Studio不正アクセス、利用企業がやること｜APIキー・フォームの個人情報の報告と通知

01この記事でわかること

起きたことの時系列、対象の情報、利用者がやること、お客様の個人情報の報告と通知、制作会社への確認事項を順に説明します。3行でまとめると次のとおりです。

1. Studioの一部機能の脆弱性（システムの弱点）が悪用され、登録しているすべての利用者が対象になりました。件数はまだ公表されていません。
2. 全員がやることは、パスワードの変更、ライブプレビューのURLの削除、偽のメールへの注意の3つです。
3. フォームでお客様の個人情報を受け取っていた会社は、個人情報保護委員会への報告と、お客様本人への通知を自分で判断する立場にあります。

02何が起きたのか（全体像）

Studioによると、第三者が一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、データを外部から取得できる状態にしていました。

Studioは、データが実際に持ち出されたことは確認できていないものの、「取得されたものとみなして」対応しています。第三者が手に入れた認証情報での操作記録も調べ、データの書き換えや削除の記録はなかったとしています。

対象は、現時点の調査ではStudioに登録しているすべての利用者です。何社・何人分かは、まだ公表されていません。

影響は二重です。Studioのアカウントや連携先の外部サービスが悪用されるおそれと、自社サイトのフォームに入力したお客様の個人情報が漏れたおそれです。後者では、サイトを運営する会社がお客様に責任を持つ立場になります。用語の意味は用語集：不正アクセスと用語集：情報漏えいにまとめています。

03発表の時系列

Studioの公式発表の日付です（日本時間）。

1. 9月30日〜10月1日

   第三者が脆弱性を悪用し、データを外部から取得できる状態にしていた（確認できている期間）

2. 10月13日

   社内の調査で不正アクセスを確認

3. 10月13日〜14日

   脆弱性を修正し、侵入の経路を塞ぐ

4. 10月14日 午前2時30分ごろ

   ログインしていたすべての利用者を一度ログアウト。Googleスプレッドシート連携の接続用の鍵を更新

5. 10月16日

   第一報を公表。機能ごとに個別のお知らせメールを送付

6. 10月17日

   フォームの送信内容などを暗号化する鍵を新しいものに切り替え。フォーム利用者向けに、個人情報保護委員会への報告の案内を公開

7. 10月20日

   委員会への報告を、個別か連名かで選べると案内

8. 10月22日

   デジタル庁が、自らのフォームの送信内容などが対象になりうると公表

9. 10月28日

   個人情報保護委員会への連名での報告は、11月上旬に受付を始める予定と案内

04取得できる状態だった情報

Studioが挙げている「流出した可能性がある情報」は、大きく4つに分かれます。

ハッシュ化とは、パスワードを元に戻しにくい形に変えて保存することです。Studioのパスワードやパスワード保護ページのパスワードは、そのままの形では保存されていませんでした。それでもStudioは変更を求めています。また、暗号化して保存していた項目についても、元に戻すための鍵が同じ不正アクセスで読み出されたため、中身が知られた可能性があるとしています。

APIキーとは、Studioがほかのサービスとつながるための「合い鍵」です。他人の手に渡ると、つないでいる先のサービスを勝手に使われるおそれがあります。

フォームの送信内容については、対象の範囲が細かく示されています。

• 対象になるもの：Studioに保存されていた回答。ゴミ箱に移しただけで完全に削除していない回答、テストで送った回答、画面の表示上限を超えて見えなくなっていた回答も含みます。添付ファイルは、ファイル名だけが対象です。
• 対象にならないもの：「フォームの結果をStudioに保存」を無効にしていた間の回答、2026年9月30日より前に完全に削除した回答、ページに埋め込んだ外部サービス（Googleフォームなど）への回答。

このほか、2022年12月〜2023年8月に「Studio AI」の先行利用を申し込んだ人は、メールアドレス、ユーザー名、国（申し込んだときのIPアドレスから判定したもの）が対象になりました。こちらはパスワードを含まないため、パスワードの変更は不要とされています。

05自分が関係するか確かめる方法

Studioに登録している人は、全員が対象です。そのうえで、自社がどこまで対応すべきかは、使っていた機能によって変わります。次の順で確かめてください。

1. Studioからのメールを探す。対象のプロジェクトのオーナー（オーナーがいない場合はメンバー）に、10月16日以降、機能ごとの個別メールが届いています。迷惑メールのフォルダも見てください。
2. Studioにログインして案内を見る。画面に案内が出る場合があります。ログイン画面のURLが「app.studio.design」であることを確かめてから入ってください。
3. 使っている機能を洗い出す。フォーム、API連携（Data Connect API・API連携（Beta））、パスワード保護ページ、Googleスプレッドシート連携、カスタムプロキシ、Webhook通知、reCAPTCHA v3のうち、どれを使っていたかを確認します。
4. フォームの設定を見る。「フォームの結果をStudioに保存」が有効だったか、問い合わせ内容に氏名やメールアドレス、電話番号が含まれていたかを確かめます。

自社のサイトがStudio製か分からない場合は、制作会社や社内の担当者に聞くのが確実です。

このすぐ下の無料の診断に、StudioでつくったサイトのURLを入れて6問に答えると、あなたの会社がやることだけを順番に出します（Studio社とは関係のない、図鑑の独自の診断です）。

06今すぐやること：すべての利用者

Studioが全員に求めているのは、次の3つです。

1. Studioのパスワードを変える。同じパスワードをほかのサービスでも使っていれば、そちらも変えます。GoogleやFacebookのアカウントでだけログインしていて、Studioのパスワードを設定していない場合は不要です。ただし、以前にメールアドレスとパスワードで登録したことがあれば、パスワードが設定されている可能性があります。分からないときは、ログイン画面の「パスワードをお忘れですか？」から再設定できます。
2. ライブプレビューのURLを削除する。公開前のページを見るためのURLが知られた可能性があるためです。必要なら、削除したあと新しいURLを発行します。
3. 偽のメールに注意する。心当たりのないリンクや添付ファイルは開かないでください。Studioは、メールやメッセージでパスワードや認証情報の入力を求めることはないとしています。求められたら入力せず、問い合わせ窓口に連絡します。

二段階認証（パスワードに加えて、スマホのアプリなどで本人確認をする仕組み）について、Studioの案内には記載がありません。一方で、GoogleアカウントでStudioにログインしている人は、そのGoogleアカウントが入口になります。Googleアカウントや、APIキーを発行している外部サービスの管理画面で二段階認証を設定しておくと、パスワードが漏れたときの被害を防ぎやすくなります。考え方は用語集：多要素認証で、パスワードの使い回しをやめる道具はパスワード管理の分類で紹介しています。

07今すぐやること：連携機能を使っている会社

個別メールが届いた会社は、機能ごとに次の対応を求められています。

APIキーの切り替えは、順番が大事です。Studioは、先に古いキーを失効させるとサイトとの連携が止まるおそれがあるとしています。「新しいキーを作る→Studioに登録する→動くことを確かめる→古いキーを止める」の順にしてください。

あわせて、連携先のサービスで9月30日以降に心当たりのない利用や請求の増加がないか、スプレッドシートの変更履歴に不審な点がないかも確かめておくと安心です。

08フォームの個人情報：報告と本人への通知

問い合わせフォームや資料請求フォームで、氏名、メールアドレス、電話番号などを受け取っていた会社にとって、ここがいちばん重い部分です。Studioは、フォームの送信者に直接は通知しないとしています。お客様への連絡は、サイトを運営する会社が行う流れです。

個人情報保護委員会への報告

個人情報保護委員会は、不正アクセスのように「不正の目的で行われたおそれがある行為」による個人データの漏えいやそのおそれを、人数にかかわらず報告の対象としています。報告には、すぐに出す「速報」と、あとで出す「確報」があります。委員会の資料では、速報は発覚から3〜5日以内が目安、確報は不正の目的のおそれがある場合は60日以内です。

今回について、Studioは次のように案内しています。

• 10月17日：委員会の要請により、委員会への個別の報告をいったん保留するようお願い。
• 10月20日：委員会との協議の結果、各社が個別に報告するか、Studioがとりまとめて各社とStudioの連名で報告するかを選べることに。本件に限り、速報の目安の期間を過ぎても報告の遅れとして扱わないとされました。
• 10月28日：連名での報告の申し込みは、11月上旬に受付を始める予定。受付期間内に申し込まなければ連名の対象外となり、個別に報告する必要があります。以前に問い合わせで希望を伝えていた会社も、改めて申し込みが必要です。

申し込みでは、個人データの項目と本人の数（概数や最大の見込みでよい）、本人への通知の状況、委託先のStudioをどう監督していたかなどを聞かれる見込みです。受け付けた期間・件数・項目を今のうちに整理しておきましょう。

連名にしても自社でやること

連名での報告に含まれないものがあります。お客様本人への通知、プライバシーマークの審査機関への報告、業法にもとづく所管の省庁への報告、海外の当局への報告です。これらは連名を選んでも、自社で対応します。

お客様本人への通知

Studioは、フォームで受け取った個人データが今回の影響を受けるなら、お客様本人への通知が必要だとしています。委員会への報告の保留は、本人への通知には及びません。判断の目安として、次の3点を挙げています。

• 事業や団体の活動でフォームを使っていたか
• 回答に氏名や連絡先などの個人データが含まれていたか
• 今回の影響を受ける可能性があるか（対象者が1人でもいれば通知が必要）

営業メールやいたずらのような回答でも、目的や内容だけを理由に通知の対象から外すことはできず、個人を識別できる情報があれば原則として通知が必要としています。個別の連絡が難しい場合は、自社サイトへの掲載などで代えることも認められています。Studioは、自社サイトでのお知らせに使える「リリース用雛形」も用意しています。

通知のときは、お客様にも偽のメールへの注意を呼びかけてください。漏えい時の対応の流れは情報漏えいが起きたときと情報漏えいが心配にまとめています。

実際の例：デジタル庁

デジタル庁は10月22日、2021年5月〜2023年3月にフォームに入力された内容が対象になりうると公表しました。一般的な意見・要望が最大8,833件、採用に関する問い合わせが最大250件、接種証明書アプリに関する問い合わせが最大3,661件などです。あわせて、職員や委託事業の従事者のStudioアカウント情報35件（氏名、メールアドレス）も対象としています。数年前に使っていたフォームの回答でも、Studioに残っていれば対象になることが分かる例です。

09制作会社に任せている場合の確認事項

中小企業では、サイトの制作や更新を制作会社に任せていることがよくあります。Studioの案内は、プロジェクトのオーナー宛てに送られています。オーナーが制作会社になっていると、サイトを運営する自社に情報が届いていないかもしれません。

Studioは制作会社や運用代行会社に対し、まずサイトの運営者に伝えるよう求めています。連名での報告は、運営者の了承があれば制作会社が代わりに申し込めますが、了承のない申し込みは控えるよう求めています。

制作会社に、次のことを確認してください。

• 自社のサイトはStudioで作られているか。プロジェクトのオーナーは誰か
• Studioからの個別メールは届いたか。どの機能が対象と書かれていたか
• フォームの回答はStudioに保存する設定だったか。いつから何件くらいあるか
• APIキー、Webhook、スプレッドシート連携、パスワード保護ページなどの切り替えは済んだか。誰がいつやったか
• 委員会への報告を連名にするか個別にするか。申し込みは誰がするか
• お客様への通知の文面と、自社サイトへの掲載を誰が用意するか

報告や通知の判断は、サイトを運営する自社の責任です。答えは記録に残しましょう。取引先が原因の事故への備えは取引先からの被害が心配でも扱っています。

10Studioの対応とまだ分かっていないこと

Studioがこれまでに公表した対応は、次のとおりです。

• 脆弱性の修正と侵入経路の遮断（10月13日〜14日）
• ログイン中の全利用者のログアウト（10月14日）
• 決済やログイン用を含め、使っていた認証情報の切り替え
• 暗号化の鍵の切り替え（10月17日）と、保存済みデータの暗号化のやり直し（作業中）
• 個人情報保護委員会などへの報告、外部の専門機関による原因の調査（いずれも進行中）

一方、次のことはまだ公表されていません。

• 対象の範囲と件数（機能ごとの対象数を含む）
• 不正ログインや情報の悪用といった二次被害の有無
• どの機能のどんな脆弱性だったかという原因の詳細と、再発防止策
• 連名での報告の具体的な申し込み方法と受付期間

利用者への補償についての発表は、10月29日時点で見当たりません。攻撃者が誰かも公表されておらず、この記事でも推測は書きません。

11同じことを防ぐには（中小企業向け）

原因はサービス側にあり、利用者には防げませんでした。それでも次の備えで、被害と対応の手間を小さくできます。

• フォームの回答をため込まない。受け取った問い合わせは社内のシステムやメールに移し、サービス側の古い回答は定期的に完全に削除します。ゴミ箱に入れただけでは消えていないことに注意してください。デジタル庁の例のように、数年前の回答も対象になります。
• 鍵の台帳を作る。どのAPIキーをどこに登録したかを一覧にしておくと、切り替えが短時間で済みます。
• アカウントの持ち主をはっきりさせる。制作会社に作ってもらう場合も、オーナーやメンバーに自社の担当者を入れ、事故の連絡が自社に届くようにします。
• 連絡の流れを決めておく。報告、通知、制作会社との連絡の担当を決めます。

サイトの守り方はWebサイトのセキュリティが心配、事故の備えは事故が起きたときに備えたいにまとめています。

12よくある質問

13今後の予定と更新方針

Studioは、対象の範囲と件数、二次被害の有無、原因の調査結果と再発防止策を、続報で知らせるとしています。連名での報告の受付は、11月上旬に始まる予定です。受付期間が決まっているので、連名を考えている会社は見逃さないようにしてください。

この記事は、Studioの続報や連名報告の受付開始の発表があり次第、更新します。