【Studio】ノーコードWeb制作「Studio」のクラウド環境に不正アクセス、全利用者のアカウント情報やフォーム送信内容・APIキーなどが流出した可能性

公表：2026年10月16日（第一報）

3行でわかるポイント

1. ノーコードWeb制作プラットフォーム「Studio」を運営するStudio株式会社のクラウド環境に、第三者がStudioの一部機能の脆弱性を悪用して不正アクセスし、環境内のデータを外部から取得できる状態にしていました。
2. Studioに登録しているすべての利用者について、ユーザー名・メールアドレス・ハッシュ化されたパスワードのほか、Studioで作ったサイトのフォームに送信された内容や、外部サービスのAPIキーなどが流出した可能性があります。件数は精査中です。
3. 実際に取得された事実は確認されていませんが、会社は取得されたものとみなして対応しています。パスワードの変更やライブプレビューURLの削除を呼びかけています。

何が起きたか

Studio株式会社によると、不正アクセスがあったのは現時点で確認できている範囲で9月30日から10月1日（日本時間）です。同社は10月13日に社内の調査で不正アクセスを確認し、10月13日から14日にかけて脆弱性を修正して、侵入に使われた経路を塞ぎました。外部からデータを取得できる状態は10月14日まで続いていました。

暗号化して保存していた情報についても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとしています。データの改ざんや削除は確認されていません。不正ログインなどの二次被害の有無は調査中です。

漏れた可能性のある情報

影響

Studioで作られたWebサイトのフォームから情報を送った人（サイトの訪問者）の送信内容も対象に含まれます。送信先のサイトの運営者から案内が届く場合があります。API連携、パスワード保護ページ、フォーム、カスタムプロキシ、Webhook通知を使っているプロジェクトのオーナーには、必要な対応を個別のメールで案内しています。

原因

第三者がStudioの一部機能の脆弱性を悪用しました。脆弱性はすでに修正されています。原因の詳しい調査結果と再発防止策は、続報で公表される予定です。同社は個人情報保護委員会への報告など、関係機関への対応を進めています。

利用者が今すべきこと

1. メールアドレスとパスワードでStudioにログインしている人は、パスワードを変更してください。同じパスワードを他のサービスで使っている場合は、そちらも変更しましょう（GoogleログインやFacebookログインだけを使っている人は不要）。
2. ライブプレビューのURLを発行している場合は削除し、必要なら新しいURLを発行し直してください。
3. API連携のキーやトークン、パスワード保護ページのパスワード、プロキシキー、Webhook通知のURLを使っている人は、個別メールの案内に沿って切り替えてください。フォームの回答をGoogleスプレッドシートに連携している場合は、連携の解除が求められています。
4. Studioで作られたサイトのフォームから問い合わせなどを送ったことがある人は、そのサイトの運営者からの案内を確認し、不審な連絡に注意してください。
5. Studioを装ったフィッシングメールに注意してください。同社はメールや電話でパスワードや認証情報を聞くことはないとしています。

私たちが学べること

1. データを暗号化していても、鍵が同じ環境から読み出せると守りになりません。鍵は別の場所で管理する必要があります。
2. Web制作サービスやSaaSに外部サービスのAPIキーを預けている場合、どこに何を登録したかを一覧にしておくと、漏えい時にすぐ切り替えられます。
3. 自社サイトのフォームに届いた問い合わせ内容は、サイトを作ったプラットフォーム側にも保存されています。委託先・利用サービスでの漏えいにも備えておきましょう。

経過

出典

1. 【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）（Studio株式会社、2026年10月16日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。