インシデント概要更新日
#10月14日にStudioから強制ログアウトされたのは不正アクセスのせいですか？
きっかけは不正アクセスですが、ログアウトそのものはStudio側が全員に一斉にかけた対策です。Studioは不正アクセスへの安全対策として、2026年10月14日午前2時30分ごろ（日本時間）、ログイン中の全利用者を一度ログアウトさせました（Studioの不正アクセスに関する案内）。そのため、その後に初めて開いた人は、誰でもログイン画面に戻されています。
確認されている不正アクセスの期間は2026年9月30日から10月1日までです。ただし、この期間はいま確認できている範囲です。社内調査で事実を把握した10月13日から翌14日にかけて、対象となった脆弱性を修正して侵入経路を遮断しました。この事案について、Studioは2026年10月16日に第一報を公開しました。デジタル庁も同日にStudioから、クラウド環境への不正アクセスとデータが外部から取得可能な状態になっていた旨の報告を受けたと、デジタル庁の報道発表で公表しています。
ログアウトされたことだけで、自分のアカウントが乗っ取られたとは言えません。不正ログインや情報の悪用といった二次被害の有無は、調査が進められている段階です。
メールアドレスとパスワードで登録している利用者はパスワードの変更が求められています。GoogleログインやFacebookログインだけを使っていて、Studioのパスワードを設定していない人は、この変更をしなくてかまいません。
#Studioへログインし直す安全な手順は？
いきなりログイン画面に戻されると、そこに入力してよいのか迷いますね。作業を始めるときは、ブラウザのアドレスバーに表示されているURLが app.studio.design である点を確かめます。メールやメッセージのリンクから開いた画面でパスワードを聞かれても、そこには入力しません。公式サイトをブックマークしておき、そこから開くのがフィッシング対策の基本です。
ログイン後はパスワード変更の手順に沿って手続きを進めます。画面右上のアカウントアイコンから［設定］を選び、［アカウント］内の［パスワードを変更］を開いて現在のパスワードと新しいパスワードを入力して保存しましょう。今のパスワードを覚えていないときは、ログイン画面から再設定を申し込みます。登録したメールアドレスに確認メールが届くので、［パスワードを再設定する］ボタンから新しいパスワードを決めてください。
GoogleやFacebookでログインしている人でも、以前にメールアドレスとパスワードで登録したことがあれば、Studioのパスワードが残っていることがあります。わからなければ再設定してかまいません。
あわせて確認したいのが、ほかのウェブサービスとのパスワード使い回しです。Studioと同じ文字列を別の場所でも流用しているなら、被害の拡大を防ぐためにそちらのアカウント側でも速やかに変更を済ませましょう。
さらに、公開前の共有に使っていたライブプレビューURLは一度削除し、引き続き共有が必要な場合だけ新しいURLを発行し直します。API連携に外部サービスのAPIキーやトークンを登録している人は、新しいキーを発行してStudioの設定を更新し、古いキーを無効にしてください。
#Studioを名乗るメールが本物かどう見分けますか？
緊急の連絡を装ったメールが届いたとき、本物のお知らせと悪質な詐欺メールをどうやって見分ければよいでしょうか。
最初の手がかりは送信元のアドレスです。Studioからの正規連絡は、主に @studio.design や @studio.site のドメインから届きますよ。決済に関する通知には @stripe.com、公式コミュニティからの連絡には no-reply@circle.so などが使われる場合もあります。正規の送信元はStudioの送信元アドレス一覧で確かめられます。
とはいえ、表示名やメールアドレスは本物そっくりに偽装できます。そのため、送信元が正しく見えるだけでは本物とは言い切れません。文面の内容そのものにも注目してください。今回の不正アクセスに関してStudioから送られる正規のメールには、パスワードや認証情報の直接入力を求めるリンクは含まれていません。リンクを開いた先でパスワードを聞かれたら、その時点で偽物を疑ってよいでしょう。
Studio自身も、今回の件に便乗して同社を装うメールやメッセージが届く可能性があると告知しています。心当たりのないリンクや添付ファイルは開かないでください。
一覧にない送信元から届いたStudio名義の連絡や、リンク先で認証情報を求められたときは、何も入力しないでください。メール本文に書かれた連絡先は使わず、自分で開いた公式サイトに載っている窓口へ連絡します。
#PHPの重大な脆弱性とStudioの事案は関係がありますか？
不正アクセスの発表があった直後に「PHPの深刻な脆弱性」が大きく報じられ、ふたつの問題が関係しているのではないかと不安になった場面もありましたね。
10月中旬に発表された不正アクセスは、プラットフォーム独自の一部機能にあった脆弱性を突かれたものでした。公式の案内において、この不正アクセス自体がPHPの脆弱性に起因するものだという因果関係は示されていません。
一方で、Studioは2026年10月21日の夜から翌22日未明にかけて緊急メンテナンスを実施しました。これはPHPの開発チームから発表された重大な脆弱性への予防措置です。The PHP Groupは2026年10月21日にCVE-2026-109618とCVE-2026-109619のアドバイザリを公表しました（IPAのセキュリティ注意喚起）。悪用されると、任意のコードを実行されるおそれがあります。評価はどちらもCVSS v4.0で9.2です。Studioはこのメンテナンスでサーバー側のPHPを更新し、この脆弱性に起因する不正アクセスや情報流出の被害は確認されていないと発表しています。14日の一斉ログアウトとは、時期も理由も別の出来事です。
IPAも、速やかなアップデートを促しています。WordPressはPHPで動いているので、乗り換え先のサーバーで使っているPHPが修正版になっているか、サーバーの提供元の情報で確かめてください。移行の機会に、PHPのバージョンを管理する計画も見直しておきたいところです。
こんな聞き方も
- studio.design ログイン
- https //studio.design ログイン
- 10月にStudioへログインできなくなったのはなぜですか？
- 10月14日にStudioから強制ログアウトされたのは不正アクセスのせいですか？
- Studioの正規のログインURLはどれですか？
- Studioを名乗るメールが本物かどう見分けますか？
- Studioの利用者はどれくらいいるのですか？
- 2026年10月に公表されたPHPの重大な脆弱性とStudioの事案は別の話ですか？
- Studioの件で集団訴訟は起きそうですか？
- 移行後に「クロール済み - インデックス未登録」が増えたのはなぜですか？
あわせて知りたい（関連する疑問）
QStudioの利用者はどれくらいいるのですか？
手軽に扱えるデザインツールという印象を持たれやすいノーコード環境ですが、Studioの実際の導入規模は個人の枠を大きく越えています。
Studioの公式サイトでは、ユーザー数が90万人以上、これまでに公開されたサイト数が22万件以上、導入企業数が3万社以上と案内されています。今回の一斉ログアウトはログイン中の全員が対象だったので、同じ朝に、多くの人が同時にログイン画面へ戻されたことになります。
一方で、この利用者数と、自分のサイトに来る人の数は別の数字です。Studio Analyticsの「Visitor」は、Studioのヘルプにあるとおり、サイトへの訪問ごとに1と数え、AIによるクロールもこの数に入ります。管理画面に出る訪問者の数は、Studioを使って制作や運用をしている人の数ではありません。
Studioはユーザー数として90万人以上と案内しており、月間の利用者数とは書かれていません。
Q10月21日の夜にも使えなかったのはなぜですか？
一斉ログアウトのあと、別の夜にも作業しようとしたら画面が開かずに焦った方もいるのではないでしょうか。
この夜の停止は不正アクセスへの対応ではなく、PHPの脆弱性に備えた緊急メンテナンスでした。期間は2026年10月21日22:26から22日04:05まで（日本時間）です（緊急メンテナンスのお知らせ）。PHPの開発チームが、重大な脆弱性2件の修正版を公開すると予告していたため、Studioは予防のために止めました。
この間はStudioへのログインだけでなく、デザインエディタやダッシュボードを含む管理画面の全操作が完全に停止しています。さらに、事前のお知らせとは違って、公開中のサイトでもフォームの送信が止まっていました。攻撃につながる通信を防ぐため、公開サイト向けのAPIまで止めたことが原因です。最初は「閲覧には影響なし」と案内されていましたが、あとの更新で訂正されています。
作業完了後にPHPの修正版が適用され、すべての機能が無事に再開されました。
メンテナンスの時間帯には、自社サイトのお問い合わせフォームからも送信できませんでした。Studioも、必要に応じて訪問者へ再送をお願いするよう求めています。
QStudioの不正アクセスについて、Studioにはどこから問い合わせできますか？
ログインできないのにどこへ連絡するのか、と困っている人にも窓口がありますよ。窓口は、Studioにログインできるかどうかと、相談したい内容で分かれます。
| 状況 | 連絡先 |
|---|
| ログインでき、不正アクセスについて聞きたい | 画面左下か右下のヘルプアイコン→「メッセージ」＞「会話を始める」→「不正アクセスに関するお問い合わせ」 |
|---|
| ログインできない、契約の管理だけ担当している、アカウントがない | 不正アクセス専用の問い合わせフォーム |
|---|
| 不正アクセスとは関係なく、ログインだけができない | 登録したメールアドレスからcontact@studio.designへ |
|---|
StudioはStudioの公式お知らせで、不正アクセスのチャットと専用フォームは24時間受け付け、平日の10時から18時に順次回答すると案内しています。問い合わせが集中している時期は回答まで時間がかかる場合もあるため、慌てず待つ姿勢も大切です。確認が取れた新情報も、同じお知らせで順次更新されています。
contact@studio.designへ送るときは、ログインできないことを書くと話が早く進みます。このアドレスはログインのトラブル専用なので、不正アクセスの質問を送っても答えてもらえません。
また、ふだんのチャットサポートで担当者が調べて案内してくれるのは、有料プランを契約しているプロジェクトだけです。不正アクセスの専用窓口にも同じ条件があるかは、案内に書かれていません。
QStudioの件で集団訴訟は起きそうですか？
大規模な情報流出のニュースが出ると、SNSなどでは集団訴訟や巨額の賠償請求といった過激な言葉が飛び交いがちです。情報が流出した可能性が公表されたことと、裁判や補償の話が具体的に進んでいることとは別です。
今回の事案では、Studioに加えて実際にシステムを利用していたデジタル庁やtalikiといった組織からも、保存されていた個人情報が漏えいした可能性について発表がありました。Studioは、調査中のことは判明したものから続報を出すとしています。
日本には、消費者がまとまって被害の回復を求める仕組みとして、消費者団体訴訟制度があります。内閣総理大臣の認定を受けた特定適格消費者団体が、二段階の訴訟で消費者に代わって請求するものです。消費者庁は、この制度に使う被害情報の提供を受け付けています。団体の取り組みは、各団体や消費者庁のサイトで公表されます。ただし、この制度が今回の件に使えるかや、実際に訴えが起こされるかは、いまの公開情報からはわかりません。
ちなみに、Studioが案内している「連名での報告」は、集団訴訟への参加募集ではありません。これは個人情報保護法に基づいて個人情報保護委員会へ提出する報告書を、サイト運営者がStudioと共同で提出できる手続きのことであり、法的な争訟とは無関係です。
また、「お詫び」や「補償のご案内」をうたうメールにも注意が呼びかけられています。補償をうたうメールが届いても、そこに書かれたリンクから手続きはしないでください。
Q移行後に「クロール済み - インデックス未登録」が増えたのはなぜですか？
WordPressなどからStudioへ移行したあと、Search Consoleで「クロール済み - インデックス未登録」の数字が跳ね上がって不安になった方もいるのではないでしょうか。
Search Consoleのヘルプでは、このステータスは、Googleがページを取得したものの、検索用のデータベースには登録していない状態と説明されています。
ドメインのURLを変えずにサーバー環境だけを変更した場合、移転の直後はGooglebotの訪問頻度が一時的に低下し、数日かけて徐々に元のペースへ戻っていくのが自然な挙動です。一方、移転に伴って各ページのURLの形が変わった場合は、検索エンジンが新しいURLを把握して評価を引き継ぐまでに数週間からそれ以上の時間がかかるケースもあります。
待つだけでなく、次の点も確かめてください。
- 古いURLから新しいURLへ、301などの恒久的な転送を設定しているか
- 新しいURLでサイトマップを作り直し、Search Consoleから送信したか
- 移転の作業中に付けたnoindexを、公開のときに外したか
- 大事なページをURL検査ツールで調べ、Googleのクローラーをブロックしていないか
Studioのリダイレクト設定機能を使えば、プロジェクト内でページパスを変更した際の永続転送を指定できます。使えるのはBusiness以上のプランで、旧プランなら全プランで使えます。ただし、Studioでは2026年1月以降、末尾が「.php」で終わるパスを指定したリダイレクトは動作しないため、WordPress時代のURLに拡張子が含まれていた場合は注意が必要です。また、転送元に指定できるのは、そのプロジェクトで使っているドメインのパスだけです。
この内容をChatGPTで相談
