Web制作ツール「Studio」に不正アクセス 全利用者の情報が流出のおそれ、サイトのフォームに送られた内容も

プログラムを書かずにWebサイトを作れるツール「Studio」を運営するStudio社は2026年10月16日、同社が使っているクラウドの環境に第三者が不正にアクセスし、預かっている利用者の情報が外に出たおそれがあると発表した。今の調べでは、Studioに登録しているすべての利用者が対象になる。件数は、詳しく調べてから知らせるという。

何があったのか

Studio社によると、第三者がStudioの一部の機能の弱点(脆弱性)を使って、同社のクラウドの環境に入り込み、中のデータを外から取り出せる状態にしていた。

• 2026年9月30日〜10月1日: 第三者による不正アクセス(今わかっている期間)
• 10月13日: 社内の調べで不正アクセスを確認
• 10月13日〜14日: 弱点を直し、入り込まれた道をふさいだ

データを外から取り出せる状態は、10月14日に対処するまで続いていた。実際に取り出された事実は確認できていないが、Studio社は、取り出されたものとして対応しているという。データが書き換えられたり消されたりした跡は、今のところ見つかっていない。

流出したおそれのある情報

• Studioのアカウントの情報: ユーザー名、メールアドレス、変換して保存したパスワード(ハッシュ化されたパスワード)など
• 利用者がStudioで管理しているデータ: サイトのデザインやCMS(記事を管理する仕組み)の中身、フォームに送られた内容、Google reCAPTCHA v3の設定、Webhookの通知先のURL
• 公開前のページを見るための「ライブプレビュー」のURL
• 設定に含まれる認証の情報: 外部サービスとつなぐためのAPIキーやトークン、パスワードで守ったページのパスワード、Googleスプレッドシートとの連携の認証情報、カスタムプロキシのキー

フォームに送られた内容やAPIキーなどは暗号化して保存していたが、元に戻すための鍵も同じ不正アクセスで読み出されたため、中身を知られたおそれがある。Studioのパスワードは、元に戻しにくい形に変換して保存しているが、元のパスワードを割り出される可能性を完全には否定できないとしている。

2022年12月から2023年8月にかけて、AIでサイトを作る機能「Studio AI」(当初の名前は「Auto」)の先行利用に申し込んだ人のメールアドレス、ユーザー名、住んでいる国も、流出したおそれがある。Studioのアカウントを持っていない人も含まれる。

かんたんに言うと

Studioは、ホームページを作るための「建物の貸しスペース」のようなサービスだ。今回は、その建物の管理室に忍び込まれ、各部屋の合いかぎや、お客さんが受付に置いていった手紙(フォームに送られた内容)まで見られたおそれがある、という状態だ。

利用者がすること

Studio社は、利用者に次のことを求めている。

• パスワードを変える: メールアドレスとパスワードでログインしている人は、Studioのパスワードを変える。ほかのサービスで同じパスワードを使っているなら、そちらも変える
• ライブプレビューのURLを消す: 発行している人は、念のため削除する
• 偽のメールに注意: Studio社を名乗るフィッシングのメールが届くおそれがある。Studio社がパスワードや認証の情報をメールや電話で聞くことはない

APIキーをつないでいる人、パスワードで守ったページやフォーム、カスタムプロキシ、Webhookを使っている人には、キーやパスワード、通知先の切り替えなどを、個別のメールで知らせている。フォームの回答をGoogleスプレッドシートにつないでいる場合は、連携を外すよう求めている。

日本ではどうなるのか

Studioは日本の会社で、国内で多くのサイトの制作に使われている。Studioで作られたサイトのフォームから問い合わせなどを送った人には、送り先のサイトの運営者から案内が届く場合があるという。Studio社は、個人情報保護委員会への報告を進め、外部の専門家の助言を受けて再発を防ぐとしている。

まとめ

Web制作ツール「Studio」のクラウドに不正アクセスがあり、すべての利用者の情報や、Studioで作られたサイトのフォームに送られた内容、外部サービスのキーなどが流出したおそれがある。利用者はパスワードを変え、届いた案内に沿ってキーの切り替えなどを進めたい。件数や被害の有無は、続報を待つことになる。