Studio不正アクセスの第一報が2026年10月16日に出ました。ノーコードの Web 制作サービス Studio が公表した「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」によると、クラウド環境に第三者が入り、登録しているすべての顧客の情報が流出した可能性があるとしています。第三者が実際にデータを取得した事実は確認できていないものの、取得されたものとみなして対応するという内容です。
本記事は、第一報が挙げた項目ごとに、利用者がやることと対策の順番を整理します。
DO THIS FIRST最初にやること
パスワードだけでなく、Studioに預けた鍵を全部取り替える
-
1.Studioのパスワード
メールとパスワードでログインしている場合。同じものを使う他サービスも
-
2.API連携のキーとトークン
発行元で新しいキーを作り、Studioを差し替えてから古いキーを失効
-
3.公開ページまわりの鍵
パスワード保護ページ・プロキシキー・ライブプレビューURL・スプレッドシート連携
-
4.フォームの送信者
集めた個人情報の種類を洗い出し、連絡と報告の要否を判断
30秒でわかる（2026年10月16日 第一報時点）
- ・期間：不正アクセスは9月30日〜10月1日（現時点で確認できている期間）。10月13日に社内調査で見つかり、14日に経路を塞いだ
- ・範囲：登録しているすべての顧客。件数は精査中で、続報で公表される
- ・重い点：フォームの送信内容と外部サービスの API キーが含まれ、暗号化していたものも復号の鍵ごと読み出された可能性がある
- ・利用者がやること：パスワードの変更だけでは足りない。Studio に登録した鍵を発行元で取り替え、フォームで集めた個人情報の扱いを確かめる
インシデントの読み方やほかの事案は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 にまとめています。
Studio不正アクセスのタイムライン
TIMELINE時系列
侵入から公表まで約2週間。取り替えるまで鍵は有効なまま
-
9/30
不正アクセス（〜10/1）
現時点で確認できている期間
-
10/13
社内調査で確認
一部機能の脆弱性が悪用された
-
10/14
脆弱性を修正し経路を遮断
外部から取得できる状態を解消
-
10/16
第一報を公表
件数は精査中で続報予定
| 日時（日本時間） | 出来事 |
|---|---|
| 2026-09-30〜10-01 | 第三者による不正アクセス（現時点で確認できている期間） |
| 10-13 | 社内の調査で不正アクセスを確認。一部機能の脆弱性が悪用された |
| 10-13〜14 | 脆弱性を修正し、不正アクセスに使われた経路を塞ぐ。外部から取得できる状態を解消 |
| 10-16 | 第一報を公表。公式 X アカウントでも 10時11分に告知 |
| 10-16 | Studio で作ったサイトを使う企業から、自社への影響についての開示が出始める（ラクスル、Link-U グループなど） |
件数、二次被害の有無、原因の調査結果と再発防止策は、続報で公表するとされています。侵入から公表まで約2週間あり、その間に外へ出た鍵は、利用者が取り替えるまで有効なままです。
流出の可能性がある情報と、取り替えるもの
第一報が挙げた項目を、利用者がやることと並べました。
| 情報 | 中身 | 利用者がやること |
|---|---|---|
| アカウント情報 | ユーザー名・メールアドレス・ハッシュ化されたパスワードなど | メールアドレスとパスワードでログインしているなら、Studio のパスワードを変える。同じパスワードの他サービスも |
| フォームの送信内容 | サイトの訪問者がフォームに書いた内容 | 集めた情報の種類を洗い出し、送信者への連絡と報告の要否を確認する |
| API 連携のキー・トークン | 外部サービスのために登録した API キーやトークン | 発行元で新しいものを作り、Studio を差し替えてから古いものを失効させる |
| パスワード保護ページ | ページにかけたパスワード | 新しいパスワードに変える |
| Google スプレッドシート連携 | フォームの回答を書き出す連携の認証情報 | 連携を解除して、つなぎ直す |
| カスタムプロキシ | プロキシ機能のプロキシキー | 新しいキーに切り替える |
| ライブプレビュー URL | 共有用のプレビュー URL | 削除して、必要なら発行し直す |
暗号化されていても「知られた」前提で
- ・第一報は、暗号化していたフォーム送信内容や API キーも、復号に必要な鍵が同じ不正アクセスで読み出された可能性があるとしている
- ・つまり「暗号化されていたから大丈夫」は成り立たない。表のすべての項目を、中身を知られた前提で扱う
- ・退会した人の情報の一部も対象に含まれるとする解説がある。退会済みでも、当時登録していたパスワードやキーは確かめておく
Studio不正アクセスの対策——利用者がやることを順番に
急ぐ順に並べると次のとおりです。
WHO DOES WHAT役割の分担
Studioが塞げるのは入口まで。外に出た鍵の失効は利用者にしかできない
Studio側
脆弱性の修正・経路の遮断・調査・件数の公表・関係機関への報告
利用者側
外部サービスのキー失効・ページの鍵の変更・フォーム送信者への対応
Studio のパスワード変更は最初の一歩にすぎず、本当に効くのは外部サービスの鍵の失効です。
1. 外部サービスの API キーとトークンを取り替える
Studio が経路を塞いでも、外に出たキーは発行元のサービスで止めない限り使えます。課金が発生するキー（生成 AI の API、決済、メール配信など）から先に手を付けてください。
・発行元の管理画面で、新しいキーを作る
・Studio の API 連携の設定を、新しいキーに差し替える
・サイトが動いていることを確かめてから、古いキーを失効させる
・発行元の利用履歴で、9月30日以降に心当たりのない使われ方がないかを見る
先に古いキーを止めると、サイトの連携が途切れます。新しいキーへの差し替えを挟むのがこの順番の理由です。API キーが使われていないかの見方は Gemini APIキーの不正利用を防ぐ管理と監視の実践 でも扱っています。
2. 公開ページまわりの鍵を変える
パスワード保護ページのパスワード、カスタムプロキシのプロキシキー、ライブプレビュー URL を取り替えます。保護ページのパスワードを社外の人と共有していたなら、新しいパスワードを伝え直す必要があります。Google スプレッドシート連携は解除してつなぎ直し、Google アカウント側でも Studio に渡していたアクセス権を見直します。
3. Studio のパスワードを変える
メールアドレスとパスワードでログインしている場合が対象です。ハッシュ化されていても、弱いパスワードは時間をかければ割り出されます。同じパスワードを他のサービスで使っているなら、そちらも変えてください。
4. Studio を装った連絡に注意する
第一報も、Studio を装った不審なメールやメッセージに注意するよう呼びかけています。流出した可能性のあるメールアドレスとユーザー名を使えば、本物らしい偽メールが作れます。メールのリンクは開かず、ブラウザで Studio のサイトを開いて確認してください。
フォームで個人情報を集めていた人が確認すること
Studio のフォームで問い合わせや応募を受けていたなら、送信した人の情報も対象に入ります。サイトの運営者として、次の順で確かめます。
・フォームの項目を洗い出す（氏名・メールアドレス・電話番号・住所・自由記述など）
・自由記述に、本来集める想定のない情報（健康状態、口座番号など）が書かれていないかを見る
・送信者に連絡するかを決める
・個人情報保護委員会への報告が必要かを確かめる
個人情報保護法は、不正アクセスなど不正な目的による漏えいの「おそれ」も、委員会への報告と本人への通知の対象にしています。データの取り扱いを外部に預けていた場合でも、預けた側の事業者に報告が求められることがあります。報告が必要かどうかは、集めた情報の種類と預け方によって変わるので、個人情報保護委員会のガイドラインと Q&A で確かめてください。Studio 自身も、個人情報保護法に基づく報告などを進めているとしています。
影響範囲と、続報で見るべき点
第一報の時点で、影響の可能性があるのは Studio に登録しているすべての顧客です。Studio で作ったサイトのフォームに情報を送った訪問者も、間接的に含まれます。実際に Studio を使っていた企業からは、自社サービスへの影響についての開示が出ています。
続報では次の点を見ると、自分の対応を見直しやすくなります。
・件数と、対象になった期間が広がっていないか
・悪用された「一部機能の脆弱性」が何だったか
・二次被害（キーの不正利用、なりすましメール）の報告が出ているか
・退会者や、過去のフォーム送信内容がどこまで含まれるか
似た事案として、さくらインターネット不正アクセスとは｜第三報の951と136万・2023年4月からの期間・自分の確認手順 では、第一報から第三報までに対象の数と期間が広がりました。今回も第一報の段階なので、続報が出たら本記事も更新します。
参照ソース
- Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」2026-10-16（当サイトの環境からは開けず、検索結果に載った本文で確認）
- Studio 公式 X の告知（2026-10-16 10:11 JST）
- ラクスル「当社が利用するクラウドサービスにおける不正アクセスに関するお知らせ」（見出しのみ確認）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
