Web制作プラットフォーム「Studio」に不正アクセス、全顧客の情報に漏えいの可能性―フォーム回答・APIキーや復号鍵も対象

Webサイト制作・運用プラットフォーム「Studio」を提供するStudio株式会社は2026年10月16日、同社のクラウド環境が第三者による不正アクセスを受け、登録するすべての顧客の情報が外部に流出した可能性があると公表しました。アカウント情報にとどまらず、顧客が管理するWebサイトのフォーム送信内容、CMS・デザインデータ、外部サービスと接続するAPIキーやトークンなども対象です。

同社によると、一部機能の脆弱性を悪用した不正アクセスが確認され、外部から情報を取得できる状態が生じていました。第三者が実際にデータを取得した事実は確認できていませんが、同社は取得されたものとみなして対処しています。脆弱性と不正アクセス経路は10月14日までに修正・遮断しました。

Studio上で制作されたサイトのフォームから情報を送信した人も影響を受ける可能性があり、企業のWeb担当者や情報システム部門では、アカウントだけでなく外部連携とフォーム回答の管理状況を確認する必要があります。

Studioへの不正アクセスのサマリー

• 公表日：2026年10月16日（第一報）。
• 運営企業：Studio株式会社。Webサイトの制作・公開・CMS・フォーム機能などを提供。
• 確認された不正アクセス期間：2026年9月30日～10月1日（日本時間）。
• 検知日：10月13日。10月13～14日に脆弱性を修正し、外部から取得できる状態を解消。
• 対象：Studioに登録するすべての顧客について情報流出の可能性。具体的な人数・件数は調査中。
• 対象情報：ユーザー名、メールアドレス、ハッシュ化パスワード、CMS・デザインデータ、フォーム送信内容、ライブプレビューURLなど。
• 認証情報：外部APIキー・トークン、Googleスプレッドシート連携情報、Webhook URL、カスタムプロキシのプロキシキー、パスワード保護ページのパスワードなど。
• 暗号化情報：一部の暗号化データについて、復号用の鍵も読み出されたため内容が第三者に知られた可能性。
• 実際のデータ取得・二次被害：データ取得は確認されていないが取得されたものとみなして対応。二次被害は調査中。
• データの改ざん・削除：10月16日の第一報時点で確認されていない。
• 利用者への要請：パスワード変更、ライブプレビューURLの削除・必要に応じた再発行、利用機能に応じたAPIキーなどの切り替え。

一部機能の脆弱性を悪用、10月14日まで情報を取得可能な状態に

Studioによると、第三者は同社の一部機能に存在した脆弱性を悪用し、クラウド環境に不正アクセスしました。確認できている攻撃期間は9月30日から10月1日です。社内調査で10月13日に不正アクセスを把握し、翌14日までに不正アクセスの経路を遮断しました。

同社は、脆弱性を悪用されて環境内のデータを外部から取得できる状態が10月14日まで続いていたと説明しています。確認された攻撃の実施期間と、データを取得可能だった状態が続いた期間は区別する必要があります。

攻撃者による実際の情報取得が立証されたわけではありません。また、ランサムウェア感染やサービス全体の停止を公表したものでもありません。Studioは、影響する可能性がある情報を取得されたものとして取り扱い、調査と顧客への連絡を進めています。

フォーム回答・CMS・APIキーなど、Webサイト運営データも対象

今回の情報流出の可能性は、Studioへログインする利用者本人のアカウント情報だけにとどまりません。Studioで制作・運営されるWebサイトに保存されていたデータや外部サービスとの連携情報も対象に含まれています。

暗号化していたデータも復号鍵が読み出された

特に注意が必要なのは、フォーム送信内容と外部連携用の認証情報です。Studioは、これらの一部を暗号化して保存していたものの、同じ不正アクセスにより復号に必要な鍵も読み出されたと発表しています。暗号化されていたことだけを理由に、内容が第三者に知られていないとは判断できない状況です。

これに対して、Studioのログインパスワードとパスワード保護ページのパスワードはハッシュ化され、平文では保存されていなかったとしています。ハッシュ値から元のパスワードが判明した事実を示す発表ではありませんが、同社はリスクを完全に否定できないとして変更を求めています。

Studio利用企業への影響――フォームを送信した顧客にも波及する可能性

企業サイトの問い合わせ窓口、採用フォーム、資料請求フォーム、イベント申込フォームなどをStudioで運用している場合、サイト運営企業の従業員だけでなく、フォームに入力した社外の人の情報も影響対象となり得ます。影響する情報項目は、各サイトがフォームに設定した入力欄と、Studio側で保存・連携していた内容により異なります。

そのため、「Studioのログインパスワードを変更したので対処が終わった」とは限りません。企業・自治体などのサイト運営者は、受信したフォーム回答の内容、保存期間、連携先への情報転送、個人情報の含有状況を整理し、必要に応じて本人への連絡や関係部署との対応判断を進めることになります。

Studioはフォーム利用プロジェクトのオーナーに個別メールで案内を行っており、フォーム回答をGoogleスプレッドシートと連携している場合は連携解除も求めています。フォームから情報を送信した利用者には、送信先サイトの運営者から案内が届く場合があると説明しています。

なお、Studio AI（旧Auto）の先行利用に2022年12月～2023年8月に申し込んだ人についても、メールアドレス、ユーザー名、IPアドレスに基づき判定された居住国情報が対象となる可能性があります。Studioアカウントを持たない申込者も含まれ、同社が個別に通知する方針です。

Studio利用者・Web担当者が行うべき対応

Studioが10月16日時点で示した対応と、サイト運営担当者が自社内で確認したい事項を区別して整理します。

1. Studioへのログイン方法を確認する。 メールアドレスとパスワードでログインしている場合はパスワードを変更し、使い回している他サービスも変更します。GoogleまたはFacebookログインのみを利用し、Studioのパスワードを設定していない場合は、Studioのパスワード変更は不要とされています。
2. ライブプレビューURLを削除する。 発行済みのURLは削除して無効化し、必要な場合のみ新しいURLを発行します。
3. API連携を点検する。 Data Connect APIやAPI連携（Beta）に設定した外部サービスのAPIキー・トークンを切り替え、必要に応じて連携先のアクセスログや権限を確認します。
4. サイト別の追加対応を実施する。 パスワード保護ページのパスワード変更、カスタムプロキシキーの更新、Webhook通知先URLの切り替え、Googleスプレッドシート連携の解除など、利用機能に応じて対応します。
5. フォーム回答の影響範囲を確かめる。 個人情報を扱うフォームがある場合、取得していた情報と関係者への連絡方法を社内で整理し、Studioからの個別メールも確認します。
6. 偽の通知に注意する。 Studioはパスワードや認証情報をメール・電話で尋ねず、本件のメールに認証情報の入力を求めるリンクを含めないと説明しています。

Studio公式ヘルプにはアカウントのパスワード変更手順とライブプレビューURLの削除手順が掲載されています。

外部サービスのAPIキーが漏えいするリスク――過去の事案から見る確認ポイント

Webサイト制作プラットフォームの認証情報が影響を受ける場合、攻撃の影響は制作画面だけでなく、APIキーが持つ権限の範囲にも広がる可能性があります。連携先が顧客管理、フォーム管理、スプレッドシートなどの場合、利用するトークンの権限や有効期間を点検する必要があります。

実際に2026年10月15日には、いまでやが自社構築したShopify連携アプリのAdmin APIアクセストークンを不正取得・悪用され、顧客・注文情報が外部から取得されたと公表しました。詳細はIMADEYAのAPIトークン悪用による情報流出の続報で報じています。ただし、これはStudioとは別の事案であり、同じ攻撃者・侵入経路によるものと確認されたわけではありません。

また、JPCERT/CCによる国内Webシステム・APIへの攻撃に関する注意喚起や、IPAのWeb・SaaS・APIに関する緊急点検項目も参考になります。今回のStudioの侵入経路については、同社が一部機能の脆弱性悪用を認めていますが、具体的な技術情報は第一報時点では示されていません。

今後の調査・公表予定

Studioは10月16日の第一報で、流出の可能性がある顧客数・件数、二次被害の有無、原因の調査結果と再発防止策を今後公表するとしています。現時点でデータの改ざんや削除は確認されておらず、個人情報保護委員会への報告など関係機関への対応を進めています。

情報流出の可能性と実際の取得・悪用を混同せず、同社からの続報と、Studioを利用しているサイト運営者ごとの公表を確認する必要があります。

出典

• 【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報） – Studio株式会社（2026年10月16日）
• アカウントのパスワードを変更する – Studio Help
• ライブプレビュー – Studio Help