Studio の不正アクセスでは、具体的に何が漏れた可能性があるのですか？
Studioからお知らせのメールが届いても、自分のどの情報が対象なのか読み取りにくいですよね。Studioの公式発表に並んでいる情報は、大きく3つに分かれます。
- Studioアカウントの情報：ユーザー名、メールアドレス、ハッシュ化されたパスワードなど
- Studio上で管理しているデータ：デザインエディタ・CMSの内容、公開前の確認用URL、フォームに送信された内容、reCAPTCHA v3の設定、Webhook通知のURL
- 各種設定の認証情報：API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのプロキシキー
サイト上の問い合わせフォームに送信されたデータも対象です。これには通常の一覧だけでなく、ゴミ箱に入れたまま完全に削除していなかった回答、ライブプレビューでのテスト送信、プランの上限を超えて非表示になっていた回答も含まれます。ただし添付ファイルはファイル名のみで、中身のデータまでは含まれません。保存設定を無効にしていた期間の回答や、2026年9月30日より前に完全に削除したデータは対象外と案内されました。
暗号化して保管されていた情報についても復号用の鍵が読み出されたため、内容を知られた可能性が否定できません。パスワードはハッシュ化して保存されており、平文ではありませんでした。
ちなみに、Studioの第一報によると、2022年12月から2023年8月にかけて募集されたStudio AI（当初の名称はAuto）の先行利用に申し込んだ人の情報も外部に流出した可能性があり、Studioのアカウントを持っていない人も含まれます。
第三者が実際に取得した事実は確認されていませんが、Studioは取得されたものとみなして対応しています。自分が対象かは、個別のメールかログイン時の案内で確かめてください。
Studioの漏えいの可能性がある情報のうち、どれを優先して対処すべきですか？
多岐にわたる流出項目のなかで、どこから手をつければ二次被害を防ぎやすいのでしょうか。最優先で動くべきなのは、現在も外部サービスとつながっていて悪用されやすい認証情報です。
外部サービスのAPIキーやトークンは、発行元のサービスで管理されているため、Studioでは無効化できません。切り替えは、新しいキーの発行、利用先の設定更新、古いキーの失効の順に進めます。順番を間違えて先に古いキーを失効させると連携が停止してしまうため、切り替えを完了させてから旧キーを削除してください。
カスタムプロキシの古いキーは無効化するまで使える状態が続きます。新キーへの差し替えを終えた後、Studioへ無効化を依頼しましょう。対応期限は2026年10月16日に送信されたメールの受信から30日以内です。
Webhook通知は、新しいURLを発行してStudioの設定を更新し、テスト送信が届いてから古いURLを無効にしてください。
一方、Googleスプレッドシート連携の認証情報について、Studioの公式発表では2026年10月14日の鍵更新で使えなくなったとしたうえで、念のため連携の解除やGoogle側のアクセス権の削除をすすめています。変更履歴を開くと、2026年9月30日〜10月14日に不審な編集がないか見られますが、閲覧だけの操作は残りません。
Studioのパスワードは、ハッシュ化されていても元の値を割り出される可能性を否定できないため、Studioと使い回している先の両方で変えます。パスワード保護ページのパスワードも変更し、発行済みのライブプレビューURLは削除しましょう。
企業がフォームで個人情報を預かっていた場合は、漏えい等の対応要領に沿って報告や本人通知が必要か判断を進めましょう。不正アクセスによる漏えいのおそれは人数に関わらず報告の対象になり得ます。
Studioの不正アクセスで漏えいした可能性のある件数は何件ですか？
たとえば、モビリティサービスを展開するLuupは、Webサイト上のフォームから送信された情報21,368件に対象の可能性があると発表しました。この数字には同一人物による複数回の送信が含まれており、LUUPアプリの会員登録情報は対象外です。
行政機関ではデジタル庁も、同庁の問い合わせフォームから送られた情報が対象になり得ると公表しました。さらに、フォームの件数には入らない別枠で、同庁の職員と委託事業従事者のStudioアカウントについても、情報35件が対象に挙げられています。フォームの対象期間は2021年5月から2023年3月までと長期間にわたりました。詳しい区分はデジタル庁の発表に載っています。
ラクスルの対象件数は6,412件で、フォームの送信件数のため人数とは一致しない場合があるとされています。対象は、サービス案内用サイトのフォームから送られた情報です。印刷通販の会員情報や注文・支払いの情報は含まれていません。
Luupとラクスルの数字はフォームの送信件数、デジタル庁のフォームの数字は区分ごとの最大件数で（ほかにアカウント情報35件）、どれも人数ではありません。1人が複数回送れば重ねて数えられるため、被害を受けた人数とは一致しません。また、どの組織の件数も、Studioが「取得されたものとみなして」対応している範囲の数で、漏えいが確かめられた件数ではありません。
Studio全体の正確な対象件数は、第一報では公表されず、精査のうえ続報で知らせるとされました。全体の件数が出たかは、Studioの続報で確かめてください。フォームから情報を送った側の人には、送信先のサイト運営者から案内が届く場合もあるので、Studioの続報とあわせて、送信先の組織の公式発表を見てください。
Studioで漏えいした情報が悪用された形跡はありますか？
流出した可能性のあるデータが悪用され、すでに被害が生じているのかは誰もが気をもむ点でしょう。Studioの発表によれば、今回の不正アクセスに起因する不正ログインや情報の悪用といった二次被害の有無は調査中とされています。現在の公表では、被害が出たとも出ていないとも言い切られていません。
わかっていることもあります。侵入した第三者が取得した認証情報にはデータの書き換え権限も含まれていましたが、デザインエディタやCMSの内容を書き換えたり削除したりした操作記録は見つかっていません。とはいえ、これは書き換えや削除がなかったというだけで、読み取られた情報が別の場所で使われていないことまでは示していません。
利用組織の側では、デジタル庁が2026年10月22日の発表で、同庁に関わる個人情報について悪用などの二次被害は確認されていないとしています。対象は同庁の範囲に限られ、Studio全体の調査が終わったという意味ではありません。
ただ、デジタル庁やenechainのお知らせは、本件に便乗して組織やStudioを名乗る不審なメールや電話への注意を呼びかけています。心当たりのない連絡が来たら、リンクを開かず、公式サイトから問い合わせ先を探したほうが安全でしょう。
外部サービスのAPIキーは、形跡を待たずに切り替えておきたい情報です。キーが他人に知られると、身に覚えのない請求やデータへの不正アクセスが起こり得ます。
Studioから移行すれば、すでに漏えいした情報の問題は解決しますか？
移行で変わるのは、これから先にデータを置く場所です。不正アクセスの時点で外に出た可能性のある情報は、移行しても取り戻せません。Studio自身も、鍵や認証情報を切り替えたところで、すでに取得された可能性のある情報は守れないとしています。
外部APIキーやWebhookの通知先URLも、発行元で手動の無効化や再発行を行わない限り、古い設定のまま危険にさらされ続けます。Webhook通知も同じで、使っていないならStudioでURLを空欄にして保存し、通知先のサービスで古いURLを無効にしてください。
フォームで個人情報を預かっていた事業者の場合、個人情報保護委員会への報告義務や本人への通知義務が生じるケースがあります。サイトを引っ越しても、この義務が消えるわけではありません。
報告は、2026年10月20日の案内で、自社で個別に出す方法とStudioとの連名を選べるようになりました。10月28日時点のStudioのフォーム利用者向け案内では、連名報告の受付は11月上旬に始まる予定とされ、受付期間内に申込みが無ければ連名の対象外になります。指定の方法で連名報告を申し込めば個別の報告は要りませんが、連名に含まれるのは委員会への報告だけです。本人への通知が必要な場合は、自社で行います。
将来の安全を守るために移行を検討するのは自然な判断ですが、まずは手元の認証情報の失効や関係者への連絡といった後始末を完了させることが先決です。そのうえで、移行先を選ぶときは、アクセスできる人の制限や操作の記録の確認など、再発を防ぐ対策が取れるかを見ておきます。