Studioの不正アクセス、暗号化したフォーム内容も復号の鍵ごと読まれた可能性——サイト運営者はパスワードの次にAPIキーを発行元で再発行する

2026年10月26日

ノートパソコンの画面に表示されたWebサイトの問い合わせフォーム（記事内容のイメージ）

この記事のポイント

いつ：不正アクセスは2026年9月30日〜10月1日（日本時間）。Studioは10月16日に公表し、10月14日までに侵入経路を遮断したと説明
何が：全登録者のアカウント情報に加え、フォームの送信内容と外部サービスのAPIキー・トークン等が流出した可能性
なぜ重要：暗号化して保存していた内容も、暗号を解く鍵が同じ侵入で読み出されたため、内容を知られた可能性がある
運営者は：外部連携のAPIキーを発行元で新規発行し、Studio側を差し替えてから旧キーを失効（順序を逆にすると連携が止まる）。Studioのパスワード変更も必要
入力した人は：2026年10月14日以前にStudio製サイトへ送信した内容が対象になりうる。入力しただけの人に要るのは、取引先や運営元を装う連絡への警戒

暗号化していたフォーム内容も、暗号を解く鍵ごと読み出された——自分が作ったサイトの送信内容とAPIキーまで届きうる構造

Webサイト制作サービスのStudioが、クラウド環境への不正アクセスを公表しました。基盤が破られたため、影響は登録者のアカウントだけでなく、利用者が作ったサイトのフォーム内容や、外部サービスにつなぐためのAPIキーにまで及びます。なお、いずれも「流出した可能性」であり、流出が確認されたという段階ではありません。

Studioが流出の可能性を認めたのは、次の3系統です。

アカウント系：ユーザー名、メールアドレス、ハッシュ化（元に戻しにくい形に変換して保存すること）したパスワード
サイトの中身系：デザインエディタやCMSの内容、フォームの送信内容、ライブプレビューURL（公開前のページを共有できるURL）
外部連携の鍵系：APIキー（外部サービスに接続するための合言葉にあたる文字列）やトークン、Webhook（別のサービスへ自動で通知を送る仕組み）の通知先URL、Googleスプレッドシート連携の認証情報、カスタムプロキシ（独自の中継サーバー）のキー、パスワード保護ページのパスワード

「暗号を解く鍵も読み出された」というITmediaの報道と、「データが取得された事実は確認できていない」というStudioの説明は、別の事実として読む必要があります。鍵が読み出されたことは中身を知られた可能性を押し上げますが、知られたことの確認ではありません。

侵入から公表までに16日あった

Studioの公式発表と関連ページをもとに、日付順に整理します。

日付	出来事
9月30日〜10月1日	確認された不正アクセス
10月13日	Studioが社内で把握
10月14日	脆弱性の修正と侵入経路の遮断を完了。Studioの説明では、未明にログイン中の全利用者をログアウトし認証情報を差し替え
10月16日	公式サイトで公表
10月17日	Studioの説明では、フォーム内容やAPIキー等の暗号を解く鍵を新しい鍵へ切り替え

Studioは、不正アクセスの継続は現時点で確認されていないと説明しています。

暗号化とハッシュ化で守られていたもの、守りきれなかったもの

ITmedia NEWSの報道によると、暗号化して保存していたフォーム内容や一部の認証情報は、暗号を解く鍵が同じ不正アクセスで読み出されました。鍵ごと読まれた以上、暗号化していても内容を知られた可能性があります。

パスワードはハッシュ化（元に戻しにくい形に変換して保存すること）されており、平文ではありません。ただしStudioは、元に戻される可能性を完全には否定できないとして変更を求めています。

「取得されたものとみなして対応する」というStudioの立場

Studioは、実際に第三者がデータを取得した事実は確認できていないとしています。そのうえで、取得されたものとみなして対応する方針です。第三者が取得した可能性のある認証情報による操作記録を調べ、データの書き換えや削除は確認されていないとも説明しています。

Studioでサイトを運営している人は、パスワードの次に外部サービスのAPIキーを発行元で再発行する

結論から言うと、運営者の作業は「Studio側の設定」「連携先のAPIキー」「フォーム内容の影響確認」の三つです。なかでも連携先のAPIキーは、対応が漏れやすいところです。

Studio側の作業は、パスワード変更とURLの削除から

Studioは利用者に、Studioのパスワード変更、ライブプレビューURLの削除、パスワード保護ページのパスワード変更を依頼しています。あわせて、同じメールアドレスとパスワードの組み合わせを他のサービスで使っていないか点検してください。順番に迷うときは、パスワードを替える順番の整理が参考になります。ログイン画面がapp.studio.designであることを確認してください。メール等のリンク先で認証情報を求められても入力しないよう呼びかけています。

Studioが鍵を替えても、外部サービスのAPIキーは失効しない

ISSOHの解説記事によれば、全員が対象になるのはStudioのパスワードとライブプレビューURLです。APIキー連携・カスタムプロキシ・Webhook通知・フォームのスプレッドシート連携・パスワード保護ページは、使っている人だけが対象です。まずダッシュボードで連携状況を棚卸しし、対象を確定してください。

注意すべきは、Studioの案内によれば、外部サービスのAPIキーは発行元の管理画面でしか無効化できない点です。Studioが10月17日に暗号を解く鍵を替えたと説明していても、利用者が外部サービスで発行したAPIキーは失効しません。読み出された可能性のある旧APIキーは、そのままでは有効なままです。

対応は、連携先の管理画面で新しいAPIキーを発行し、旧APIキーを失効させることです。順序が重要で、同じ解説記事は「発行元で新しいキーを作成、Studio側の設定を差し替え、古いキーを失効」の順を示しています。この順でないと、サイトの連携が止まります。

ゴミ箱に移しただけのフォーム回答も対象に含まれる

Studioの案内とウェステリアの解説によれば、対象はStudioに保存されていた回答です。ダッシュボードに届いた回答のほか、ゴミ箱に移しただけで「完全に削除」していなかった回答、ライブプレビューでのテスト送信分、プランの上限を超えてダッシュボードに表示されなかった回答も含まれます。

一方、2026年9月30日より前に「完全に削除」した回答、「フォームの結果をStudioに保存」を無効にしていた期間の回答、添付ファイルの中身（対象はファイル名のみ）、Googleフォームなど外部サービスを埋め込んだフォームの回答は含まれません。まず自分のフォームの回答一覧とゴミ箱を確認し、個人情報を含む回答が残っていれば、次の報告と本人通知の検討対象になります。

フォーム機能を使っていた運営者は、個人情報保護委員会への報告や本人通知が必要になる場合があります。Studioは10月17日、同委員会の要請を受けて個別報告をいったん保留するよう依頼しました。本人通知は保留の対象外です。

10月20日には、運営者が個別に報告するか、Studioが取りまとめる連名報告にするかを選べるようになりました。Studioの案内では、協議のうえで決めた方法での連名報告なら、本件に限り、速報の目安期間（個人情報保護委員会へ最初に報告する際の期限の目安）を超えても遅延として扱わないとされています。

独自ドメインのサイトはStudio製と見分けられない。入力した側は運営元の告知で確かめる

自分はStudioを使っていなくても、問い合わせや申込みをしたサイトがStudio製なら、入力内容が対象になりえます。

10月14日の対処までに送った内容が対象になりうる

不正アクセスは9月30日〜10月1日に起きましたが、Studioが10月14日に対処を終えるまで、同社のクラウド環境内のデータが外部から取得できる状態だったと各社が説明しています。このため、対象になりうるのは、10月14日以前にStudio製サイトのフォームへ送信した内容です。

問い合わせ・資料請求・イベント申込などが該当し、含まれる項目はフォームごとに異なります。氏名とメールアドレスのほか、勤務先や電話番号、住所が入ることもあります。

確かめる確実な方法は、運営元の告知を見ること

サングローブの解説によれば、Studioの無料プランで公開されたサイトはドメインが「○○○.studio.site」の形式になり、ページ下部にStudioのバナーが表示されます。一方、有料プランでは独自ドメインが使えバナーも消せるため、独自ドメインのサイトは見た目ではStudio製と判別できません。

確認できる範囲では、Studio側に利用先の一覧は見当たりません。送信したサイトの運営元の告知を見るのが確実です。運営元サイトのお知らせ欄や、申込み時に届いたメールの案内を探してください。

入力しただけの人に要るのは、偽の連絡への警戒

フォームに入力しただけの人は、Studioにパスワードを預けていません。そのため、パスワードの使い回しの点検は原則不要で、必要なのはフィッシングへの警戒です。

点検が要るのは、Studioのアカウントを持っている場合と、フォームにパスワードに準じる情報を入力した場合です（前者の手順は前の節に書きました）。

それ以外の人に必要なのは、取引先や運営元を装う連絡への警戒です。本物の通知が届く時期は偽メールも紛れやすく、送信元が手がかりにならない事例もあります。メールやSMSのリンクではなく、公式サイトや公式アプリから確認してください。Studioがメールや電話でパスワードを尋ねることはありません。

自分が関わる運営元の告知を見る。件数、人数、施設、事業数と公表の単位が違う

同じ基盤でも、公表される範囲は運営元ごとに異なります。自分が関わるサービスの告知を見てください。

Schooは学習者のログイン情報を対象外と説明

Schooは10月20日の発表で、Studio上で運用していた自社グループサイトのフォームについて説明しました。送信情報は延べ2,936件・約2,600名分です。クレジットカード・銀行口座・パスワードは含まれません。学習者会員のログイン情報と受講履歴はStudioで管理しておらず、対象外です。

TVerは広告主向けサイトのフォームが対象とされる

@SOHOのまとめによれば、TVerは広告主向けサイト「TVer広告」のフォームから延べ1,801件が漏えいした可能性があるとし、動画配信サービスの視聴者情報は含まれないとしています。TVer公式の発表そのものは確認できていないため、件数は参考値です。

埼玉県は特定の施設分、千葉県は利用事業数を公表

埼玉県の発表によれば、県の自然ふれあい施設「さいたま緑の森博物館」（指定管理者は石坂産業）のイベント申込・問い合わせ分で、イベント申込・問い合わせにより取得した個人情報が、10月16日時点で計162件、漏えいの可能性があるとしています。これは県全体の件数ではなく当該施設分で、県は漏えいの有無と範囲を確認中、不正利用は確認されていないとしています。

千葉県の発表では、県の委託事業のうちStudioを使っていたのは4事業でした。これは利用の有無を確認した結果であり、漏えいの件数ではありません。

他にも企業や自治体が個別に公表を続けており、全体像はまだ見えません。委託先を通じて影響が広がる構図は、委託先のFAQシステム経由で5社に影響が広がった事例でも見られました。

続報で見るべきは、侵入口の特定と連名報告の実施日

続報を待つ間に、白紙の部分を整理しておきます。

10月25日時点で、侵入経路と悪用された脆弱性の詳細は、公式が「一部機能の脆弱性」までの説明にとどまります。Studioの10月21日からの緊急メンテナンスの告知では、PHPの脆弱性を修正し10月22日に全機能を再開したとされますが、これが侵入口と同一かは確認できていません。
パスワードのハッシュ方式は、公表されていません。
全体の対象件数は、精査中です。
第三者が実際に情報を取得したかは確認できておらず、実被害の報告も確認できていません。
連名報告の実施日と対象事業者数は、公表されていません。
再発防止策や第三者調査の有無は、公表されていません。