インシデント概要更新日
#Studioの漏えいでお客様に関係する情報は何ですか？
自社サイトのお客様の情報が、どこまで漏れたのか。それが分からないままでは、連絡文を書き始められませんよね。お客様に関係するのは、主にStudioのフォームに保存されていた回答です。問い合わせや資料請求のフォームで入力された氏名、会社名、メールアドレス、電話番号、問い合わせ内容などが当てはまります。
対象は、画面で見えていた回答だけではありません。ゴミ箱に移しただけで「完全に削除」していない回答、ライブプレビューで試しに送ったテスト回答、プランの上限で表示されなかった回答も含まれます。一方で、すべての回答が対象というわけではありません。回答の保存設定を最初から無効にしていた期間に送信されたものや、2026年9月30日より前に完全に削除していたデータは対象から外れます。ただし、途中で保存設定を無効へ変更した場合であっても、変更前に保存されていた既存のデータは保護されず対象に含まれる点に注意が必要です。
外部ツールのGoogleフォームなどをサイトに組み込んで運用していた場合、送信データはStudioを経由しないため今回の流出可能性の対象には含まれません。ただし、Studioの編集画面に貼り付けていた埋め込みコード自体は対象に含まれます。また、フォームに添付ファイルを受け取る設定にしていた場合、流出の可能性があるのはファイル名だけであり、ファイルの中身そのものは含まれません。
該当するプロジェクトは、Studioから届いた個別メールに書かれています（Studioの不正アクセス案内）。メールが見つからない場合や、対象か判断がつかない場合は、Studioの専用窓口へ問い合わせます。メールにあるプロジェクトと、自社のフォームで実際に集めていた項目を照らし合わせれば、お客様に伝える項目がはっきりします。
#お客様への通知文には何を書けばよいですか？
通知文を作成するにあたって、法令上どのような項目を盛り込む必要があるのでしょうか。本人に伝える事項は、個人情報保護法のガイドライン（通則編）で決まっています。事案の概要、漏えいした（またはそのおそれがある）個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考になる事項です。
まず事案の概要と経緯として、不正アクセスが確認された期間が2026年9月30日から10月1日であること、外部からデータを取得できる状態が10月14日の対処完了まで続いていた事実を記載します。第三者によって実際にデータが取得された事実までは確認されていないものの、取得されたものとみなして調査や対応を進めているという経緯もあわせて伝えます。そのため通知文でも「漏えいしました」とは言い切らず、「流出した可能性があります」と書くほうが事実に合いますね。原因については、一部機能の脆弱性を突いた不正アクセスを受けた点や、二次被害の有無が調査中である事実を説明するのが適切です。
項目は、自社で集めていたものだけを書きます。UPSIDERの公表例では、氏名、メールアドレス、電話番号、住所、問い合わせ本文、添付ファイル名を挙げ、添付ファイルの中身は対象外だと明記していました。入力した項目がお客様ごとに違うなら、その人に関係する内容だけを伝える形でもかまいません。
ほかに、自社がとった対応、自社やStudioを装った不審なメールへの注意、自社の問い合わせ窓口も載せます。全部の項目がそろうまで待つ必要はなく、状況に応じて速やかに送るよう求められています。読んだお客様が「怪しいメールは開かず、困ったらここに連絡すればいい」とすぐ分かる文面にしたいですね。
#Studioが提供している公表文のひな形はどう使えばよいですか？
Studioは、不正アクセスの案内ページから、自社サイトのお知らせに使えるリリース用の雛形を案内しています。対象の情報や自社の対応状況に合わせて書き直して使うもので、公表とは別に本人への通知が必要になる場合があります。
書き方の参考になるのが、各組織の公表例です。デジタル庁の公表は、対象になり得る問い合わせフォームを用途ごとに分け、それぞれの情報の項目と最大件数を並べていました。MCATのお詫びとご報告は、コワーキングスペースの会員登録フォームと入力項目、自社の対応を書いたうえで、問い合わせ先として自社のメールアドレスと電話番号を載せています。自社の業務実態に合わせて連絡先や受付時間を補足すると親切です。
気をつけたいのは、サイトに載せるお知らせと、本人への通知が別物だという点です。Studioが用意している連名報告は、個人情報保護委員会への報告だけを対象にしていて、サイト利用者本人への通知は含まれません。本人への通知は、漏えい等報告・本人通知の案内にあるように、文書の郵送や電子メールで行います。連絡先を把握していないなどの事情で個別通知が困難なケースでは、Webサイトでの公表といった代替措置を取る判断もありますね。
通知が必要か、何をどう伝えるかは、法令やガイドラインと自社のフォームの使い方をもとに、サイト運営者が判断します。迷う場合は、弁護士などの専門家に相談したほうが早いでしょう。
#暗号化していたのに中身を知られた可能性があるのはなぜですか？
通常、データベース上のデータを暗号化していれば、万が一ファイルが持ち出されても中身の解読は困難なはずですが、今回の事象ではその安全策が機能しませんでした。フォームから送信された内容などを暗号化して保管していたものの、暗号を元に戻すために必要な「復号鍵」が同じ不正アクセスによって読み出されてしまったためです。
ちなみに、報告義務に関する公式FAQによれば、法令上の報告義務が免除される「高度な暗号化等の措置」と認められるには、第三者が解読できない技術的措置を講じているだけでなく、元の状態に戻す手段が適切に管理されている必要があります。復号鍵が同時に奪われた状態では、この基準を満たすことができません。
もうひとつ誤解しやすいのが、その後の鍵の切り替えです。Studioは鍵や認証情報を切り替えていますが、不正アクセスの時点で取得された可能性のある情報までは守れません。通知文で「現在は鍵を変更したので安全です」とだけ書くと、過去の情報の心配がなくなったように読めてしまいます。
暗号化されていたからといって中身が安全だったとは言い切れない状況です。だから、心当たりのない不審な連絡が届いた場合は、安易にリンクや添付ファイルを開かず、IDやパスワードなどの認証情報を入力しないよう呼びかけておく姿勢が大切ですね。
#Studioから移管すれば、漏えいした可能性のある情報は取り戻せますか？
「いっそWordPressなどに移せば、この件は片づくのでは」という相談は出てきそうです。ただ、移管しても、すでに取り出された可能性のある情報は戻ってきません。
2026年9月30日から10月1日に発生した不正アクセスにより、10月14日に対処が完了するまでの間、データを外部から取得できる状態が続いていました。この期間に持ち出された恐れのあるデータは、自社がどれほど急いで移管を進めたとしても回収できません。期間中に送られた回答だけが対象というわけではなく、それ以前から保存されていた回答も含まれます。
お客様への連絡も、移管とは切り離して進めます。報告の対象になる事態を知ったら、状況に応じて速やかに本人へ通知することになっていて、移管が終わるまで待つ根拠はありません。
今後のサイト運用においてサーバー上へ個人データを残したくない場合は、Studioヘルプのフォーム設定にあるように、フォームの回答をデータベースへ保存せずメール通知のみで受け取る設定を選ぶ手段もあります。ただし、この設定にすると画像やPDFなどの添付ファイルを受け取れなくなる点には注意が必要です。あわせて、IPAも、二次被害を踏まえて、持っている情報を把握して必要最小限にすることや、保管場所を見直すことを呼びかけています。移管するかどうかより、フォームで集める項目を減らすほうが、次の被害を小さくする近道かもしれません。
こんな聞き方も
- studio 漏洩
- Studioの漏えいについてお客様へどう連絡すればよいですか？
- Studioの情報漏えいではどんな情報が漏れたのですか？
- Studioの漏えいは自分のサイトにどんな影響がありますか？
- Studioの漏えいについて自社で出す公表文のひな形はありますか？
- Studioが提供している公表文のひな形はどう使えばよいですか？
- Studioの件で顧客へ出すお詫び文の文例はありますか？
- 本人へ通知する時はどの漏えい項目を書けばよいですか？
- 暗号化していたのにStudioのデータの中身を知られた可能性があるのはなぜですか？
- Studio AI（旧称Auto）の先行申込者の情報も漏えいしたのですか？
- Freeプランでも漏えいの影響を受けますか？
- Studioにアップした画像も不正アクセスの漏えい対象ですか？
- Studioから移管しても、すでに漏えいした可能性のある情報は取り戻せないのですか？
- 飲食店のStudioサイトにはどんな影響がありますか？
- 士業事務所のStudioサイトにはどんな影響がありますか？
- 漏えいについてお客様からクレームが来たらどう対応しますか？
- スタジオの漏洩は自分にも関係がありますか？
あわせて知りたい（関連する疑問）
QFreeプランでも漏えいの影響を受けますか？
料金を支払っていないFreeプランで運用しているサイトなら、今回の事態とは無関係でいられるのでしょうか。無料プランであっても影響を受ける可能性があります。公表された内容では、登録しているすべての顧客が流出の可能性のある対象とされており、有料プランと無料プランを区別して除外する規定はありません。無料で使っていたサイトでも、フォームを置いていれば同じように確認が必要です。
Freeプランで気づきにくいのが、画面に出ていなかった回答です。Freeプランのフォーム回答の閲覧上限は100件ですが、上限を超えた回答もStudioには保存されています。保存の上限は、1プロジェクトにつき1日5,000件です。今回の対象には、プランの上限のためにダッシュボードで表示できなかった回答も含まれます。管理画面で100件しか見えていなくても、実際にはそれ以上の回答が対象になっていることがあります。
ただし、回答の保存設定を無効にしていた期間の送信分や、2026年9月30日より前に完全に削除していたデータは対象外です。保存を途中で止めた場合も、それまでの回答は残っています。Google連携を使っていたなら、その認証情報は別に確認しましょう。
自分のプロジェクトが該当するかは、プロジェクトのオーナー宛ての個別メールか、Studioにログインしたときのバナーやポップアップで分かります。不正アクセスによる個人データの漏えいでは、実際に持ち出された事実だけでなく、そのおそれがある事態も報告の対象になりますから、無料だからと見過ごさずに確認を進めたいですね。
QStudio AI（旧称Auto）の先行申込者の情報も対象ですか？
たとえば数年前に新機能の告知を見て、気軽な気持ちで先行登録フォームにメールアドレスを入力した記憶がある方もいるかもしれません。Studioの不正アクセス案内では、2022年12月から2023年8月にかけてAIによるサイト作成機能であるStudio AI（当時の名称はAuto）の先行利用に申し込んだ人の情報も、外部に流出した可能性のある対象として挙げられています。
対象となる情報は、申し込み時に入力したメールアドレスやユーザー名、そして接続元のIPアドレスから判定された居住国の情報です。対象として挙げられているのはIPアドレスから判定した国の情報で、IPアドレスそのものは対象の一覧に入っていません。
この先行申込者には、Studioのアカウントを持っていない人も含まれます。該当する人には、Studioが個別に連絡します。サイト運営者が自社のお客様へ出す連絡とは別の話で、通知するのはStudio自身です。自社のスタッフが当時申し込んでいたなら、そのスタッフあてにStudioから連絡が届くことになります。
申し込みの際、パスワードや支払いの情報は預かっていないため、この申し込みに関してパスワードを変える必要はありません。ただし、これは先行申込についての案内です。ふだん使っているStudioアカウントの対応まで不要という意味ではないので、アカウントへの案内は別に確認します。
ただし、流出した可能性のあるメールアドレスを悪用して、サービス関係者を装った不審な連絡が送られてくる危険は否定できません。身に覚えのない不審な連絡には警戒を怠らないようにしたいですね。先行申し込みに関して不明な点がある場合は、公式の不正アクセスに関するお問い合わせ窓口から問い合わせが可能です。
QStudioにアップした画像も漏えい対象ですか？
文字として入力されたテキスト情報と、編集画面にアップロードした画像ファイルとでは、公表されている対象範囲の扱いが異なります。デザインエディタやCMSに登録されたデータ全般は外部に流出した可能性がある情報として挙げられていますが、画像ファイル本体がすべて流出したと確定しているわけではありません。「サイトの画像が全部漏れた」と言い切れる材料はなく、かといって無関係とも言い切れない、という状態です。
一方、フォームの添付ファイルは、扱いがはっきりしています。お客様がフォームに添付したファイルは、ファイル名だけが対象で、中身は含まれません。たとえば「〇〇様_見積依頼書.pdf」のようにファイル名に名前が入っていれば、その名前は対象になり得ます。編集画面でアップした画像と、フォームの添付ファイルは別のものとして考えましょう。
お客様への通知では、相手に関係する項目だけを伝えれば足ります。ガイドラインでも、本人ごとに対象の項目が違うなら、その本人に関係する内容だけを通知する例が示されています。画像を使っただけで通知が必要になるわけではありません。気にしたいのは、お客様の写真や名前が入った画像をCMSに載せていた場合で、そのときは掲載していた内容を洗い出して判断します。
Q飲食店や士業事務所のサイトにはどんな影響がありますか？
「予約を受けるだけの小さな店のサイトでも、関係あるのか」と迷う人もいるでしょう。Studioのフォームで予約や相談を受けていたなら、関係します。保存されていたフォームの送信内容は流出した可能性があり、氏名や電話番号、問い合わせ内容も対象になり得ます。
特に士業事務所や医療関連の相談では、フォームの自由記述欄に病歴や健康状態、親族間の事情などが書かれていることもあります。病歴のような要配慮個人情報が含まれている場合、漏えいまたはそのおそれがある事態として厳格な報告対象に位置づけられます。
不正アクセスによる漏えいのおそれは対象人数の下限が定められておらず、たとえ対象となるお客様が1人だけであっても通知が必要となる場合があります。小規模な店舗や個人事務所だからといって報告義務が免除される仕組みではありません。
判断するときは、フォームの名前ではなく、実際に届いた回答を見ます。Studioも、事業でフォームを使っていたか、自由記述欄も含めて氏名や連絡先など個人を特定できる情報があるか、個別メールにある対象プロジェクトで何を集めていたかを確認するよう案内しています。「予約フォーム」でも、備考欄に体調のことを書くお客様がいるかもしれません。
また、Studioがまとめて出す連名報告は、個人情報保護委員会への報告だけを含みます。お客様本人への連絡は含まれないため、店や事務所が自分で行います。
QStudioの漏えい件数の全体はもう公表されましたか？
世間を騒がせている今回の事態ですが、サービス全体で何件の情報が影響を受けたのか、確定した数字はもう出ているのでしょうか。Studio全体の対象件数は、第一報で「精査のうえ続報でお知らせする」と案内され、その後の事案ページでも精査中とされていて、確定した全体件数は公表されていません。
ニュースなどで見かける「最大8,833件」は、デジタル庁が自分のサイトについて公表した数字です。対象は、同庁の一般的な意見・要望フォームで、期間は2021年5月から2023年3月まで。Studio全体の件数ではなく、しかも最大値なので、確定した漏えい人数でもありません。
自社に関する影響を確かめるには、全体の発表を待つのではなく、2026年10月16日に届いた個別メールを確認します。管理しているどのプロジェクトが該当しているかが記載されているため、自社の記録と突き合わせる作業が先決です。メールが見当たらない場合や判断に迷う際は、専用窓口へ確認を入れます。
漏えいのおそれを把握した際は速やかな初動が求められます。全体の確定件数が出るのを待って対応を先送りにしてしまわないよう気をつけたいですね。
Q漏えいした本人から損害賠償を請求されることはありますか？
参考になるのが、ベネッセの個人情報漏えいをめぐる裁判です。1人あたり数千円の賠償を認めた判決例はありますが、これが相場だと決まっているわけではありません。
個人情報の漏えいによって権利を侵害された本人からは、損害賠償などの民事上の責任を追及される可能性があります。今回のStudioの事案において、サイトを運営する個々の事業者にどのような法的責任が生じるかは一様ではありません。取り扱っていた個人データの性質や機密性、事態発覚後の対応の早さなどによって個別の法的な判断は分かれます。ベネッセの判決の考え方が、そのまま今回に当てはまるとは言えません。
請求を受けたとき、自社だけで返事をすると、あとで不利な言い方になっていることもあります。中小企業なら、たとえば広島弁護士会の中小企業のためのひまわりほっとダイヤルのように、電話で申し込むと弁護士から折り返しの連絡があり、面談を予約できる窓口もあります。漏えい専用の窓口ではなく、経営上の問題全般を扱う法律相談です。お客様への通知文を出す前の段階から、文面ごと見てもらうこともできます。
この内容をChatGPTで相談
