Studioのクラウド環境への不正アクセス（全登録顧客の情報流出の可能性・件数調査中）
公表日
サイト制作サービス「Studio」を運営するStudio株式会社のクラウド環境に第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。し、登録しているすべての顧客の情報が流出した可能性があります。Studio全体の件数はまだ発表されていません。
対象者は？
Studioに登録しているすべての顧客が対象となる可能性があります。流出した可能性がある情報は、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、Studio上で管理するデータ（サイトの内容、フォーム送信内容など）、公開前ページ確認用のURL、各種設定に含まれる認証情報（外部サービスのAPIキーやパスワード保護ページのパスワードなど）です。2022年12月〜2023年8月にStudio AI（当初名称Auto）の先行利用に申し込んだ人のメールアドレス、ユーザー名、国も対象で、Studioのアカウントがない人も含まれます。パスワードは平文ではなくハッシュ化して保存されていました。データの改ざんや削除は確認されていません。Studioで作られたサイトを使う企業・団体が、フォームで取得した自社分の個人情報について漏えいの可能性を公表する動きも出ています（例：埼玉県のさいたま緑の森博物館分162件、Link-Uグループ分7,663件。いずれも各組織分の件数で、Studio全体の件数ではありません）。
Studioの公式のお知らせで、ご自身の利用状況に応じた対応を確認してください。API連携、パスワード保護ページ、フォーム、カスタムプロキシ、Webhook通知を使うプロジェクトのオーナーには、個別のメールで案内が届いています。フォーム機能を使う顧客向けには、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。についての案内も公開されています。Studioで作られたサイトのフォームから情報を送った方には、送信先サイトの運営者から案内がある場合があります。
いますぐできること
- Studioのパスワードを変更する。同じパスワードを他のサービスで使っている場合は、そちらも変更する。
- ライブプレビューのURLを削除して、必要なら再発行する。
- Studioを名乗るメールやメッセージには、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。の可能性があるため注意する。
- プロジェクトのオーナーは、届いた個別メールの案内に沿って、キーの切り替えやパスワードの変更、連携の解除を行う。
何が起きたのか
Studioが利用するクラウド環境に第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。し、Studioの一部機能の弱点を使って、環境内のデータを外部から取得できる状態にしていました。現時点で確認できている不正アクセスの期間は、2026年9月30日〜10月1日（日本時間）です。Studioは10月13日に社内の調査で不正アクセスを確認し、10月13日〜14日に弱点を修正して、取得できる状態を解消しました。10月16日に第一報を公開すると、同じ日にStudioで作ったサイトを使う企業・団体が、自社への影響を公表し始めました。10月17日には、フォーム機能を使う顧客向けに、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。についての案内が公開されました。実際にデータが取得された事実は確認されていませんが、Studioは取得されたものとみなして対応しています。
なぜ起きたのか・なぜ広がったのか
原因の詳しい調査結果はまだ発表されていません。公表されているのは、Studioの一部機能の弱点が使われたことと、暗号化して保存していた情報についても、復号に必要な鍵が同じ不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で読み出されたため、内容を知られた可能性があることです。Studioのサイトにはフォーム送信内容や外部サービスの鍵も預けられていたため、利用している企業・団体の情報にも影響が及ぶ可能性があります。
いまの状況2026-10-17 時点続報待ち
2026年10月17日時点で、Studio全体の対象件数、二次被害の有無、原因の調査結果と再発防止策は、まだ発表されていません。Studioは続報で知らせるとしています。決済やログインなどに使っていたStudio側の認証情報は新しいものに切り替え、そのほかの認証情報も順次無効化・変更を進めています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。をはじめ、関係機関への対応も進めています。
企業として考えたいこと
自社が使っているクラウドサービスに預けた外部サービスの鍵や、サイトのフォームで集めた個人情報が漏れたと連絡を受けたら、どれだけ早く鍵を差し替え、影響範囲を確認し、関係機関へ報告できるでしょうか。
技術的な要約
Studioが利用するクラウド環境に第三者が不正アクセスし、顧客情報が外部に流出した可能性があることが判明した。第三者はStudioの一部機能の脆弱性を悪用し、環境内のデータを外部から取得できる状態にしていた。現時点で確認できている不正アクセスの期間は2026年9月30日〜10月1日で、2026年10月13日に社内調査で確認し、10月13日〜14日に脆弱性を修正して取得できる状態を解消した。Studioに登録しているすべての顧客について、アカウント情報、Studio上で管理するデータ、各種認証情報などが流出した可能性があり、Studio全体の対象件数は続報で知らせるとしている。報道によるとStudioのユーザー数は90万人以上（2026年7月の発表時点）で、利用企業・団体の側からも、フォームで取得した自社分の個人情報について漏えいの可能性を公表する動きが出ている（これらはStudio全体の件数ではない）。実際に取得された事実は確認されていないが取得されたものとみなして対応しており、二次被害の有無は調査中である。2026年10月17日にはフォーム機能の利用顧客向けに個人情報保護委員会への報告に関する案内が公開された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認公式発表では「第三者がStudioの一部機能の脆弱性を悪用して弊社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていた」とされる。対象機能・脆弱性の詳細は非公表。分類は暫定で、公式の記述に最も近い選択肢として選んだ。
- 脆弱性
- CVE 非公表公表で確認Studioの一部機能CVE・対象機能とも非公表。2026年10月13日〜14日に脆弱性を修正し、利用された経路を塞いだ。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止に関する記載は公表になし。データの改ざんや削除は現時点で確認されていない。
- データ
- おそれ上限 —確定 —氏名メールハッシュ化PW業務データその他Studioに登録しているすべての顧客が対象となる可能性があり、Studio全体の件数は続報で公表予定（未公表）。報道によるユーザー数は90万人以上（2026年7月の発表時点）で、これは被害件数ではない。利用企業・団体が公表した自社分の件数（フォームで取得した個人情報など）は各組織の対象データの件数であり、Studio全体の被害件数や確定した流出件数ではないため、合算していない。流出の可能性がある情報：Studioアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、Studio上で管理するデータ（デザインエディタ・CMSの内容、フォーム送信内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL）、ライブプレビューのURL、各種設定に含まれる認証情報（外部サービスのAPIキー・トークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのプロキシキー）。暗号化保存していた一部情報も復号鍵が読み出されたため知られた可能性がある。2022年12月〜2023年8月にStudio AI（当初名称Auto）の先行利用に申し込んだ人のメールアドレス、ユーザー名、国（接続元IPから判定）も対象で、Studioアカウントを持たない人を含む。パスワードはハッシュ化保存で平文ではない。実際に取得された事実は確認されていない。
- 波及先
- —
- Studioで作成されたサイトのフォームから情報を送信した人には、送信先サイトの運営者から案内がある場合がある
- 二次被害（不正ログインや情報の悪用など）の有無は調査中
- 金銭影響
- —
- サプライチェーン
- Studioで作成されたサイトのフォーム送信内容や、顧客が登録した外部サービスのAPIキー・トークンなどが流出した可能性があり、顧客サイトの運営者や送信者に影響が及ぶ可能性がある。2026年10月16日には、Studioで作ったサイトを使う企業・団体から、フォームで取得した自社分の個人情報について漏えいの可能性や影響確認中であるとの開示が出始めた。これらの件数は各組織分であり、Studio全体の件数ではない。波及の全体像は調査中。
時系列
- 2022-12AI機能「Studio AI」（当初名称「Auto」）の先行利用申込の受付期間が始まる（〜2023年8月）。この申込者の情報も流出の可能性がある。1
- 2026-09-30第三者による不正アクセスが始まる（現時点で確認できている期間は2026年9月30日〜10月1日・日本時間）。1
- 2026-10-01現時点で確認できている不正アクセスの期間が終わる。1
- 2026-10-13社内の調査により不正アクセスを確認。1
- 2026-10-13脆弱性の修正と、不正アクセスに利用された経路を塞ぐ対応を開始（〜10月14日）。1
- 2026-10-14対応を完了し、環境内のデータを外部から取得できる状態を解消。この状態はこの日まで続いていた。1
- 2026-10-14実際に取得された事実は確認できていないが、取得されたものとみなして対応を進める。1
- 2026-10-16「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」を公開。全顧客にパスワード変更等を依頼し、該当機能の利用プロジェクトオーナーに個別メールで案内。1
- 2026-10-16個人情報保護委員会への報告をはじめ、関係機関への対応を進めていると公表。1
- 2026-10-16 10:11Studioが公式Xアカウントで第一報を告知。9
- 2026-10-16Studioで作ったサイトを使う企業から、自社への影響についての開示が出始める（ラクスルなど）。9
- 2026-10-16埼玉県が、さいたま緑の森博物館のイベント申込・問い合わせで取得した個人情報計162件が漏えいした可能性があると21時に発表。漏えいの有無と範囲は確認中で、不正利用は確認されていない。4
- 2026-10-16
- 2026-10-17Studioが第一報ページの冒頭に「本件に関する最新のご案内」を設け、フォーム機能を利用する顧客向けの「個人情報保護委員会へのご報告についてのご案内（第一報）」へのリンクを掲載。このご案内も同日に公開。1
技術解説
公表された攻撃の流れと確認された時期 事実
Studio株式会社が利用するクラウド環境に第三者が不正アクセスし、顧客情報が外部に流出した可能性があると公表された。第三者はStudioの一部機能の脆弱性を悪用し、環境内のデータを外部から取得できる状態にしていた。現時点で確認できている不正アクセスの期間は2026年9月30日〜10月1日（日本時間）である。Studioは10月13日に社内調査で不正アクセスを確認し、10月13日〜14日に脆弱性の修正と経路の遮断を行って、外部から取得できる状態を解消した。この状態は10月14日まで続いていた。第一報は10月16日に公開され、公式Xアカウントでも10時11分に告知された。日本経済新聞も同日、同じ内容を報じた。対象機能や脆弱性の詳細は非公表である。
流出した可能性のある情報の範囲 事実
Studioに登録しているすべての顧客について、情報が流出した可能性がある。対象は、Studioアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、Studio上で管理するデータ（デザインエディタ・CMSの内容、フォーム送信内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL）、ライブプレビューのURL、各種設定に含まれる認証情報（外部サービスのAPIキー・トークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのプロキシキー）である。2022年12月〜2023年8月にStudio AI（当初名称Auto）の先行利用に申し込んだ人のメールアドレス、ユーザー名、国も対象で、Studioアカウントを持たない人を含む。Studio全体の対象件数は未公表で、続報で知らせるとしている。
暗号化情報・パスワードの扱いと被害の確認状況 事実
暗号化して保存していた一部の情報についても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性がある。Studioのパスワードとパスワード保護ページのパスワードは、ハッシュ化して保存しており、平文ではない。実際に取得された事実は確認されていないが、Studioは取得されたものとみなして対応している。データの改ざんや削除は現時点で確認されていない。二次被害（不正ログインや情報の悪用など）の有無は調査中である。Studioで作成されたサイトのフォームから情報を送信した人には、送信先サイトの運営者から案内がある場合がある。
利用企業・団体への波及と件数の読み方 事実
2026年10月16日から、Studioで作ったサイトを使う組織が自社分の影響を公表し始めた。埼玉県は21時、さいたま緑の森博物館のイベント申込・問い合わせで取得した個人情報計162件が漏えいした可能性があると発表した。漏えいの有無と範囲は確認中で、不正利用は確認されていない。Link-Uグループ（証券コード4446）は、コーポレートサイトの問い合わせフォームで取得した個人情報7,663件が漏えいした可能性があると公表し、問い合わせページを非表示にした。同社は、影響は同社と連結子会社のコーポレートサイトに限られると説明している。ラクスルも開示が出た例として挙げられている。これらは各組織分の件数で、Studio全体の件数でも確定した流出件数でもない。報道によるStudioのユーザー数は90万人以上（2026年7月の発表時点）だが、被害件数ではない。
Studioの対応と公表内容 事実
Studioのシステムで使っていた決済やログインなどの認証情報は新しいものに切り替え、その他の認証情報も順次無効化・変更を進めている。全顧客にはStudioパスワードの変更、ライブプレビューURLの削除と再発行、フィッシングへの注意を依頼した。API連携、パスワード保護ページ、フォーム、カスタムプロキシ、Webhook通知を使うプロジェクトのオーナーには、個別メールで案内している。個人情報保護委員会への報告をはじめ関係機関への対応を進めている。10月17日には第一報ページの冒頭に「本件に関する最新のご案内」を設け、フォーム機能を利用する顧客向けの「個人情報保護委員会へのご報告についてのご案内（第一報）」へのリンクを掲載した。このご案内も同日に公開された。対象顧客の範囲と件数、二次被害の調査結果、原因と再発防止策は続報で知らせるとしている。
影響が連鎖しやすい構造（解釈） 解釈
ホスティング型のサイト制作基盤は、自社のアカウント情報だけでなく、顧客が連携した外部サービスの認証情報やフォーム送信内容まで保持している。そのため基盤側で情報が漏れる可能性が生じると、顧客のサイトや送信者へ影響が広がる余地がある。実際に、県や上場企業が自組織のフォームで取得した個人情報について、それぞれ影響を公表している。また復号鍵が同じ経路で読み出されたと説明されている点から、暗号化保存だけでは保護が十分でない場合があると読み取れる。ただしこれは公表内容からの読み取りであり、実際の波及の程度は調査結果を待つ必要がある。
公表の進め方に対する評価（解釈） 解釈
第一報は、確認から3日後に、対象情報の種類と顧客が取るべき行動を具体的に示している。認証情報の失効や再発行に直結する項目が並び、顧客が優先して動ける構成になっている。10月17日にはフォーム機能の利用顧客向けに、個人情報保護委員会への報告に関する案内も追加された。一方で、件数、対象機能や脆弱性の詳細、確認期間以外の侵入の有無は続報待ちである。調査中の段階でこれらが未確定であること自体は自然だと考えられる。今後は確認期間が変わるかどうかと、原因説明の具体化が評価の分かれ目になる。
対応
- 封じ込め
- 2026年10月13日〜14日に脆弱性を修正し、不正アクセスに利用された経路を塞いで外部から取得できる状態を解消した。Studioのシステムで使用していた決済やログインなどの認証情報は新しいものに切り替え、その他の認証情報も順次無効化・変更を進めている。全顧客にStudioパスワードの変更、ライブプレビューURLの削除と再発行、フィッシングへの注意を依頼。API連携・パスワード保護ページ・フォーム・カスタムプロキシ・Webhook通知を利用するプロジェクトオーナーには、キー切替・パスワード変更・連携解除などを個別メールで案内している。
- 公表の仕方
- 2026年10月16日に第一報を公開し、公式Xアカウントでも10時11分に告知した。10月17日には第一報ページの冒頭に「本件に関する最新のご案内」を設け、フォーム機能を利用する顧客向けの「個人情報保護委員会へのご報告についてのご案内（第一報）」へのリンクを掲載した。対象顧客の範囲と件数、二次被害の調査結果、原因の調査結果と再発防止策は続報で知らせるとしている。外部専門家の助言を得て再発防止に取り組む。
- 当局対応
- 個人情報保護委員会（報告を進めている）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| SaaSの基盤に預けた外部サービスの認証情報は、基盤側の事故で一度に漏れる可能性がある。 | 外部連携のAPIキー・トークンは最小権限で発行し、定期的にローテーションする。シークレットの一覧と再発行手順を台帳化し、数時間で全件を切り替えられるようにしておく。 |
| 暗号化保存でも、復号鍵が同じ環境から読み出せると保護にならない場合がある。 | KMSやHSMなどで鍵をデータと分離し、アプリケーションの実行権限から鍵の取り出しを不可にする。鍵へのアクセスは監査ログで監視し、アラートを設定する。 |
| 確認できている不正アクセスの期間（9月30日〜10月1日）と社内での確認日（10月13日）の間には約2週間の差があり、検知に時間がかかり得る。 | クラウドの監査ログやAPIアクセスログを長期保管し、データの大量取得や通常と異なる読み出しを検知するルールを実装する。重要データへのアクセスにはレート制限と異常検知を設ける。 |
| ハッシュ化保存のパスワードも、漏えい時に推測される可能性が残る。 | Argon2idやbcryptなど計算コストの高い方式を使い、ソルトを個別に付与する。侵害時に全利用者へ強制再設定させる運用手順と通知文面を事前に準備する。 |
| 知っていれば誰でも見られる公開前URLのような仕組みは、漏えい時の影響が大きい。 | プレビューURLに有効期限と失効機能を持たせ、推測困難なトークンに加えて認証を要求する。漏えい時に一括で無効化できる管理機能を用意する。 |
| 基盤の事故は、利用組織ごとの個人情報漏えい対応（当局報告・公表）を同時に発生させる。 | 外部サービス経由で取得した個人情報を台帳で把握し、委託先事故の通知を受けた際の影響範囲の確認、個人情報保護委員会への報告判断、問い合わせフォームの一時停止の手順を事前に決めておく。 |
自組織などでの確認項目
- 自組織が利用しているSaaSやサイト制作基盤に登録した外部サービスのAPIキー・トークンを一覧にできるか。事故の通知を受けてから何時間で全件を再発行できるか。
- 自組織のサイトのフォーム送信内容や公開前ページのURLが、委託先や制作基盤に保存されていないか。保存されている場合、漏えいの連絡を受けたときの対応手順（件数の把握、当局への報告、フォーム停止の判断）は決まっているか。
- 自組織の暗号化保存データについて、復号鍵はデータと別の場所に分離され、アプリケーションの権限で読み出せない設計になっているか。
- 自組織の環境で、ログの保存期間は数週間さかのぼって調査できる長さか。大量のデータ取得を検知する仕組みはあるか。
未解明点
- Studio全体の対象となる顧客の範囲と件数はどれだけか（続報で公表予定）。
- 悪用された「一部機能」と脆弱性の具体的な内容、および原因の調査結果は何か。
- 現時点で確認できている期間（2026年9月30日〜10月1日）以外に不正アクセスはなかったのか。
- 二次被害（不正ログインや情報の悪用など）は発生したのか。また実際にデータが取得された事実は確認されるのか。
- 再発防止策として何が実施されるのか。
- 個人情報保護委員会への報告の内容と、当局による対応はどうなるのか。
出典
- 1Studio株式会社2026-10-16公式本文確認済
- 2日本経済新聞2026-10-16報道本文確認済
- 3ITmedia NEWS（Yahoo!ニュース配信）2026-10-16報道本文確認済
- 4埼玉県2026-10-16公式本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-16報道本文確認済
- 6セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-16報道本文確認済
- 7SmartScope2026-10-16報道本文確認済
- 8SmartScope2026-10-16報道本文確認済
- 9AI Heartland2026-10-16報道本文確認済