Webサイトをノーコードで作れるサービス「Studio」で、不正アクセスがありました。
Studio株式会社は10月16日、第三者の不正アクセスによって、Studioに登録しているすべての利用者の情報が外部に流出した可能性があると発表しました。アカウントの情報だけでなく、Studioで作ったサイトのフォームに送られた内容や、外部サービスと連携するためのAPIキーなども含まれます。Studioは利用者数90万人を超えるサービスで、Web制作の仕事をする人のあいだで話題になっています。何が起きて、何をすればいいのかをまとめました。この記事は2026年10月16日時点の情報です。
ざっくり言うと
- 第三者がStudioの一部機能の弱点(脆弱性)を悪用し、クラウド環境のデータを外から取り出せる状態にしていた。
- 実際に取られたかは確認できていないが、会社は「取得されたものとみなして」対応している。
- 流出の可能性があるのは、全登録者のユーザー名・メールアドレス・ハッシュ化されたパスワード、サイトのデータ、フォームの送信内容、APIキーなど。件数は続報で発表。
- 利用者はパスワードの変更とライブプレビューURLの削除を。
何があった?(時系列)
- 9月30日〜10月1日:第三者による不正アクセス(今わかっている期間)。
- 10月13日:社内の調査で不正アクセスを確認。
- 10月13日〜14日:脆弱性を直し、侵入の経路をふさいだ。それまで、データを外から取り出せる状態が続いていた。
- 10月16日:お知らせを公開。
今のところ、データの改ざんや削除は確認されていません。会社は個人情報保護委員会への報告を進め、外部の専門家の助言を受けながら再発防止に取り組むとしています。
流出した可能性がある情報
- Studioアカウントの情報:ユーザー名、メールアドレス、ハッシュ化されたパスワードなど。
- Studio上のデータ:デザインエディタやCMSの内容、フォームに送信された内容、reCAPTCHAの設定、Webhook通知のURL。
- ライブプレビューのURL(公開前のページを確認するためのもの)。
- 認証情報:API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー。
フォームの送信内容やAPIキーなどは暗号化していましたが、元に戻すための鍵も同じ不正アクセスで読み出されたため、中身を知られた可能性があるとしています。パスワードはハッシュ化(元の文字に戻しにくい形)して保存していて、平文ではありません。
また、2022年12月〜2023年8月に「Studio AI」(当初の名前は「Auto」)の先行利用に申し込んだ人は、Studioのアカウントがなくても、メールアドレスなどが流出した可能性があります。該当する人には個別に連絡するそうです。
なお、クレジットカード情報については、お知らせには記載がありません。
Studioの利用者がやること
- パスワードを変える:メールアドレスとパスワードでログインしている人。同じパスワードをほかのサービスでも使っているなら、そちらも変える。GoogleログインやFacebookログインだけの人は不要。
- ライブプレビューのURLを削除する:発行している場合。必要なら削除したあと新しく発行する。
- 便乗した詐欺メールに注意:Studioがメールや電話でパスワードを聞くことはない。お知らせのメールに、パスワードの入力を求めるリンクが入ることもない。
API連携、パスワード保護ページ、フォーム、カスタムプロキシ、Webhookを使っている人には、プロジェクトのオーナー宛てに個別のメールが届きます。キーやパスワードの切り替え、スプレッドシート連携の解除などをお願いしています。
Studioで作られたサイトのフォームに送信したことがある人は?
お知らせでは、Studioで作られたサイトのフォームから情報を送った人には、送信先のサイトの運営者から案内がある場合がある、と書かれています。問い合わせや応募などで、名前や連絡先をフォームに入れたことがある人は、そのサイトからの案内を確認しましょう。あわせて、身に覚えのない連絡や、個人情報を聞き出そうとするメールには注意してください。
問い合わせ先
- ログインできる人:Studioの画面のヘルプアイコンからサポートセンターを開き、「不正アクセスに関するお問い合わせ」を選ぶ。
- ログインできない人など:公式の「不正アクセスに関するお問い合わせ窓口」から(お知らせのページにリンクあり)。
- 受付は24時間、回答は平日10時〜18時。
まとめ
- ノーコードWeb制作サービス「Studio」が、不正アクセスで全登録者の情報が流出した可能性を発表した。
- アカウント情報のほか、フォームの送信内容やAPIキーなども対象。件数や二次被害の有無は続報で。
- 利用者はパスワードの変更とライブプレビューURLの削除を。便乗した詐欺メールにも注意。
コメント