの事案がこのどれに当たるかは分かりません。ただ、今回の対象項目にAPIキーやWebhook URL、暗号化データの復号鍵が含まれていることから、環境の内部までたどり着かれていることは発表内容から読み取れます。だからこそ運営側は、パスワードだけでなく、連携まわりの認証情報を全部切り替えるよう求めています。

なお、Studio株式会社は2026年2月にも、CMSのAPIの応答に更新者のメールアドレス等が意図せず含まれていた事案を公表しています（2024年12月〜2026年2月の期間、修正済み）。今回の不正アクセスとは別の事案ですが、同じサービスで短期間に2件続いた事実は、利用を続けるか判断する材料として知っておく価値があります。

今日やること（優先順）

1. STUDIOのパスワードを変える所要 5分

メールアドレスとパスワードでログインしている人は、STUDIOのパスワードを変更してください。GoogleやFacebookのアカウントだけでログインしていて、パスワードを設定していない人は対象外です。同じパスワードを他のサービスでも使っていた人は、そちらの変更が本題です。 漏れたハッシュから元のパスワードが割り出された場合、攻撃者が最初に試すのは、同じメールアドレスで登録している別のサービスへのログインだからです。順番は、お金に関わるもの（ネット銀行・カード・通販）、次にメールアカウント。使い回しの危険はパスワードの使い回しの記事で図解しています。

2. ライブプレビューのURLを削除する所要 3分

ライブプレビューは、公開前のサイトをURLを知っている人に見せる機能です。URLが流出した可能性があるため、発行している人は削除し、必要なら削除後に新しく発行してください。公開前の情報（新サービス、価格、採用情報など）が外から見える状態を放置しないためです。

3. 連携の認証情報を全部切り替える所要 30分

該当する機能を使っている人には、STUDIOから個別にメールで案内が届くとしています。案内を待たずに、自分で確認して進めても問題ありません。

4. フォームの送信内容を棚卸しする所要 30分

STUDIOのフォームで問い合わせや申し込みを受けていた人は、フォームの送信内容を保存する設定になっていたかを確認してください。保存していた場合、そこに入っている氏名・メールアドレス・電話番号・相談内容は、問い合わせてくれた人の個人情報です。件数と項目を把握したうえで、その人たちへ案内するかを決めます。

5. STUDIOや自社を名乗る偽メールに注意所要 0分

STUDIOは「パスワードや認証情報をメールや電話で聞くことはない」と明言しています。今回のように「対象者に個別にメールで案内する」と予告されている事案では、それをまねた偽メールが出回りやすくなります。「パスワードを再設定してください」「認証情報を確認してください」というメールのリンクからは操作せず、自分でブックマークからSTUDIOにログインして同じ案内があるかを確かめてください。手口の見分け方は「ログイン通知」が届いたときの記事にまとめています。

6. 自分のアドレスが過去の事件で漏れていないか所要 10秒

今回のSTUDIOの事案は、公開の漏えいデータベース（Have I Been Pwned）には2026年10月16日時点で登録されていません。無料チェックで今回の事件は表示されないため、「出なかった＝今回漏れていない」ではない点に注意してください。

一方で、同じアドレスとパスワードが過去の別の事件で漏れていないかは今すぐ確かめられます。もし過去にパスワード付きで漏れていれば、今回の名簿と組み合わされてログインを試される可能性が高まります。当サイトの無料チェックにアドレスを入れると、該当する事件と漏れた項目が表示されます。登録は不要で、パスワードの入力は求めません。

会社として決めておくこと

今回のような「使っている外部ツール側の事故」は、今後も起きます。中小企業でも最低限、次の3つを決めておくと、次に同じことが起きたときに慌てずに済みます。

• 自社が使っている外部サービスの一覧を持つ。サイト制作ツール、フォーム、メール配信、予約システム。どこに顧客情報が保存されているかを一枚にする
• 委託先で事故が起きたときの連絡順を決める。誰が事実確認をし、誰が顧客に案内し、どの文面を使うか
• 認証情報の棚卸しの習慣。APIキーやWebhookのURLは「発行したら発行しっぱなし」になりがちです。半年に1回、使っていないものを無効化する

こうした社内ルールのひな形と、生成AIを含めた外部ツールとの付き合い方は、当サイトのセキュリティガイドラインの第9章と第11章にまとめています。

まとめ

秋に入ってから、えきねっと・ローソンIDなど大型の漏えいが続いています（えきねっと・ビューカード・ローソンID漏えいの記事、2026年秋の漏えい急増の記事）。STUDIOの事案はその中でも、サイトを作る側・問い合わせた側・発注した側の三者に影響が及ぶ点で、対応すべき人の範囲が広い事案です。

参考・出典

• Studio株式会社「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）
• Studio株式会社「Studio CMSのAPIレスポンスにおける最終更新者情報の混入に関するお知らせとお詫び」（2026年2月20日）
• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日・9日更新）
• 個人情報保護委員会 注意喚起（2026年10月7日）
• Have I Been Pwned