Q.Studioの漏えいについて、法人の取引先やクライアントへはどう連絡すればよいですか？

取引先への連絡には、発生した事案の概要、対象となり得る情報の項目、判明している原因、二次被害への注意喚起、今後の対応予定などを盛り込むのが一つの目安です。法人あての連絡に決まった書式はありません。個人への通知でも、様式は法令で決められていません。

起きたことは、Studioの公表に合わせて書きます。Studioは2026年10月16日に第一報を公表しました。Studioの特設ページによると、現時点で確認されている第三者の不正アクセスの期間は2026年9月30日～10月1日（日本時間）です。一部機能の脆弱性が悪用され、外部からデータを取得できる状態は、Studioが対処した10月14日まで続いていました。実際に取得された事実は見つかっていませんが、Studioは取得されたものとみなして対応しています。「流出した」と言い切らずにこの表現をそのまま使えば、あとで訂正する手間が省けますね。

対象になりうる情報は、自社のフォームで集めていた項目から書き出します。Studioのフォーム機能を利用していた場合は、Studio内に保存されていた回答内容が対象です。「フォームの結果をStudioに保存」を無効にしていた間に送信された回答と、2026年9月30日より前に完全に削除した回答は含まれません。添付ファイルは、ファイル名だけが対象です。

Studioアカウントでパスワードを設定している場合は変更を促し、外部サービスのAPIキーを登録していたなら、自社側で再発行と古いキーの失効を済ませた旨もあわせて記載します。GoogleやFacebookのログインだけを使い、Studioのパスワードを設定していなければ、パスワードの変更はいりません。

未確定のことも伏せずに書きます。機能ごとの対象件数は精査中で、原因の調査結果と再発防止策がまとまる時期も決まっていません（Studioの不正アクセス特設ページ）。Studioを装うフィッシングへの注意と、Studioがメールや電話でパスワードを尋ねないことも書き添えます。全部がわかるまで連絡を止める必要はなく、状況に応じて速やかに出すのが基本です。

もうひとつ、委託関係がある場合は、委託先が把握した事実を委託元へ速やかに通知することで、委託先自身の報告義務が免除される扱いがあります。通知の期限の目安は、個人情報保護委員会の案内で確かめてください。

「預かっているクライアントのサイトも対象なのか」と、制作会社では真っ先に気になるところでしょう。Studioの公表では登録顧客全体の情報が流出した可能性が示されており、制作会社が管理しているクライアントのサイトも影響の対象に入り得ます。ただし、どのサイトでも流出が確認されたという意味ではありません。

流出の可能性がある情報は、使っている機能によって変わります。サイトごとに次の項目を見比べてください。

• デザインとCMSの内容
• フォームの回答（ゴミ箱内、テスト送信、閲覧上限を超えた分も含む）
• ライブプレビューのURL
• 外部サービスのAPIキーやトークン
• パスワード保護ページのパスワード
• Googleスプレッドシート連携の認証情報
• カスタムプロキシ機能のプロキシキー

なお、保存を無効にしていた期間の回答や、2026年9月30日より前に完全削除したデータは対象外です。

パスワードはハッシュ化して保存されていたので、平文のまま漏れたわけではありません。それでも元の値を割り出される可能性は残るため、変更が求められています。

一方、外部連携のAPIキーやトークンはStudio側では無効にできないため、利用者側での再発行と古いキーの失効が必要です。手順は先に挙げた特設ページで確かめてください。Studio側の対処が終わっても、クライアントのサイトの対応までは終わっていないわけです。クライアントが契約している外部サービスなら、キーの切り替えと失効を誰がやるかを先に決めておきます。

ちなみに、FoundingBaseの公表事例のように、自社サイトで被害の報告を受けていない段階からフォーム利用者へ個別案内を進める方針を公表した企業もあります。

プロジェクトの所有権は制作会社とクライアントのどちらにあるのでしょうか。どちらとも決まっていません。Studioの仕様上、所有権という法的な概念そのものではなく、プロジェクト全体を管理するオーナーという権限ロールで管理されています。オーナーは1つのプロジェクトに複数人を指定でき、人数の上限も設けられていません。制作会社とクライアントの両方がオーナーになっていることも珍しくないので、二者択一で考えないほうがよいでしょう。

公式ストアのテンプレートを用いて制作した場合、購入操作を行ったアカウントが初期オーナーに設定されます。制作会社がStudio.Storeでテンプレートを買えば制作会社が、クライアントが買えばクライアントがオーナーのプロジェクトができます。クライアントがテンプレートを購入してオーナーとなり、月額の有料プラン契約だけを制作会社のアカウントで支払う運用も可能です。請求先だけを見てオーナーを決めつけないでください。

現在の権限状況を確かめるには、プロジェクトのダッシュボードにある「ホーム」から「メンバー」画面を開きます。ワークスペースに入っているプロジェクトでは、ワークスペースの参加者リストが開きます（メンバーとロールの確認手順）。

今回の事故に関する機能別の案内メールは、各プロジェクトのオーナー宛てに送付されました。オーナーが1人も設定されていない場合に限り、一般メンバー宛てに届く仕組みです。フォームを利用しているプロジェクトへの連絡は2026年10月16日に発信されました。クライアントだけがオーナーなら、制作会社にはメールが来ていないかもしれませんね。

メールが見つからないときは、迷惑メールのフォルダを開いてみてください。それでもなければ、Studioの不正アクセスに関する問い合わせ窓口に連絡します。メールが届いていないことだけで、対象外とは言えません。

今回の事故の原因はStudio側にあると公表されていますが、それだけで制作会社の責任がないとは言い切れません。Studioは、第三者が一部機能の脆弱性を悪用して不正にアクセスしたと説明しています。制作会社の設定ミスが原因だという話は出ていません。

責任を考えるときは、契約でどんな義務を負っていたか、その義務に違反したか、損害との因果関係があるかを順に見ます。考え方の筋道はサイバー事故の法的責任解説でも触れられています。サイトの管理を請け負っている場合は、契約書の通知義務、調査への協力の範囲、損害賠償の条項を読み返してください。

さらに、個人情報保護法では、契約の名称にかかわらず個人データの取扱いを任されている事業者は委託先と位置づけられます。委託先は把握した事実を委託元へ速やかに通知すれば、個人情報保護委員会への直接の報告義務や本人通知義務は免除されます。ただし、この免除は報告の手続きの話で、損害賠償の責任まで消えるわけではありません。通知したあとも、事態を把握してクライアントの報告に協力することが求められます。具体的な責任の有無は個別の事情で変わるため、契約や損害が絡む場合は弁護士に相談してください。

他社は今回の事案をどのように公表しているのでしょうか。ラクスル、SmartHR、Luupの3社は、流出の可能性がある情報の範囲、件数または人数、情報の項目を示しています。ラクスルの2026年10月16日のお知らせでは、流出した可能性のある対象を2024年6月3日〜2026年10月15日に送信されたフォーム送信情報6,412件とし、フォーム送信情報の件数なので対象となる個人の人数とは一致しない場合があると添えています（ラクスルのお知らせ）。Luupの件数は、後のLUUPの見出しで扱います。

利用者をいたずらに不安がらせない工夫として、各社とも対象となったWebフォームと、無関係な自社サービスのシステムとを明確に切り分けて案内しています。受け取った側がまず心配するのは「普段使っているサービスのデータも漏れたのか」なので、この線引きを最初に示すと読む人は安心しやすいはずです。

加えて、ラクスルとSmartHRは、経緯、流出した可能性のある情報、会社の対応、利用者への注意、問い合わせ先を見出しで分けて載せています。

今後の連絡の仕方にも違いがあります。個別連絡についても、ラクスルは対象者への案内を順次進めると告知し、SmartHRは新たな事実が判明した際にWebサイト等で知らせる方針を打ち出しました。

ところで、Studioの件で影響の可能性や調査中であることを公表した組織は、この3社のほかにもあります。操電は2026年10月21日のお知らせで、問い合わせフォームから送信された情報が流出した可能性があるとし、対象者へメールで順次連絡すること、Studioが取りまとめる個人情報保護委員会への連名報告に加わることを示しました。enechainは10月20日のお知らせで対象の件数を挙げ、本件に便乗してenechainグループやStudioを名乗る不審なメールや電話に注意するよう呼びかけています。いずれも漏えいが確定したという公表ではなく、影響の可能性や調査の状況を知らせるものです。