原因一部公表 不正アクセス

Studio、クラウド環境への不正アクセスで全登録者の情報が流出した可能性

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
Studio株式会社のStudio（ノーコードのWebサイト制作サービス）で、不正アクセス。
いつ
2026年10月16日に公表（発生・発覚は2026年9月30日）。
原因
一部公表：ソフトウェアの脆弱性。
影響
Studioの登録者（2022年12月〜2023年8月に「Studio AI」先行利用へ申し込んだ方を含む）の情報、未公表（漏えいの可能性）。

原因

原因一部公表 ソフトウェアの脆弱性

公式の発表での原因
Studioの一部機能の脆弱性を第三者に悪用され、クラウド環境内のデータを外部から取得できる状態になっていた。原因そのものは調査中で、脆弱性は修正済み。
侵入の入り口
Studioの一部機能の脆弱性（同社のクラウド環境）

影響

人数・件数
未公表（Studioの登録者（2022年12月〜2023年8月に「Studio AI」先行利用へ申し込んだ方を含む））
注：全登録者が対象の可能性。件数は調査中で続報で発表予定
情報の種類
ユーザー名、メールアドレス、パスワード（ハッシュ化）、デザインエディタ・CMSの内容、フォームの送信内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL、ライブプレビューのURL、外部サービスのAPIキー・トークン、パスワード保護ページのパスワード（ハッシュ化）、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー、国（Studio AI先行利用の申込者のみ）
漏えい
漏えいの可能性
二次被害
二次被害の有無は調査中。現時点でデータの改ざん・削除は確認されていない。第三者が実際にデータを取得した事実も確認されていないが、取得されたものとみなして対応している。暗号化されていた情報も、復号の鍵が読み出されたため内容を知られた可能性がある。

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • メールアドレスとパスワードでログインしている場合は、Studioのパスワードを変更する（他サービスで同じパスワードを使っている場合はそちらも変更）
  • 発行済みのライブプレビューのURLを削除し、必要なら新しいURLを発行する
  • Studioを装った不審なメールやメッセージ（フィッシング）に注意する
  • API連携・パスワード保護ページ・フォーム・カスタムプロキシ・Webhook通知を使っている場合は、個別のメールの案内に従って、キーやパスワードの切り替えなどを行う

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ソフトウェアの脆弱性

  • 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
  • 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
  • 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
  • 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

経過

  1. 第三者による不正アクセスがあった（確認できている期間は10月1日まで） ［出典s1］

  2. 社内の調査で不正アクセスを確認した ［出典s1］

  3. 10月13日〜14日に脆弱性を修正し、侵入経路を塞いで、外部から取得できる状態を解消した ［出典s1］

  4. 第一報を公表。対象の件数、二次被害の調査結果、原因と再発防止策は続報で知らせるとした ［出典s1］

出典（公式の発表）

  1. ［s1］Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）

この内容は2026年10月16日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

ソフトウェアの脆弱性の事件をすべて見る →