使っていた人が、いますぐやること
- 1
Studioの利用者全員Studioのパスワードを変える（ほかで同じパスワードを使っていれば、そちらも）。ライブプレビューのURLを消す
- 2
API連携などを使う会社外部サービスで新しいキーを作り、Studioに登録して動くのを確かめてから、古いキーを止める
- 3
フォームで個人情報を受けていた会社個人情報保護委員会への報告（個別か連名か）と、お客さま本人への通知を自社で進める
- 4
全員Studioを名乗るメールのリンクや添付ファイルは開かない。Studioがメールでパスワードや認証情報を求めることはない
被害にあっているときの手順を見る →
漏れた可能性がある情報Studioに登録しているすべての利用者（退会した人を含む）。アーカイブしたプロジェクトも対象。件数は精査中
含まれていないもの「フォームの結果をStudioに保存」を無効にしていた間の回答、9月30日より前に完全に削除した回答、埋め込んだ外部サービス（Googleフォームなど）への回答。添付ファイルはファイル名だけが対象
いまの状況（調査中）弱点を直し、鍵や認証情報を切り替えた。原因の詳しい調査は外部の専門機関に頼む方向で調整中
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことでコードを書かずにWebサイトを作れるサービス「Studio」で、2026年9月30日〜10月1日に、第三者が一部機能の脆弱性（作りの弱点）を突いて会社のクラウド環境に入り、データを外から取れる状態にしていました。対象は、Studioに登録しているすべての利用者です。アカウント情報、サイトのフォームに送られた内容、外部サービスとつなぐAPIキーなどが流出した可能性があります。Studioは実際に取られた事実は確認できていないものの「取得されたものとみなして」対応しています。
1Studio株式会社 ・ Studio一部機能の脆弱性を突いたクラウド環境への不正アクセス
脆弱性とは →
- STEP 1機能の弱点を突く
第三者が、Studioの一部機能の脆弱性を悪用した
- STEP 2クラウドに入る
会社が使うクラウド環境に入り、データを外から取れる状態にした
- STEP 3鍵も読み出す
暗号化に使う鍵も同じ不正アクセスで読み出され、暗号化した中身も知られた可能性がある
- STEP 4気づいて塞ぐ
10月13日に社内の調査で気づき、14日までに弱点を直して経路を塞いだ
くわしい内容を見る ↓
手口第三者が、Studioの一部機能の脆弱性を突いて、会社のクラウド環境に不正にアクセスしました。環境の中のデータは、10月14日に会社が対処するまで外から取れる状態でした。第三者が手に入れた認証情報には書き換えの権限もありましたが、データを書き換えたり消したりした記録はないとしています。どの機能のどんな弱点かは公表されていません。
- 侵入
- 2026年9月30日〜10月1日（日本時間、確認できている期間）
- 発覚
- 10月13日。社内の調査で確認
- 公表
- 10月16日（第一報）。10月28日まで案内ページを更新
- 影響の範囲
- Studioに登録しているすべての利用者（退会した人を含む）。アーカイブしたプロジェクトも対象。件数は精査中
- 情報の種類
- アカウント情報（ユーザー名・メールアドレス・ハッシュ化したパスワード）、デザインエディタとCMSの内容、フォームに送られた内容、ライブプレビューのURL、外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報など
- 含まれないもの
- 「フォームの結果をStudioに保存」を無効にしていた間の回答、9月30日より前に完全に削除した回答、埋め込んだ外部サービス（Googleフォームなど）への回答。添付ファイルはファイル名だけが対象
- 改ざん
- データの書き換えや削除の記録は確認されていない
- いまの状況
- 弱点を直し、鍵や認証情報を切り替えた。原因の詳しい調査は外部の専門機関に頼む方向で調整中
- Studio
第三者が脆弱性を悪用し、データを外から取れる状態にした（確認できている期間）
- Studio
社内の調査で不正アクセスを確認
- Studio
脆弱性を直し、使われた経路を塞ぐ。外から取れる状態を解消
- Studio
ログインしていた全員を一度ログアウト。スプレッドシート連携の鍵を更新
- Studio
第一報を公表。機能ごとに個別のメールを送る
- Studio
暗号化の鍵を新しくする。フォーム利用者に、個人情報保護委員会への報告をいったん保留するようお願い
- Studio
委員会と協議し、個別の報告か、Studioとの連名の報告かを選べると案内
- Studio
PHPの重大な脆弱性の告知を受け、予防として一部機能を止める緊急メンテナンス（被害を確認したものではないと説明）
- デジタル庁
デジタル庁が、自らのフォームの入力内容などが対象になりうると公表
- Studio
連名での報告の受付は11月上旬に始める予定と案内
弱点の修正脆弱性を直し、不正アクセスに使われた経路を塞いだ
鍵の切り替え決済やログインに使う認証情報を新しくし、10月17日に暗号化の鍵も切り替えた
一括ログアウト10月14日に、ログインしていた全員を一度ログアウトさせた
個別の案内API連携・パスワード保護ページ・フォームなど、機能ごとにやることをメールで知らせた
報告の取りまとめフォームで個人情報を受けていた利用者のために、個人情報保護委員会への連名の報告を取りまとめる
07ABOUT THE COMPANY
どんな会社？
コードを書かずにWebサイトのデザインから公開までできるサービス「Studio」を運営する会社です。会社の発表では、ユーザーは90万人以上、公開されたサイトは25万以上です。
事業
- ノーコードのWebサイト制作（Studio）
- CMS（記事の管理）
- フォーム
- サイトの公開と運用
- 会社名
- Studio株式会社（Studio, Inc.）
- 設立
- 2016年4月
- 本社
- 東京都目黒区青葉台三丁目6番28号 住友不動産青葉台タワー9階
- 代表者
- 代表取締役CEO 石井 穣
- 従業員
- 75名（2026年10月時点、役員と正社員）
- 資本金
- 1億円（資本準備金を除く）
出典：会社の公式サイト「会社概要」
