Q.Studioから漏えいした可能性のあるAPIキーを悪用されて高額請求が来たら、誰が負担しますか？補償はありますか？

Studioから補償や返金を受けられるのか。通常のプラン料金は、契約後のプランの返金に原則として応じない扱いです。ただ、このルールはふだんの契約や解約を前提にしたものです。今回の不正アクセスや、外部サービスで出た不正な請求にもそのまま当てはまるのかは示されていません。

また、今回のインシデントに関連した補償や損害への対応方針についても、個別の補償基準を公表している段階ではありません。公表されている範囲では、原因の調査結果や再発防止策について、確認が取れ次第お知らせのページで続報として案内する形にとどまっています。外部APIの利用に伴って生じた請求額をStudioがそのまま肩代わりしてくれると決まっているわけではない点に注意したいところです。続報を待てば補償の話が出ると見込んで、外部サービスへの連絡を後回しにするのは避けたいですね。

心当たりのない請求がすでに出ているなら、Studioにも状況を伝えておきましょう。Studioにログインできる場合は、画面左下か右下のヘルプアイコンからサポートセンターを開きます。「メッセージ」から「会話を始める」へ進み、「不正アクセスに関するお問い合わせ」を選ぶと送信できます。補償を申し込む専用の窓口ではありません。それでも、請求が出た日時、サービス名、金額を書き添えて送れば、あとで経緯を説明するときの記録になります。

Studioとの契約と、APIキーを発行した外部サービスとの契約は別のものです。不正な利用で料金が出たとき、請求書が届くのは外部サービスの契約アカウントです。Studioの利用料に上乗せされるわけではありません。外部サービスの規約は、アカウント上で起きた利用を契約者の責任とする書き方が基本です。AWSの利用契約では、AWS自身の契約違反が原因になった範囲を除き、アカウントで起きたすべての活動を顧客の責任としています。Google Cloudでも、侵害されたアカウントを止めた後に利用料金が請求されることがあります。

一方で、流出元となったStudioに対する責任追及はどうでしょうか。Studioの利用規約第24条2項を見ると、サービス利用に伴う損害について原則免責とされています。ただし、Studio側に故意や重大な過失が認められる例外的なケースでは、現実に発生した直接かつ通常の損害に限り、ユーザーが支払っている3か月分の月額利用料を上限に賠償する規定が置かれています。外部サービスの請求額がいくらになっても、規約の文面では上限はこの金額です。今回の件にこの条項がそのまま適用されるかは、個別に判断されます。

ただし、Google Cloudのように不正利用の申告を受けて個別に審査し、請求額の調整を検討する窓口を設けている事業者もありますね。減額が約束されているわけではありませんが、不正な通信に気付いた段階で速やかに連携先へ連絡することが大切です。microCMSでは、APIキーの作成・編集・削除は管理者権限を持つユーザーしかできません。制作会社に管理を任せている場合は、誰が管理者なのかを先に確かめておくと動きが止まりません。

そもそもStudioに登録した連携のうち、想定外の課金につながりやすいのはどのサービスでしょうか。今回の事案では、StudioのData Connect APIやAPI連携（Beta）に設定されたAPIキーやトークンについて、暗号化して保存されていた情報も復号用の鍵が読み出されたことで内容を知られた可能性が示されています。漏えいが確定したわけではありませんが、登録していたキーはすべて対象と考えて動くのが自然です。

請求に響きやすいのは、使った分だけ料金が増える従量課金のサービスです。APIの認証情報が外に出ると、アカウントが侵害され、予期しない請求につながることがあります。Google系のAPIのように、呼び出しや処理の量で料金が決まるサービスを連携していた人は、早めに利用状況を見てください。

身近な例がmicroCMSです。microCMSの料金表では、Teamプランに月200GBの転送量が含まれます。上限を超えた分は従量で加算されます。呼び出し回数ではなくデータ転送量に応じた課金体系のため、大量のデータを繰り返し取得されると金額が膨らむ恐れがありますね。

一方、Hobbyプランは仕組みが違います。microCMSのヘルプによると、月の転送量が20GBを超えた時点でAPIがすぐに止まり、超えた分が自動で追加請求されることはありません。請求額は増えにくい一方で、公開中のサイトでCMSの内容が表示されなくなります。Teamに切り替えるには利用者自身の操作が要るため、知らないうちに有料プランへ移る心配はありません。

そこで、連携先サービスの利用ログを見直し、心当たりのない通信が出ていないか確かめておきたいところですね。Studioは、各サービスの利用履歴などで2026年9月30日以降に心当たりのない利用がないか確かめ、見つかった場合はそのサービスの提供元とStudioの問い合わせ窓口へ知らせるよう案内しています。

たとえばmicroCMSを連携しているなら、読み取り用のGET権限だけを付けた新しいキーを作り、Studio側の設定を差し替えます。そのあとで古いキーを消せば、サイトを止めずに漏れた可能性のあるキーを使えなくできます。キーの交換は、次の順番で進めましょう。

1. 連携先のサービスで新しいキーを発行する
2. Studioの設定を新しいキーに更新する
3. 連携先で古いキーを失効させる（先に失効させると、サイトの連携が止まる場合があります）

この順番はStudioのお知らせが案内しているものです。後で触れるGoogle CloudのAPIキー管理の説明でも、同じキーを使うアプリケーションをすべて新しいキーへ切り替えたあとで、古いキーを削除するとしています。

ただし、microCMSのAPIキーの説明のとおり、作れるAPIキーの数はプランごとに違い、Hobbyプランは1個までです。新旧のキーを並べて置けないなら、差し替えの間はわずかに表示が止まる前提で作業時間を選びます。

あわせて、APIキー自体の権限を最小限に絞る設定も見直しましょう。Google CloudのAPIキー管理の手順にあるように、許可するAPIの種類や呼び出し元のウェブサイトを制限しておけば、仮にキーが知られても不正利用の被害を大幅に狭められます。ただ、読み取り専用にしても、読み出しが増えれば転送量の料金はかかります。

さらに、利用状況の監視とアラート通知の導入も有効です。Google Cloudなどでは予算アラートを設定できますが、通知を受け取るだけの機能では通信を自動的に遮断してくれません。上限で止める設定に対応しているかは、サービスごとに確かめてください。利用履歴に見覚えのない急なアクセス増が出ていたら、まず連携先の提供元へ問い合わせ、Studioにも前述のサポートセンターから状況を伝えましょう。

Studioの規約と法律とでは、賠償の上限の扱いが違います。規約の利用規約第24条2項は、Studioに故意か重大な過失がある場合に限り、実際に生じた直接かつ通常の損害を、月額利用料3か月分を上限に賠償すると定めています。利用規約の文面をそのまま適用する限り、仮に高額なAPI利用料や顧客対応費用が発生したとしても、賠償額はごく限られた範囲にとどまるのが通常です。

これに対して、利用者が個人や消費者である場合には消費者契約法第8条の規定が関係してきます。事業者に故意または重大な過失がある債務不履行において、損害賠償責任の一部を免除したり責任限度を事業者が勝手に決めたりする条項は無効とされる決まりです。この法律は、事業者と消費者の契約に向けたものです。会社や個人事業でStudioを使っている場合にそのまま当てはまるとは限らず、上限の条項が無効になるとも言い切れません。本気で賠償を求めるなら、どちらの立場で契約しているかを含めて、弁護士に見てもらう話になるでしょう。

相談するときに困らないよう、手元の記録はまとめておきます。法律相談では、請求書など相談内容に関わる書類と、経緯を書いたメモがあると話が進みやすくなります。外部サービスの請求書や利用履歴の画面に加えて、Studioからのメールも残してください。フォームを使っているプロジェクトのオーナーには、2026年10月16日に、対象のプロジェクト名を書いた個別のメールが届いています。

Studioは、不審な利用を見つけたら連携先の提供元とStudioの問い合わせ窓口へ知らせるよう案内しています。ただし、連絡の案内があることは、Studioが請求額を補償する、あるいは賠償責任を認めたという意味ではありません。