最終更新：10 月 23 日 11:45（日本時間）
続報（第二報）が出たら追記します。
すぐ見る：サイト運営者がやること ／ フォームを送った人へ ／ 経緯
要点
Studio への不正アクセス（2026 年 10 月）
- ノーコードでホームページを作れる Studio のクラウド環境に、一部の機能の弱点を悪用した不正アクセスがあった。確認できている期間は 2026 年 9 月 30 日〜10 月 1 日で、10 月 14 日に対処した
- Studio に登録しているすべての利用者について、アカウント情報、フォームに送られた内容、外部サービスの API キー、パスワード保護ページのパスワードなどが流出した可能性がある。件数は続報で公表するとしている
- サイト運営者は、パスワードの変更、API キーなどの切り替え、フォームで受けた個人情報の扱い（報告と通知）を進める
この記事では、Studio の第一報・案内・よくある質問と、個人情報保護委員会の説明、Studio を使っていた自治体・企業の公表だけをもとに、何が起きたのか、Studio でサイトを運営している事業者と、そのサイトのフォームから問い合わせた人が何をすればよいかを整理します。
何が起きたか
第一報で分かったことです。Studio によると、第三者が Studio の一部の機能の弱点（脆弱性）を悪用して同社のクラウド環境に入り、環境内のデータを外から取り出せる状態にしていました。この状態は 10 月 14 日に同社が対処するまで続いていました。実際に取り出された事実は確認できていないものの、取り出されたものとみなして対応しているとしています。
| 種類 | 内容 |
|---|---|
| アカウント | ユーザー名・メールアドレス・ハッシュ化されたパスワードなど |
| サイトのデータ | デザインエディタ・CMS の内容、フォームに送られた内容、reCAPTCHA の設定、Webhook の通知先 URL、公開前のページを見るライブプレビューの URL |
| 認証情報 | 外部サービスの API キーやトークン、パスワード保護ページのパスワード、Google スプレッドシート連携の認証情報、カスタムプロキシのプロキシキー |
暗号化して保存していたものも、復号に使う鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があります。フォームの回答は、Studio に保存されていたもの（ゴミ箱の回答、テスト送信、プランの上限で表示できなかった回答を含む）が対象で、保存しない設定にしていた間の回答や、9 月 30 日より前に完全に削除した回答は含まれません。添付ファイルは名前だけが対象です。Google フォームなど外部のフォームを埋め込んでいた場合、その回答は Studio を通っていません。
取られた認証情報にはデータを書き換えられる権限も含まれていましたが、Studio は、利用者のデータを書き換えたり削除したりした記録はないことを確認したとしています。
経緯
| 日付 | できごと |
|---|---|
| 10 月 22 日 | ホームページの運営の一部に Studio を使っていたデジタル庁が、2021 年 5 月〜2023 年 3 月に問い合わせフォームへ入力された内容（一般の意見・要望は最大 8,833 件）などが漏えいした可能性があると発表 |
| 10 月 21〜22 日 | 別件。PHP の重大な脆弱性への予防措置として緊急メンテナンス（21 日 22:26〜22 日 4:05）。この間、公開サイトのフォームは送信できなかった |
| 10 月 20 日 | 個人情報保護委員会と協議し、フォームの回答の漏えいの報告を、運営者が個別に出すか、Studio との連名で出すかを選べるようになったと案内 |
| 10 月 18 日 | よくある質問をまとめた案内ページを公開 |
| 10 月 17 日 | フォームを使っている利用者に、個人情報保護委員会への報告をいったん保留するよう案内 |
| 10 月 16 日 | 第一報を公表し、機能ごとに利用者へ個別のメールを送る。Studio を使っていた自治体・企業も、相次いで公表 |
| 10 月 13〜14 日 | 社内の調査で不正アクセスを確認し、弱点を修正して経路を塞ぐ。14 日 2:30 ごろ、ログインしていた全員を一度ログアウトさせた |
| 9 月 30 日〜10 月 1 日 | 第三者による不正アクセス（現時点で確認できている期間） |
10 月 23 日の時点で、対象の件数・原因の詳しい内容・再発防止策を含む第二報は、まだ出ていません。
Studio でサイトを運営している事業者がやること
Studio の案内とよくある質問をもとに、使っている機能ごとに整理します。まず、件名が「【重要】不正アクセスに伴う、」で始まる Studio からの個別のメールを確かめてください。
- Studio のパスワードを変える。同じパスワードをほかのサービスで使っていれば、そちらも変える（Google・Facebook のログインだけを使っていれば不要）
- ライブプレビューの URL を消し、必要なら発行し直す
- 外部サービスの API キーやトークンは、新しいキーを発行 → Studio 側を更新 → 古いキーを失効、の順で切り替える（先に失効させると連携が止まる）。9 月 30 日以降に心当たりのない利用がないかも確かめる
- パスワード保護ページのパスワードを変え、見てもらう人に新しいパスワードを伝える
- Google スプレッドシート連携は、連携を解除し、Google 側でアクセス権を消してから、連携し直す。9 月 30 日〜10 月 14 日に心当たりのない編集がないか、変更履歴で確かめる
- Webhook の通知先 URL とプロキシキーを切り替える
フォームで個人情報を受けていた場合
Studio は、フォームで受けた個人情報の扱いの主体はサイト運営者で、Studio は委託先にあたると説明しています。個人情報保護委員会によると、委託している場合、報告の対象になる漏えいでは原則として委託元と委託先の両方に報告と本人への通知の義務があり、不正アクセスによるものは人数の下限がありません。今回、委員会への報告は、運営者が個別に出すか、Studio との連名で出すかを選べ、連名なら本件に限って速報の期限を過ぎても遅延として扱わないとされています。ただし、連名報告は委員会への報告だけで、フォームを送った人への通知は含みません。Studio は、お知らせに使えるひな形も用意しています。
Studio を使っていた自治体の中には、使っていないフォームと保存データを消したところや、問い合わせを影響のあったフォームで受けないようにしたところもあります。
Studio で作られたサイトのフォームから問い合わせた人へ
- 便乗した連絡に注意する 問い合わせ先の会社や Studio を装って、追加の個人情報や支払いを求める連絡には応じないでください。
- 自分の送った内容は、そのサイトの運営者に問い合わせる Studio は、フォームから情報を送った人には、送り先のサイトの運営者から案内がある場合があるとしています。
ほかのサービスを使っている会社も見直すこと
Web 制作サービスやフォームのサービスに預けたデータは、自社のサーバーに置いていなくても、事故のときの説明は自社に求められます（この記事での整理）。
- フォームの回答をサービスの中に溜めっぱなしにしない メールで受け取ったら消す、保存しない設定にするなど、必要のない回答を残さない。デジタル庁の発表では、2021〜2023 年に受けた回答も漏えいの可能性の対象になっていました。
- 連携しているキーとアカウントを一覧にする どのサービスにどのキーを登録しているかを控えておくと、事故のときに切り替える順番を決めやすい。
- 使っているサービスのお知らせを見られるようにする 自治体の中には、報道で先に知り、サービスからのメールの確認が遅れたところもありました。重要なお知らせが届くメールアドレスを、担当者が見ているものにしておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、キーやパスワードの切り替えを含めた安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
