【全利用者が対象】Studioに不正アクセス｜APIキーやフォーム送信内容も流出の可能性、運営者の対応まとめ

2026年10月16日、Web制作ツール「Studio」を運営するStudio株式会社は、同社が利用するクラウド環境への不正アクセスにより、利用者の情報が外部に流出した可能性があると発表しました。対象は現時点で、Studioに登録しているすべての利用者です。アカウント情報に加え、CMSの内容やフォームの送信内容、外部サービスのAPIキーなども含まれます。

今回は、利用者自身にやってもらう対応が多い事案です。この記事では、同社の第一報をもとに経緯と流出項目を整理し、Studioでサイトを運営している人が確認すべき作業をまとめます。

一部機能の脆弱性が悪用され、10月14日まで外部から取得できる状態だった
流出した可能性がある情報は4種類、全利用者が対象
暗号化していたデータも、復号の鍵まで読み出されていた
すべての利用者がやるべき3つの対応
一部の機能を使っている運営者は、キーの切り替えも必要
1. フォームで個人情報を集めていた場合は、訪問者への影響も確認する
まとめ：全利用者が対象、パスワード変更とキーの切り替えを早めに

一部機能の脆弱性が悪用され、10月14日まで外部から取得できる状態だった

同社によると、第三者がStudioの一部機能の脆弱性を悪用してクラウド環境に侵入し、環境内のデータを外部から取得できる状態にしていました。この状態は、同社が対処した2026年10月14日まで続いていたといいます。

実際にデータが取得された事実は確認できていません。ただし同社は、取得されたものとみなして対応を進めるとしています。脆弱性はすでに修正され、侵入に使われた経路も塞がれています。

日付（日本時間）	出来事
2026年9月30日〜10月1日	第三者による不正アクセス（現時点で確認できている期間）
10月13日	社内の調査により不正アクセスを確認
10月13日〜14日	脆弱性を修正し、侵入経路を塞ぐ。外部から取得できる状態を解消
10月16日	第一報を公開

流出した可能性がある情報は4種類、全利用者が対象

現時点の調査では、登録しているすべての利用者について、次の情報が流出した可能性があります。対象の件数は続報で公表される予定です。

区分	主な内容
Studioアカウントの情報	ユーザー名、メールアドレス、ハッシュ化されたパスワードなど
Studio上で管理しているデータ	デザインエディタ・CMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL
ライブプレビューのURL	公開前のページを確認するためのURL
各種設定に含まれる認証情報	API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー

このほか、2022年12月から2023年8月にAI機能「Studio AI」（当初の名称は「Auto」）の先行利用に申し込んだ人のメールアドレス、ユーザー名、居住国（接続元のIPアドレスから同社が判定したもの）も対象です。Studioのアカウントを持っていない人も含まれ、該当者には個別に連絡するとしています。

暗号化していたデータも、復号の鍵まで読み出されていた

今回の発表で特に重いのが、この点です。フォームの送信内容、外部サービスのAPIキーやトークン、スプレッドシート連携の認証情報、プロキシキー、reCAPTCHA v3の設定情報、Webhook通知のURLは、暗号化して保存していたものも含めて内容を知られた可能性があります。復号に必要な鍵が、同じ不正アクセスで読み出されたためです。

一方、Studioのログインパスワードとパスワード保護ページのパスワードは、ハッシュ化して保存されていました。ハッシュ化は、元の文字列に戻しにくい形に変換する処理です。同社は、元のパスワードを割り出すのは困難としつつも、可能性を完全には否定できないとして変更を求めています。

データの改ざんや削除は、現時点で確認されていません。不正ログインなどの二次被害の有無は調査中です。

すべての利用者がやるべき3つの対応

Studioのパスワードを変更し、使い回し先も変える

メールアドレスとパスワードでログインしている人は、Studioのパスワードを変更してください。同じパスワードを他のサービスでも使っている場合は、そちらの変更も同社が強く勧めています。GoogleログインまたはFacebookログインだけを使い、Studioのパスワードを設定していない人は不要です。

ライブプレビューのURLを削除し、必要なら再発行する

ライブプレビューのURLを発行している場合は、削除が求められています。発行済みのURLが特定された事実は確認されていませんが、第三者に公開前のページを見られる可能性を否定できないためです。削除したURLは無効になるので、共有を続ける必要があれば新しいURLを発行し直します。

Studioを装う連絡に注意する

同社は、パスワードや認証情報をメールや電話で尋ねることはないとしています。本件で同社が送るメールに、パスワードや認証情報の入力を求めるリンクが含まれることもありません。これに当てはまらない連絡は、偽物と考えてよいでしょう。

一部の機能を使っている運営者は、キーの切り替えも必要

次の機能を使っているプロジェクトのオーナーには、同社が個別のメールで対応を案内しています。APIキーやプロキシキーは、切り替えるまで悪用され得るため、メールの到着を待たずに自分で確認しておくのが確実です。

利用している機能	必要な対応
API連携（Data Connect API・API連携（Beta））	登録した外部サービスのAPIキーやトークンを切り替える
パスワード保護ページ	ページのパスワードを変更する
フォーム	送信内容について同社から連絡。回答をGoogleスプレッドシートに連携している場合は連携を解除する
カスタムプロキシ機能	新しいプロキシキーに切り替える
Webhook通知	通知先のURLを切り替える

APIキーを切り替える際は、Studio側の登録を更新するだけでなく、キーを発行した外部サービス側で古いキーを無効にすることが大切です。新しいキーを登録しても、古いキーが生きていれば悪用を防げません。

フォームで個人情報を集めていた場合は、訪問者への影響も確認する

フォームの送信内容には、サイトの訪問者が入力した氏名や連絡先などが含まれている場合があります。同社は、Studioで作られたサイトのフォームから情報を送った人には、サイトの運営者から案内がある場合があるとしています。お問い合わせフォームなどで個人情報を受け付けていた運営者は、何を集めていたかを確認し、自社としての対応を検討する必要があるでしょう。