- Studioの不正アクセスで何が起き、どんな情報が流出した可能性があるのか（確認済みの事実の整理）
- Studio利用者・サイトのオーナー企業・制作会社など、立場ごとにやるべきこと
- API連携・フォーム・Webhookなど、使っている機能ごとの対応手順と注意点
- フォームで個人情報を受け取っていた場合の、個人情報保護委員会への報告と本人通知の考え方
- ノーコードツールやSaaSでサイトを運営するときに、今後見直したいセキュリティのポイント
2026年10月16日、ノーコードWeb制作サービス「Studio」を運営するStudio社が、クラウド環境への不正アクセスを公表しました。登録しているすべての利用者の情報が外部に流出した可能性があるとしており、対象にはアカウント情報だけでなく、各サイトの問い合わせフォームに送られた内容や、外部サービスと連携するためのAPIキーなども含まれています。
Studioはスタートアップや中小企業のコーポレートサイトを中心に使われており、報道によると利用者は90万人を超えます。自治体や上場企業を含む多くの組織が、自社サイトのフォーム経由で受け取った情報に影響が及んだ可能性を公表しています。「自社のサイトもStudioで作られているが、何をすればいいのか分からない」「制作会社に任せているので状況がつかめない」という担当者の方も多いのではないでしょうか。
この記事では、公式発表をもとに確認できている事実を整理したうえで、立場別・機能別にやるべきことと、フォームで個人情報を受け取っていた場合の報告・通知の考え方をまとめました。あわせて、今回の件を踏まえてノーコードツールやSaaSでサイトを運営する際に見直したいポイントも解説します。
※本記事は2026年10月21日20時30分（日本時間）時点で確認できた情報をもとにしています。Studio社は対象件数や原因の調査結果を続報で公表するとしているため、最新情報は必ず公式発表で確認してください。
【最新状況】Studioの不正アクセスで何が起きたのか
9月30日〜10月1日に第三者がStudioのクラウド環境に不正アクセスし、データを外部から取得できる状態になっていました。Studio社は、実際に取得された事実は確認できていないものの、取得されたものとみなして対応するとしています。
発生から公表までの時系列
| 日時（日本時間） | 出来事 |
|---|---|
| 2026年9月30日〜10月1日 | 第三者が一部機能の脆弱性を悪用し、クラウド環境内のデータを外部から取得できる状態になっていた（現時点で確認されている期間） |
| 10月13日 | 社内調査で不正アクセスを確認 |
| 10月13日〜14日 | 脆弱性を修正し、侵入経路を封鎖 |
| 10月14日 午前2時30分ごろ | ログイン中の全ユーザーを一括でログアウト |
| 10月16日 | 第一報を公表。機能別に利用者へ個別メールを送付 |
| 10月17日 | 暗号化鍵を新しいものに切り替え。フォーム利用者に個人情報保護委員会への個別報告の保留を依頼 |
| 10月18日 | 詳細案内のページを公開 |
| 10月20日 | 個人情報保護委員会への報告を「個別」か「Studioとの連名」か選べるように変更 |
原因と現在の状況
原因はStudioの「一部機能の脆弱性」とされていますが、どの機能か、どのような脆弱性かは公表されていません。詳しい原因調査は外部の専門機関に依頼する方向で調整中です。Studio社は、操作記録の調査でデータの改ざんや削除の記録は見つかっていないとしています。一方、影響を受けた件数や二次被害の有無は調査中で、続報を待つ必要があります。
なお、Studioは2026年10月21日22時から、ダッシュボードとエディターを緊急メンテナンスのため一時停止すると告知しています。ステータスページによると、これは同日に修正版が公開されるPHPの重大な脆弱性への予防措置で、公開済みのサイトとプレビューサイトは引き続き閲覧できるとしています。不正アクセスへの対応とは別の措置です。
こうした事案では、続報で対象範囲や件数が変わることがよくあります。社内で共有するときは「何月何日時点の情報か」を必ず添えておくと、後から情報が更新されたときに混乱しにくくなります。
流出した可能性がある情報
対象はログイン情報にとどまりません。サイトの中身、フォームの送信内容、外部サービスの認証情報まで含まれる点が今回の特徴です。
| 分類 | 主な対象 |
|---|---|
| アカウント情報 | ユーザー名、メールアドレス、ハッシュ化されたパスワード |
| サイトの管理データ | デザインエディタ・CMSの内容、フォームの送信内容、reCAPTCHA v3の設定、Webhookの通知先URL、公開前ページのライブプレビューURL、パスワード保護ページの内容 |
| 認証情報 | 外部サービスのAPIキー・トークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー |
| Studio AIの先行申込者 | 2022年12月〜2023年8月に申し込んだ人のメールアドレス、ユーザー名、国（アカウントを持っていない人も含む） |
「暗号化されていたから安心」とは言えない理由
フォームの送信内容やAPIキーなどの一部は暗号化して保存されていました。ただし、暗号を解くための鍵も同じ不正アクセスで読み出された可能性があるため、内容を知られたおそれがあるとされています。Studio社は10月17日に暗号化鍵を切り替えましたが、これはすでに流出した可能性のある情報を守るものではないと明記しています。
フォームの送信内容で対象になるもの・ならないもの
Studio社の案内では、フォームの回答のうち、ゴミ箱に入っているものやテスト送信、プランの上限を超えた分も含めて、保存されていた回答が対象とされています。一方、回答の保存を無効にしていた期間の送信分、9月30日より前に完全に削除した回答、添付ファイルの中身（ファイル名は対象）、外部サービスのフォームへの送信分は対象外です。
「うちは問い合わせフォームだけだから」と思っていても、採用応募や資料請求、過去のキャンペーンサイトのフォームが残っていることはよくあります。まずはStudioで作ったサイトとフォームを全部書き出すところから始めるのがおすすめです。
立場別：誰が何をすべきか
今回の件は、Studioのアカウントを持つ人だけの問題ではありません。サイトを発注した企業、制作を受けた会社、フォームに情報を送った人など、立場によってやるべきことが変わります。
| 立場 | 主にやること |
|---|---|
| Studioのアカウント保有者（社内の担当者・制作会社の担当者） | パスワード変更、ライブプレビューURLの削除、使っている機能ごとの鍵やURLの切り替え |
| サイトのオーナー企業（発注者） | 自社サイトがStudioで作られているかの確認、フォームで受け取った情報の洗い出し、報告・本人通知の判断、制作会社との役割分担の確認 |
| 制作会社・フリーランス | 担当している案件の棚卸し、クライアントへの連絡、アカウントの所有者（プロジェクトオーナー）の確認 |
| フォームに情報を送った人・Studio AIの先行申込者 | サイト運営者やStudioからの連絡の確認、Studioや運営者を名乗る不審な連絡への注意 |
特に注意したいのが、制作会社がプロジェクトのオーナーになっているケースです。Studioからの個別の案内はアカウントのオーナーに届くため、発注者側に情報が伝わっていない可能性があります。制作を外部に任せている企業は、自社から制作会社に状況を確認しましょう。
ご相談を受けていると、「サイトは制作会社のアカウントで作られていて、自社ではログインすらできない」というケースが少なくありません。今回のような緊急時に誰が何をするのか、平時から決めておくことが大切です。
全員がやるべき対応と、機能別の対応手順
まずは全員がやるべき3つの対応を済ませ、そのうえで使っている機能ごとに鍵やURLを切り替えます。切り替えは「新しいものを作る→Studioに設定する→動作を確認する→古いものを無効にする」の順で進めると、サイトの停止を防げます。
全員がやること
- Studioのパスワードを変更する：メールアドレスとパスワードでログインしている場合は変更します。同じパスワードを他のサービスでも使っている場合は、そちらも変更しましょう。GoogleやFacebookのアカウントでのみログインしている場合は、原則として変更は不要とされています。
- ライブプレビューURLを削除する：公開前のページを共有するためのURLです。チャットやメールに貼ったまま忘れていることも多いため、いったん削除し、必要に応じて再発行します。
- 不審な連絡に注意する：Studio社はメールや電話でパスワードなどを尋ねることはないとしています。公式の連絡はstudio.designまたはstudio.siteのドメインから届くとされています。
使っている機能ごとの対応
| 機能 | 流出の可能性がある情報 | やること |
|---|---|---|
| API連携（Data Connect、API連携 Beta） | 外部サービスのAPIキー・トークン | 連携先で新しいキーを作成→Studioに設定→動作確認→古いキーを無効化。9月30日以降の連携先の利用履歴も確認する |
| パスワード保護ページ | ページのパスワード、ページの内容 | パスワードを変更し、閲覧者に新しいパスワードを伝える |
| フォーム | 送信内容（個人情報を含む場合あり） | 受け取っていた情報の種類と件数を確認し、報告・本人通知の要否を検討する（次の章で解説） |
| Googleスプレッドシート連携 | 連携の認証情報 | Studioで連携を解除→Googleアカウントの「リンク済みアプリ」でアクセス権を削除→必要なら再連携。9月30日〜10月14日に想定外の編集がないか変更履歴を確認する |
| Webhook通知 | 通知先のURL | 新しいURLを作成→Studioに設定→テスト→古いURLを無効化。9月30日以降に不審な通知が来ていないか確認する |
| カスタムプロキシ | プロキシのキー | サーバー側を新しいキーに差し替えて動作確認後、Studioに古いキーの無効化を依頼する（10月16日のメール受信から30日以内） |
| reCAPTCHA v3 | 設定内容 | 差し替えは必須ではない。差し替える場合は新しいキーを追加→Studioを更新→フォームを確認→古いキーを削除 |
古いキーを先に無効化すると、連携が切れてサイトの一部が動かなくなることがあります。順番を守って作業してください。
フォームで個人情報を受け取っていた場合：報告と本人通知の考え方
フォームの回答を集めていたのはサイトの運営者です。Studio社も、個人情報保護委員会への報告や本人への通知の要否は運営者が判断するものとしており、必要に応じて専門家へ相談するよう勧めています。
個人情報保護法で報告・通知が必要になる場合
個人情報保護法では、個人データの漏えい等が起き、個人の権利利益を害するおそれがある場合、事業者に個人情報保護委員会への報告と本人への通知を義務づけています。報告の対象となるのは、次の4つのいずれかに当てはまる場合です。
- 要配慮個人情報（病歴など）が含まれる
- 財産的な被害が生じるおそれがある
- 不正の目的をもって行われた漏えい等である
- 1,000人を超える漏えい等である
報告の期限は、個人情報保護委員会の案内によると、速報が発覚から概ね3〜5日以内、確報が30日以内です。不正の目的で行われたおそれがある場合、確報の期限は60日以内とされています。本人への通知は、状況に応じて速やかに行うこととされ、直接連絡するのが難しい場合はホームページでの公表や問い合わせ窓口の設置といった代わりの方法も示されています。
今回の件で選べる報告方法
今回の件では、Studio社が当初、フォーム利用者に報告が必要になる場合があると案内した翌日に、個人情報保護委員会の要請として個別報告の保留を依頼し、利用者の間で混乱が生じたと報じられました。その後、10月20日に次の2つから選べることになっています。
| 方法 | 内容 |
|---|---|
| 個別報告 | 自社で個人情報保護委員会に報告する。保留の依頼にかかわらず報告でき、すでに報告済みのものは受付済みとされる |
| 連名報告 | Studio社が取りまとめ、利用者とStudio社の連名で報告する。申込方法と受付期間は後日案内予定。本件に限り、速報の目安期間を過ぎても遅延扱いにしないとされている |
注意したいのは、連名報告は個人情報保護委員会への報告だけが対象で、本人への通知は含まれないことです。フォームに情報を送ってくれた人への連絡は、運営者自身が判断して対応する必要があります。すでに公表している組織の中には、対象者へ個別にメールで連絡したり、該当するフォームを停止したりしている例があります。
判断のために今すぐ整理しておくこと
- Studioで作ったサイトと、そこに設置しているフォームの一覧
- 各フォームで受け取っていた項目（氏名、メールアドレス、電話番号、住所、職歴、相談内容など）
- Studio上に保存されていた回答の件数（ゴミ箱やテスト送信を含む）
- 要配慮個人情報にあたる内容（健康状態など）が含まれていないか
- 社内の判断者と、法務・弁護士など相談先
報告や通知の判断は、情報を集めていた側の責任になります。「ツールの会社が対応してくれるはず」と待つのではなく、自社で受け取っていた情報を把握しておくことが、正しい判断の前提になります。
便乗した詐欺や問い合わせへの備え
大きな情報漏えいの後は、それに便乗した詐欺メールが出回りやすくなります。自社の利用者を守るためにも、受け手と送り手の両方の立場で備えておきましょう。
- 社内への注意喚起：Studioやサイト運営者を名乗ってパスワードや支払いを求める連絡には応じない。公式の連絡元ドメインを社内で共有する
- 自社サイトでのお知らせ：フォームの利用者に向けて、事案の概要、対象となる情報、問い合わせ先、自社から連絡する方法（不審な連絡との見分け方）をお知らせページにまとめる
- 問い合わせ窓口の準備：問い合わせが増えることを想定し、回答の担当者と想定問答をあらかじめ決めておく
お知らせページはサイト内の見つけやすい場所に置き、更新した日時を明記しておくと、利用者にとっても社内にとっても確認しやすくなります。
今回の件から学ぶ：ノーコード・SaaSでサイトを運営するときのセキュリティ
ノーコードツールは、サーバー管理やソフトウェア更新をサービス側に任せられるのが大きな利点です。ただ、今回のようにサービス側で事故が起きると、利用者は自分では防げません。「任せられる部分」と「自社で管理すべき部分」を分けて考えることが大切です。
フォームのデータをツールにため込まない
今回、回答の保存を無効にしていた期間の送信分や、事前に完全削除していた回答は対象外とされました。フォームの回答は、メール通知や外部の管理ツールに連携したら、ツール上には必要な期間だけ残す運用にすると、万一のときの影響を小さくできます。採用応募など特に重要な情報は、専用のサービスで受け付けることも検討しましょう。
外部連携の鍵は権限を絞り、定期的に見直す
APIキーやトークンは、必要な操作だけができる権限で発行し、使っていない連携は削除しておきます。どのサービスと何の鍵で連携しているかを一覧にしておくと、今回のように一斉に切り替えが必要になったときにすぐ動けます。
アカウントの所有者と権限を棚卸しする
退職者や過去の制作会社のアカウントが残っていないか、プロジェクトの所有者は誰かを定期的に確認しましょう。発注者側が管理者として参加しておけば、運営会社からの重要な案内を見落としにくくなります。
ツールを選ぶ・乗り換えるときの観点
ツール選びでは、機能や価格に加えて、データの保存場所と保存期間を利用者が設定できるか、事故が起きたときの情報公開が早く分かりやすいか、といった点も確認しておくと安心です。今回の件をきっかけに別のツールへ乗り換える場合は、検索での評価を引き継ぐため、できるだけ同じURLを維持し、変わるページには旧URLから新URLへの転送（301リダイレクト）を設定することをおすすめします。乗り換えの判断は、Studio社の続報（原因と再発防止策）を確認したうえで行っても遅くありません。
サイトを乗り換えるときに一番もったいないのは、URLが変わって検索順位を落としてしまうことです。セキュリティの判断と並行して、サイトの資産である検索評価をどう守るかも一緒に考えておくと、後悔のない選択ができます。
サイトの運用体制やツール選定の見直しをご相談ください
TSRコンサルティングでは、Webサイトの制作・運用からSEOまで、サイトを「集客の資産」として育てるための支援を行っています。
「サイトの管理者や権限が整理できていない」「フォームの運用を見直したい」「ツールを乗り換える場合の検索順位への影響が心配」といったお悩みがあれば、お気軽にご相談ください。
まとめ
- Studioへの不正アクセスでは、全利用者のアカウント情報に加え、フォームの送信内容や外部連携の認証情報なども流出した可能性があり、暗号化されていた情報も安心できない
- 全員がパスワード変更とライブプレビューURLの削除を行い、使っている機能ごとに「新しく作る→設定→確認→古いものを無効化」の順で切り替える
- フォームで個人情報を受け取っていた運営者は、報告（個別か連名か）と本人通知の要否を自社で判断する必要がある
- 今後は、フォームのデータをため込まない、連携の鍵とアカウントを棚卸しするなど、ツール任せにしない運用を整える
よくある質問
Studioを使っていれば、全員が対象になりますか？
Studio社は、登録しているすべての利用者の情報が流出した可能性があるとしています。また、2022年12月〜2023年8月にStudio AIの先行利用に申し込んだ人は、アカウントを持っていなくても対象とされています。対象件数は精査中で、続報で公表される予定です。
Googleアカウントでログインしている場合も、何か対応が必要ですか？
Studioのパスワードの変更は、原則として不要とされています。ただし、過去にパスワードを設定したことがある場合は、再設定が必要になることがあります。ライブプレビューURLの削除や、使っている機能ごとの対応はログイン方法にかかわらず必要です。
自社のサイトがStudioで作られているか分からない場合は？
制作会社やサイトの管理担当者に確認するのが確実です。サイトのドメインの設定や、Studioからの案内メールが届いているかも手がかりになります。制作会社がアカウントの所有者の場合、案内が発注者に届いていないことがあるため、自社から問い合わせましょう。
フォームで受け取った情報について、必ず個人情報保護委員会に報告しなければいけませんか？
報告が必要かどうかは、受け取っていた情報の内容や件数などによって変わります。Studio社も判断は運営者に委ねており、専門家への相談を勧めています。今回は、自社で報告するか、Studio社との連名で報告するかを選べます。本人への通知は別途、自社で判断が必要です。
Studioから別のツールに乗り換えるべきですか？
一律に乗り換えが必要とは言えません。Studio社は原因の調査結果と再発防止策を続報で公表するとしているため、その内容を確認して判断するのが現実的です。乗り換える場合は、URLの維持やリダイレクトの設定など、検索評価を引き継ぐ準備をしておきましょう。
