プロジェクトオーナーに届いた機能別のメールには何が書かれていますか？
「同じ日にStudioから何通もメールが来て、何から手をつければいいのか分からない」という戸惑いは、メールが機能ごとに分かれて届くことから来ています。Studioからは、対象プロジェクト名と必要な作業を書いたメールが、機能ごとに届いています。宛先はプロジェクトのオーナーで、オーナーが不在のアカウントではメンバーへ届いています。複数の機能を利用しているプロジェクトには、機能ごとに別々のメールが届く設定でした。
機能ごとの依頼は次のとおりです。
- API連携：外部サービスで新しいキーを発行し、Studioの設定を更新してから古いキーを失効させる
- 保護ページ：パスワードを変える
- フォーム：送信内容についての連絡と、スプレッドシート連携の解除
- カスタムプロキシ：自社サーバー側のキーを交換する
- Webhook通知：通知先サービスで新しいURLを発行し、Studioで更新とテストをしてから古いURLを無効にする
API連携もWebhookも、古い方を先に止めるとサイトの連携や通知が止まることがあります。
また、機能別のメールのあとで、案内が変わった点があります。スプレッドシートは解除に加えて、Google側でStudioのアクセス権を削除し、必要なら連携し直す流れになりました。あわせて、対象シートの変更履歴に不審な編集がないかを見る流れも案内されています。閲覧のみ行われた場合は変更履歴に残らない点も知っておきたいところです。カスタムプロキシは、表示を確認してから窓口へ交換完了を伝え、旧キーの無効化を頼みます。連絡にはStudioのサブドメインを添え、キーそのものは送りません。ところで、発行済みのライブプレビューURLの削除は、機能別メールとは別に全員へ案内された対応です。発行済みのプレビューURLをダッシュボードの一般設定から削除し、引き続き共有が必要な場合のみ新しいURLを発行します。
Studioを装った偽メールやフィッシングはどう見分けますか？
送信元が@studio.designなら本物だと言えるのでしょうか。まず知っておきたいのは、メールソフトに表示される送信元の名前やメールアドレスは技術的に偽装できるという点です。差出人のアドレスが公式ドメインに見えている場合でも、それだけで本物と決めつけるのは危険ですね。反対に、正規の送信元は2つのドメインに限られていない点にも気をつけたいところです。@studio.designと@studio.siteのほかに、支払い関連の@stripe.comやコミュニティ通知のno-reply@circle.soなど、Studioから届くメールの種類と送信元に載っているアドレスも使われます。
送信元よりはっきり見分けられるのは、メールが何を求めているかです。今回の不正アクセスについてStudioが送るメールには、パスワードや認証情報を入力させるリンクは入っていません。リンク先で入力を求められたら、何も打ち込まずにStudioの問い合わせ窓口へ連絡してください。
フィッシングは実在する企業やサービスを装い、偽のWebサイトへ誘導してIDやパスワード、クレジットカード情報を抜き取る手口です。「至急ログインしてください」「ログインしないとアカウントが失効します」のように急がせる文面がよく使われます。Studioの管理画面へ入る際は、あらかじめブラウザに登録しておいたブックマークから直接開くのが安全です。ログイン画面ではアドレスバーを見て、URLがふだんブックマークから開いているStudioのアドレスと同じかを確かめ、見慣れないアドレスなら何も入力せずに閉じてください。
Studioをかたるフィッシングメールはどこに報告すればよいですか？
たとえば「Studioのセキュリティ対応のため至急ログインを」という件名で、見慣れないURLへ誘うメールが届いたとします。こうしたメールや偽サイトの情報は、フィッシング対策協議会の報告窓口へ送れます。Studio専用の窓口ではなく、フィッシング全般を受け付ける先です。
本物か偽物か判断がつかないときは、名乗られている会社のサポートへ聞くのが近道です。Studioなら、ログイン後に［？］から［メッセージ］、［会話を始める］と進むとチャットで問い合わせられます。［？］はエディタでは左下、プロジェクト一覧では右下にあります。ただし、スタッフによる調査や案内（チケット発行）は有料プランのプロジェクトからだけで、発行そのものに料金はかかりません。
もうひとつ紛らわしいのがcontact@studio.designです。もしログイン自体ができなくなっている場合は、アカウントに登録してあるメールアドレスから「contact@studio.design」宛てに連絡を入れます。この窓口はログイントラブル専用に設けられており、それ以外の問い合わせには対応していません。
会社で使っているアカウントなら、社内に不審メールの扱い方が決まっていればそれに従います。リンクを開いてしまった場合も、決められた連絡先へすぐ相談してください。万が一、偽サイトにログイン情報やパスワードを打ち込んでしまったときは、何よりも先にStudioのパスワードを変更します。同じメールアドレスとパスワードの組み合わせを他のWebサービスやクラウドツールでも使い回しているなら、それらのサービス側でもただちにパスワードを更新し、不正アクセスの連鎖を食い止める必要があります。
Studioのプロジェクトの権限を業者に共有したり、オーナーを変えたりするには？
制作会社に作業を頼むだけならメンバーとして招待し、運営そのものを任せるならオーナーを引き継ぎます。前者は自分が管理を続け、後者は管理と支払いの主が移る点で大きく違いますね。
招待はプロジェクトの［ホーム］にあるメンバー画面から行い、メールアドレスを入れてオーナーか編集者を選びます。編集者の立場からは、相手をオーナーとして招待できません。相手がまだStudioアカウントを持っていない場合でも、招待メールのリンクから新規登録して参加できます。招待メールのリンクを押す流れは正規の手続きにもあるので、リンクがあるだけで偽物とは言えません。
オーナーを変える流れは、管理の引き継ぎ手順にある次の4ステップです。
- 引き継ぎ先がStudioアカウントを作る（すでにあれば不要）
- 引き継ぎ先をオーナーとして招待するか、役割をオーナーに変える
- 有料プランで支払いも引き継ぐ場合は、支払いオーナーを変える
- 引き継ぎ元がプロジェクトから外れる
支払いオーナーの変更は、新しいオーナーが自分のアカウントで操作します。今の支払いオーナー側からは変えられず、決済通貨が違う相手にも移せません。支払いオーナーは自分を削除できないため、退出の前に変更を済ませます。元の担当者は運用を続けるなら残ってもかまいません。参加者の削除はオーナーか支払いオーナーが、メンバー画面の3点メニューから行います。なお、ワークスペースに紐付いているプロジェクトでは、プロジェクト単位ではなくワークスペース側でメンバー管理を行う仕組みです。今回の機能別メールはオーナー宛てに届くので、誰がオーナーかで案内を受け取る人が変わります。
悪用された「一部機能の脆弱性」とはどの機能で、いつ公表されますか？
公式発表で説明されている「一部機能の脆弱性」とはいったいどの機能を指し、具体的な調査内容はいつ公表されるのでしょうか。現時点で、Studioの公開説明は「一部機能の脆弱性を悪用してクラウド環境に不正にアクセスされた」という書き方にとどまり、機能の名前も、脆弱性の種類も、侵入の経路も書かれていません。
ここで混同しやすいのが、機能別メールの対象機能です。手元に届いた機能別メールに記載されている機能（API連携やフォーム、カスタムプロキシなど）は、利用プロジェクトに対策を案内するための区分であり、それらの機能自体が侵入経路だったと断定されたわけではない点に注意したいですね。
詳細な原因究明や背景の分析については、外部の専門機関に依頼して調査を進めるための調整が進められています。現時点では調査結果や再発防止策がまとまる時期は確定していません。外部機関による検証作業には一定の期間を要するため、当面は具体的な侵入経路の全容を知ることは難しい状況です。確認が取れたら、Studioのお知らせページで続報として出すと案内されています。公表日の約束はないため、ときどきお知らせページを開いて新しい情報が出ていないかを見る形になるでしょう。