Studioの不正アクセス・個人情報流出｜利用企業が今すぐやること【10月19日時点】
公開日 ／ 更新日 | マツケンスタジオ 責任者
- 何が起きたか、流出した可能性のある情報と、含まれないもの
- すべての利用者と、機能ごとにやること
- フォームで個人情報を集めていた会社が考える、報告と本人への通知
ホームページのご相談は無料です
ノーコードでホームページを作れるサービス「Studio」で、第三者による不正アクセスがあり、利用者の情報が外部に流出した可能性があると、運営するStudio株式会社が2026年10月16日に発表しました。対象は、Studioに登録しているすべての利用者です。会社のホームページや採用サイトをStudioで作っている場合、自社の情報だけでなく、サイトのお問い合わせフォームに入力したお客様や応募者の情報も関わってきます。
この記事では、Studioの公式発表をもとに、何が起きたのか、自社が対象かどうかの確かめ方、今すぐやること、フォームで個人情報を集めていた会社が考えておきたいことを、順番に整理します。
この記事は、2026年10月19日21時に確認した公式発表をもとに書いています（Studioの案内ページの最終更新の表示は、10月18日20時30分です。10月19日の時点で、よくある質問が1つ追加されていました）。Studioは、件数や原因などを続報で知らせるとしています。実際に対応するときは、必ず公式のお知らせで最新の内容を確かめてください。出典は記事の最後にまとめています。
何が起きたのか
公式発表によると、第三者がStudioの一部の機能の弱いところ（脆弱性）を悪用して、Studioが使っているクラウド環境に不正にアクセスし、環境の中のデータを外部から取り出せる状態にしていました。この状態は、Studioが対処した2026年10月14日まで続いていました。
| 日付 | できごと（公式発表より） |
|---|---|
| 2026年9月30日〜10月1日 | 第三者による不正アクセス（現時点で確認できている期間） |
| 2026年10月13日 | 社内の調査で不正アクセスを確認 |
| 2026年10月13日〜14日 | 脆弱性を修正し、不正アクセスに使われた経路を塞ぐ。外部から取り出せる状態を解消 |
| 2026年10月14日 午前2時30分ごろ | 安全のため、ログインしていたすべての利用者を一度ログアウト |
| 2026年10月16日 | 第一報を公開。機能ごとに、対象の利用者へ個別のメールを送付 |
| 2026年10月17日 | フォーム機能の利用者に、個人情報保護委員会への報告の「保留」を案内 |
| 2026年10月18日 | よくある質問をまとめた案内ページを公開。第一報の内容を更新 |
Studioは、実際に第三者にデータを取得された事実は確認できていないものの、取得されたものとみなして対応を進めているとしています。また、現時点でデータの書きかえや削除は確認されていないとしています。
流出した可能性のある情報
公式発表では、Studioに登録しているすべての利用者について、次の情報が流出した可能性があるとしています。
| 種類 | 中身 |
|---|---|
| Studioアカウントの情報 | ユーザー名、メールアドレス、ハッシュ化されたパスワードなど |
| Studioで管理しているデータ | デザインエディタとCMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL |
| ライブプレビューのURL | 公開前のページを確認するためのURL |
| 設定に含まれる認証情報 | API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのプロキシキー |
注意したいのは、暗号化して保存していた情報も、中身を知られた可能性があるという点です。フォームの送信内容やAPIキーなどは暗号化されていましたが、暗号をとくための鍵も同じ不正アクセスで読み出されたためです。
パスワードは、元に戻せない形（ハッシュ化）で保存されていました。元のパスワードを割り出すことは難しいものの、その可能性を完全には否定できないため、変更をお願いしているとしています。
このほか、2022年12月から2023年8月にAIのサイト作成機能「Studio AI」（当初の名称は「Auto」）の先行利用に申し込んだ人について、メールアドレス、ユーザー名、住んでいる国（接続元から判定したもの）も対象です。Studioのアカウントを持っていない人も含まれ、個別に連絡するとしています。
対象に含まれないもの
反対に、次のものは対象に含まれないと説明されています。自社がどこまで影響を受けるかを考えるときに大切なところです。
- Googleフォームなど、外部サービスのフォームを埋め込んでいる場合の回答：回答はStudioを通らずに外部サービスへ直接送られるため、含まれません。ただし、Studioに貼り付けた埋め込みのコードはデザインの内容として対象です。コードにAPIキーなど、外に知られてはいけない値を書いていた場合は、外部サービス側で切り替えます。
- 「フォームの結果をStudioに保存」を無効にしていた間の回答：Studioに保存されていないため、含まれません。途中で無効にした場合、それまでに届いていた回答は対象です。
- 2026年9月30日より前に「完全に削除」した回答：含まれません。ゴミ箱に移しただけの回答は対象です。
- フォームに添付されたファイルの中身：対象はファイル名だけで、中身は含まれません。
- GoogleログインまたはFacebookログインだけを使っている場合のパスワード：Studioのパスワードを設定していなければ、パスワードの変更はいりません。
なお、ライブプレビューでテスト送信した回答や、プランの上限を超えてダッシュボードに表示されなかった回答も、Studioに保存されていたものは対象に含まれます。
自社が対象かどうかを確かめる方法
Studioに登録している会社は、すべて対象です。そのうえで、どの機能のどのプロジェクトが関わるかは、次の方法で確かめます。
- 個別のメールを見る：機能ごとに、対象プロジェクトのオーナー（いない場合はメンバー）へ、2026年10月16日にメールが送られています。件名は「【重要】不正アクセスに伴う、」で始まります。迷惑メールのフォルダも確かめましょう。
- Studioにログインする：お知らせがある場合は、画面のバナーやポップアップで表示されます。
- 専用の窓口に聞く：メールが見当たらない場合や、契約の管理だけを担当している場合は、不正アクセスに関する専用のお問い合わせ窓口で、対象のプロジェクトを教えてもらえます。受付は24時間、回答は平日10時から18時です。
制作会社にサイトを作ってもらい、Studioのアカウントも制作会社が持っている場合は、メールが自社に届いていないことがあります。制作会社に連絡して、対象のプロジェクトと、届いているメールの内容を共有してもらいましょう。誰がアカウントの持ち主かが分からない場合も、この機会に確かめておくと安心です。
すべての利用者が、今すぐやること
1. Studioのパスワードを変える
メールアドレスとパスワードでログインしている場合は、パスワードを変えます。以前にメールアドレスとパスワードで登録したことがあり、今はGoogleなどでログインしている場合は、パスワードが残っていることがあります。ログイン画面の「パスワードをお忘れですか？」から再設定すると確実です。
2. 同じパスワードを使っているほかのサービスも変える
Studioと同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使っている場合は、そちらも変えることが強くすすめられています。割り出された場合に、ほかのサービスへ不正にログインされるおそれがあるためです。
3. ライブプレビューのURLを削除する
公開前のページを共有するライブプレビューのURLを発行している場合は、削除します。引き続き共有が必要なら、削除してから新しいURLを発行します。
4. Studioを名乗る不審な連絡に気をつける
今回のことに便乗した、Studioを名乗るメール（フィッシング）が届くおそれがあります。公式発表では、次のように案内されています。
- Studioからのメールは、@studio.design または @studio.site などのアドレスから送られる
- 今回の件でStudioが送るメールに、パスワードや認証情報の入力を求めるリンクは含まれない
- Studioがパスワードや認証情報を、メールや電話で聞くことはない
- ログインするときは、ログイン画面のアドレスが app.studio.design であることを確かめる
社内でStudioを使っている人が複数いる場合は、全員にこの内容を伝えておきましょう。
機能ごとに、やること
次の機能を使っている場合は、それぞれ対応が必要です。対象のプロジェクトには、個別のメールで案内が届いています。
| 使っている機能 | やること（公式発表より） |
|---|---|
| API連携（Data Connect API・API連携（Beta）） | 外部サービス（microCMS、Notionなど）で新しいキーを発行して差しかえ、古いキーを失効させる。2026年9月30日以降に心当たりのない利用がないかも確かめる |
| パスワード保護ページ | 保護ページのパスワードを変える |
| フォーム | 個別のメールで、対象の送信内容を確かめる（次の章でくわしく） |
| Googleスプレッドシート連携 | Studio側で鍵は更新済みで、連携はそのまま使える。そのうえで、①Studioで連携を解除、②Googleアカウントの「リンク済みアプリ」でStudioのアクセス権を削除、③改めて連携、の順にやり直すことがすすめられている |
| カスタムプロキシ | Studioが発行した新しいプロキシキーに、自社のサーバーの設定を差しかえ、完了を窓口に知らせる。期日は10月16日のメールを受け取ってから30日以内 |
| Webhook通知 | 通知先のURLを切り替える |
| Google reCAPTCHA v3 | シークレットキーの一律の差しかえは求められていない（くわしくは公式のよくある質問） |
Googleスプレッドシート連携をやり直すと、解除してから改めて連携するまでの間、回答はスプレッドシートに追加されません。「フォームの結果をStudioに保存」が無効の場合は、通知先のメールアドレスにだけ届くので、解除する前に通知先が設定されているかを確かめておきましょう。また、Googleアカウントでアクセス権を削除すると、同じアカウントで連携しているほかのプロジェクトも止まります。
外部サービスのAPIキーは、発行したサービスの側で管理されているため、Studioでは無効にできません。自社で切り替える必要があります。
フォームで個人情報を集めていた会社へ
お問い合わせ、資料請求、見学の予約、採用の応募など、Studioのフォームでお客様や応募者の名前や連絡先を集めていた場合は、自社の情報だけの問題ではありません。フォームに入力した人の情報が、流出した可能性があるためです。
Studioは、フォームを通じて個人情報を集めている場合、サイトを運営する会社自身が「個人情報取扱事業者」として、個人情報保護委員会への報告や、入力した本人への通知が必要になる場合があると案内しています。
個人情報保護委員会への報告は「いったん保留」
2026年10月17日、Studioは、個人情報保護委員会からの要請を受けたとして、これから報告する予定の会社に、個別の報告をいったん保留するようお願いしています。Studioがとりまとめて、利用者とStudioの連名で報告できるかを委員会と協議する予定で、進め方や、保留している間の期限の扱いは、委員会に確かめたうえで改めて案内するとしています。すでに報告した会社の今後の扱いも、あわせて案内するとしています。
本人への通知は、保留の対象ではない
保留をお願いしているのは、個人情報保護委員会への報告だけです。フォームに入力した本人への通知は保留の対象に含まれず、必要になる場合があるので、引き続き対応を考えてほしいとしています。
通知が必要かを考える、3つの点
Studioのよくある質問では、通知が必要かを考えるために、次の3点を確かめるよう案内しています。
- 事業や団体の活動のためにフォームを使っていたか：お問い合わせ、予約、採用の応募などが当てはまります。個人事業主や非営利の団体も対象になり得ます。
- フォームの回答に「個人データ」が含まれていたか：名前や連絡先など、個人を特定できる情報があるかを、自由に書く欄も含めて確かめます。こうした回答がStudioのダッシュボードに保存されていれば、自分で一覧を作っていなくても、通常は「個人データ」に当たると考えられるとしています。
- その情報が、今回の影響を受ける可能性があるか：個別のメールに書かれた対象のプロジェクトと、フォームで集めていた情報を確かめます。
大事なのは、人数が少なくても関係があることです。個人情報保護委員会のガイドラインでは、報告や通知が必要になる事態の一つに「不正の目的をもって行われたおそれがある行為による漏えい等」があり、不正アクセスはこれに当たります。この類型には、「本人の数が千人を超える」といった人数の条件がありません。Studioも、不正アクセスによる漏えいのおそれがある場合、対象者が1人でも通知が必要になる場合があると説明しています。
本人への通知と、公表の進め方
通知が必要かどうか、どう伝えるかは、最終的には自社で判断することになります。Studioも、必要に応じて弁護士などの専門家に相談するよう案内しています。そのうえで、進めるときの流れを整理しておきます。
1. 対象の人と、集めていた項目を確かめる
個別のメールに書かれた対象のプロジェクトのフォームについて、いつから、何件の回答が、どんな項目（名前、会社名、電話番号、メールアドレス、自由記述など）で保存されていたかを確かめます。採用の応募のように、内容によってはとくに慎重に扱いたい情報が含まれていないかも見ておきます。
2. 伝える内容をまとめる
個人情報保護委員会のガイドラインでは、本人に通知する内容として、次のようなことが挙げられています。
- 何が起きたかの概要
- 漏えい、またはそのおそれがある個人データの項目
- 原因
- 二次的な被害、またはそのおそれの有無と、その内容
- そのほか参考になること（問い合わせ先など）
Studioは、自社のホームページなどでのお知らせに使える、事業者向けのお知らせの文例（リリース用のひな形）を用意しています。対象の情報や自社の対応に合わせて直して使えます。
3. 伝え方を決める
本人への通知は、メールや郵送などで、本人に届く形で行うのが基本です。ガイドラインでは、連絡先が分からないなど本人への通知が難しい場合に、代わりの措置として、事案を公表することや、問い合わせの窓口を設けることなどが例として挙げられています。ホームページでのお知らせは、本人への通知とは別に考える必要があり、Studioもその点を案内しています。
営業やいたずらの送信も、通知の対象になるか
フォームには、営業の売り込みや、意味のない送信、中には脅しのような内容が届くこともあります。Studioのよくある質問（10月19日に確認）では、こうした回答について、次のように説明しています。
- 送信の目的や内容だけを理由に、通知の対象から外すことはできない
- 回答に名前やメールアドレスなど、特定の個人を見分けられる情報が含まれる場合は、原則として本人への通知が必要
- 機械的に送られた意味のない文字列だけの回答など、特定の個人を見分けられない場合は、そもそも通知の対象にならないことがある
- 連絡先がない、連絡がつかないなど通知が難しい場合は、公表などの代わりの措置で対応することが認められている
- 殺害予告など安全上の心配がある場合は、通知の方法や時期について、弁護士などの専門家や警察に相談する
「営業メールだから」「いたずらだから」と自社だけで判断して外さず、回答の中身を1件ずつ確かめることが大切です。
4. 問い合わせに答えられるようにする
お知らせを出すと、入力した人から問い合わせが来ることがあります。誰が受けるのか、どこまで答えるのか、Studioの続報が出たらどう知らせるのかを、社内で決めておきましょう。答えに困ったときは、分かっていることと、まだ分からないことを分けて伝えるのが基本です。
報告の期限について
ガイドラインでは、報告は、事態を知ってから速やかに出す「速報」（目安はおおむね3〜5日以内）と、くわしい内容をまとめた「確報」に分かれ、不正の目的による漏えいの場合、確報は事態を知った日から60日以内とされています。ただ今回は、上で紹介したとおり、保留している間の期限の扱いを、Studioが委員会に確かめたうえで案内するとしています。自社だけで判断せず、Studioの続報と委員会の案内を確かめてから動きましょう。
取引先や応募者から問い合わせが来たら
Studioは、Studioで作られたサイトのフォームから情報を送った人には、送り先のサイトの運営者から案内がある場合があるとしています。つまり、フォームに入力した人から見ると、まず問い合わせる先は、サイトを運営している自社です。
問い合わせが来たときに、次のことを答えられるようにしておくと、相手の不安をやわらげられます。
- 自社のサイトのフォームが、対象に含まれているかどうか
- その人の情報のうち、どの項目が関わる可能性があるか
- Studioが発表している内容と、まだ調べている内容
- 自社としてとった対応と、続報が出たときの知らせ方
- 不審なメールや電話に気をつけてほしいこと
この機会に見直したいこと
今回のことは、Studioに限らず、ホームページを外部のサービスで作っているすべての会社にとって、自社の備えを見直すきっかけになります。どのサービスを使っていても、次のことは確かめておきたいところです。
フォームの回答を、サービスにため続けない
今回、「フォームの結果をStudioに保存」を無効にしていた間の回答や、9月30日より前に完全に削除した回答は、対象に含まれませんでした。お問い合わせの回答を、必要な期間を過ぎてもサービスの中に残し続けていないかを確かめましょう。メールで受け取って社内で管理している場合は、サービス側に残す必要があるかを考え、不要なら定期的に完全に削除する運用にすると、万一のときの影響を小さくできます。
どの外部サービスに、何を預けているかを書き出す
ホームページの裏側では、フォーム、予約、CMS、表計算、地図など、いくつものサービスがつながっています。どのサービスに、どんな情報や鍵（APIキー）を預けているかを一覧にしておくと、今回のようなときに、何を切り替えればよいかがすぐに分かります。
パスワードを使い回さない、2段階の認証を使う
同じパスワードを複数のサービスで使っていると、一か所の流出がほかのサービスへの不正ログインにつながります。サービスごとに別のパスワードにし、2段階の認証が使えるサービスでは有効にしておきましょう。
アカウントの持ち主と、連絡先を決めておく
制作会社が作ったサイトでは、サービスのアカウントや連絡先のメールアドレスが制作会社のものになっていて、大事な知らせが自社に届かないことがあります。誰が持ち主で、知らせがどこに届くのかを確かめておきましょう。考え方は、ドメインとサーバーとは？やホームページの制作会社を乗り換える手順でも紹介しています。
サイトのアドレスと、お知らせの通信を守る
フォームのあるページが暗号化された通信（https）になっているかも、あらためて確かめておきましょう。くわしくは、「保護されていない通信」と出るのはなぜ？で紹介しています。
サービスを乗り換えるかどうかは、今回の対応や続報の内容、自社の使い方を見て、落ち着いて判断すれば十分です。乗り換えを考える場合も、まずは今回の対応を済ませることが先です。
今後の続報で確かめたいこと
Studioは、次のことを確認でき次第、公式のお知らせで続報として知らせるとしています。
- 対象になる利用者の範囲と件数
- 二次的な被害（不正ログインや情報の悪用など）の有無についての調査結果
- 原因の調査結果と、再発を防ぐための対策（外部の専門機関に依頼するよう調整中）
- 個人情報保護委員会への報告の進め方と、保留している間の期限の扱い
とくにフォームを使っていた会社は、報告の進め方についての案内を見落とさないようにしましょう。この記事も、続報が出たら内容を見直します。
まとめ
Studioの不正アクセスでは、すべての利用者について、アカウントの情報、サイトの内容、フォームの送信内容、外部サービスの鍵などが流出した可能性があります。まずは、パスワードの変更、同じパスワードを使っているサービスの変更、ライブプレビューのURLの削除を済ませ、使っている機能ごとの対応を進めましょう。フォームで個人情報を集めていた会社は、個人情報保護委員会への報告はStudioの案内に沿っていったん保留しつつ、入力した本人への通知が必要かを、専門家にも相談しながら考えておくことが大切です。
出典（いずれもStudio株式会社と個人情報保護委員会の公式ページ。2026年10月19日に確認）
よくある質問
Studioのよくある質問では、送信の目的や内容だけを理由に通知の対象から外すことはできず、名前やメールアドレスなど個人を見分けられる情報が含まれる場合は、原則として通知が必要と説明されています。意味のない文字列だけの回答は対象にならないことがあり、脅しなど安全上の心配がある場合は、弁護士などの専門家や警察に相談するよう案内されています。
Studioに登録しているすべての利用者が対象とされています。どの機能のどのプロジェクトが関わるかは、2026年10月16日にプロジェクトのオーナーへ送られた個別のメールか、Studioにログインしたときのお知らせで確かめられます。見当たらない場合は、不正アクセスに関する専用のお問い合わせ窓口で教えてもらえます。
GoogleログインまたはFacebookログインだけを使い、Studioのパスワードを設定していなければ不要とされています。ただし、以前にメールアドレスとパスワードで登録したことがある場合はパスワードが残っていることがあるため、ログイン画面の「パスワードをお忘れですか？」から再設定してください。
外部サービスのフォームを埋め込んでいる場合、回答はStudioを通らずに外部サービスへ直接送られるため、対象には含まれないとされています。ただし、Studioに貼り付けた埋め込みのコードはデザインの内容として対象なので、コードにAPIキーなどを書いていた場合は外部サービス側で切り替えてください。
Studioは2026年10月17日、個人情報保護委員会からの要請を受けたとして、これから報告する予定の利用者に、個別の報告をいったん保留するようお願いしています。連名での報告や期限の扱いは、委員会に確かめたうえで改めて案内するとしているので、続報を確かめてください。
保留をお願いされているのは、個人情報保護委員会への報告だけです。入力した本人への通知は保留の対象に含まれず、必要になる場合があるとされています。不正アクセスによる漏えいのおそれでは人数の条件がないため、対象が少なくても、専門家に相談しながら対応を考えておきましょう。
Studioのアカウントやメールが制作会社のものになっていると、案内が自社に届いていないことがあります。まず制作会社に連絡し、対象のプロジェクト、届いているメールの内容、すでにとった対応を共有してもらいましょう。フォームで個人情報を集めていた場合、本人への通知を考えるのはサイトを運営する自社です。
「何から始めればいいか分からない」という段階でも大丈夫です。町工場発のマツケンスタジオが、ドメインの取得から公開後の更新まで、まるごとお手伝いします。いまは毎月3社まで、特別な価格で制作する「事例づくりモニター」も受け付けています。