Studioへの不正アクセス(2026年10月公表)

概要

公表日

2026年10月16日

発生

2026年9月30日

検知・発覚

2026年10月13日

最新の公表

2026年10月28日

組織・業種

Studio(ノーコードWeb制作サービス「Studio」。利用企業・団体のサイトのフォームに波及)(ノーコードWebサイト制作SaaS / IT・SaaS・SI・BPO)

漏えいした情報・件数

全体の件数は精査中(未公表)。対象はStudioの全登録顧客のアカウント情報(ユーザー名、メールアドレス、ハッシュ化されたパスワードなど)、デザインエディタ・CMSの内容、フォームの送信内容、reCAPTCHA v3の設定、Webhook URL、ライブプレビューURL、外部サービスのAPIキー・トークンなどの認証情報。利用する各社が個別に件数を公表(LUUP 21,368件、デジタル庁 最大13,323件(フォームごとの最大件数の合計)とStudioアカウント35件、Link-Uグループ 7,663件、ラクスル 6,412件、TVer 問い合わせ734件・資料請求1,067件(延べ)、埼玉県 162件など)

業務への影響

2026年10月14日にログイン中の全ユーザーを一括ログアウト。Studioのサービスの停止は公表されていない。利用する各社がフォームの停止や問い合わせページの非表示、APIキー・Webhook・プロキシキーの差し替えなどを行っている

犯行グループ(企業・当局の認定)

なし(攻撃者は公表されていない)

行政の対応

個人情報保護委員会と協議し、フォーム利用者は個別の報告か、Studioとの連名の報告かを選べることになった(2026-10-20)。連名報告の受付開始は11月上旬の予定で、受付期間内に申し込まないと連名の対象外になる(2026-10-28)。申込方法は同委員会との協議後に案内

手口

利用しているSaaS・他社製ソフト委託先・取引先経由

何から手を付けるか迷ったら、無料で初動相談ができます →

会社・サービス別の影響と復旧状況(2026年10月30日時点)

経緯

1. 2026年9月30日

   9月30日〜10月1日(日本時間)、第三者がStudioの一部機能の脆弱性を悪用して不正にアクセスし、環境内のデータを外部から取得できる状態にした(現時点で確認できている期間) [2]

2. 2026年10月13日

   社内の調査で不正アクセスを確認。10月13日〜14日に脆弱性を修正し、不正アクセスに使われた経路を塞いだ [2]

3. 2026年10月14日

   午前2時30分ごろ、ログイン中の全ユーザーを一括ログアウト。Googleスプレッドシート連携の接続に必要な鍵も更新した [1]

4. 2026年10月16日

   第一報を公表。全登録顧客の情報が流出した可能性があるとし、API連携・フォーム・Webhookなど機能ごとの個別メールを送った [2]

5. 2026年10月16日

   ITmedia NEWS、日本経済新聞が報道 [4]

6. 2026年10月16日

   Link-Uグループ、ラクスル、Luup、埼玉県(さいたま緑の森博物館)などが、自社サイトのフォームの情報が漏えいした可能性を公表 [7]

7. 2026年10月17日

   個人情報保護委員会の要請を受け、フォームを使う利用者に、同委員会への個別の報告をいったん保留するよう依頼(本人への通知は保留の対象外) [3]

8. 2026年10月17日

   フォームの送信内容や外部サービスのAPIキーなどを暗号化する鍵を、新しい鍵に切り替えた [1]

9. 2026年10月18日

   特設ページ「Studioにおける不正アクセスに関するご案内」を公開。10月19日・20日によくある質問を追加 [1]

10. 2026年10月19日

    ユーザベースが、Studioで作ったサイトの問い合わせフォームの情報が流出した可能性を公表 [11]

11. 2026年10月20日

    個人情報保護委員会と協議した結果として、個別の報告か、Studioが取りまとめる連名の報告かを選べると案内 [3]

12. 2026年10月20日

    TVerが、「TVer広告」サイトのフォームの情報(問い合わせ734件、資料請求1,067件。延べ件数)が漏えいした可能性を公表 [12]

13. 2026年10月22日

    デジタル庁が、ホームページの5つのフォーム(2021年5月〜2023年3月)の入力内容と、職員・委託事業従事者のStudioアカウント情報35件が漏えいした可能性を公表。フォームの最大件数の合計は13,323件 [13]

14. 2026年10月26日

    特設ページに、フォーム送信者への通知についての回答を追加。Studioから送信者に直接は通知せず、サイト運営者から案内してもらう方式とした [1]

15. 2026年10月28日

    特設ページで、個人情報保護委員会への連名報告の受付開始は11月上旬の予定と案内。受付期間内に申し込まない場合は連名の対象外となり、個別の報告が必要になる [1]

16. 2026年10月28日

    ScanNetSecurityが、復号に必要な鍵も読み出されたことなどを報道 [15]

侵入経路と原因

Studio株式会社によると、第三者がStudioの一部機能の脆弱性を悪用して、同社が使うクラウド環境に不正にアクセスしました。現時点で確認できている期間は、2026年9月30日〜10月1日(日本時間)です。環境内のデータを外部から取得できる状態は、10月14日に会社が対処するまで続きました。

どの機能の、どんな脆弱性だったかは公表されていません。会社は脆弱性を修正し、経路を塞いだとしています。原因の詳しい調査は外部の専門機関に依頼する方向で調整中で、結果と再発防止策がまとまる時期は決まっていません(2026年10月30日時点)。

暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出されました。第三者が得た認証情報には、データを書き換えられる権限も含まれていました。会社は操作の記録を調べ、書き換えや削除の記録はないと確認しています。

影響

Studioは、全登録顧客について次の情報が流出した可能性があるとしています。アカウント情報(ユーザー名、メールアドレス、ハッシュ化されたパスワードなど)、デザインエディタ・CMSの内容、フォームに送信された内容、reCAPTCHA v3の設定、Webhook通知のURL、公開前のページを見るライブプレビューのURLです。

設定に含まれる認証情報も対象です。API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキーが含まれます。

フォームで対象になるのは、Studioに保存されていた回答です。ゴミ箱に移した回答やテスト送信も含みます。Studioへの保存を無効にしていた間の回答と、9月30日より前に完全に削除した回答は含みません。添付ファイルはファイル名だけが対象です。

全体の件数は、2026年10月30日時点でも精査中です。報道では、ITmedia NEWSがユーザー数90万人以上、日本経済新聞が導入企業3万社以上と紹介しています。Studioでサイトを作っている会社や自治体、省庁が、自社のフォームの件数を相次いで公表しています。下の表は、公式の発表文を確認できた分です(ほかにも公表が続いています)。

デジタル庁は10月22日、ホームページの運営の一部でStudioを使っていたとして、5つのフォームの入力内容が漏えいした可能性があると公表しました。対象は2021年5月から2023年3月までの入力で、件数はフォームごとの最大値です。庁の発表は合計を示していませんが、足すと13,323件になります(INTERNET Watchは「約1万3千件」と報道)。職員と委託事業従事者のStudioアカウント情報35件(氏名、メールアドレス)も含みます。二次被害は確認されていないとしています。

会社の対応と再発防止策

Studioは脆弱性を修正し、不正アクセスに使われた経路を塞ぎました。10月14日にログイン中の全ユーザーを一括ログアウトし、スプレッドシート連携の鍵を更新しました。決済やログインに使う認証情報も切り替えています。10月17日には、フォームの送信内容やAPIキーを暗号化する鍵を新しくしました。

ただし会社は、自社で鍵を切り替えても、不正アクセスの時点で取得された可能性のある情報は守れないとしています。外部サービスのAPIキーは発行元で管理されるため、Studioでは無効にできません。利用者には、パスワードの変更、ライブプレビューURLの削除、機能ごとの差し替えを求めています。

APIキーは、①各サービスで新しいキーを発行、②Studioの設定を更新、③各サービスで古いキーを失効、の順です。古いキーを先に失効させると連携が止まります。Webhookも同じ順で切り替えます。カスタムプロキシは、Studioが発行した新しいキーに差し替え、窓口に無効化を依頼します。期日は10月16日のメールの受信から30日以内です。

フォームで個人情報を受け取っていた会社は、個人情報保護委員会への報告を、個別でするか、Studioが取りまとめる連名でするかを選べます。10月28日の案内で、連名の受付開始は11月上旬の予定とされました。受付期間内に申し込まない場合は連名の対象外になり、個別の報告が必要です。対象はStudio上で扱っていた個人データ全般です。申込方法は、同委員会との協議の後に案内されます(2026年10月30日時点)。

連名報告に、サイト訪問者(本人)への通知は含まれません。Studioは、通知が必要かどうかを利用者自身が判断するよう求め、確認の観点とリリースの雛形を示しています。10月26日には、Studioからフォームの送信者に直接通知はせず、サイト運営者から案内してもらう方式だと説明しました。フォームの送信内容などを暗号化する鍵は10月17日に切り替え、データの暗号化のし直しを進めているとしています。外部の専門機関への調査の依頼先は、調整中です。対象件数、二次被害の調査結果、原因と再発防止策は続報で知らせるとしています。続報が出たら、このページを更新します。

この事案から学べること

• 自社のサーバーに問題がなくても、使っているサービス側の脆弱性で、自社サイトのフォームに届いた個人情報が漏れるおそれがあります。サイト制作のSaaSも、個人データの取り扱いを預けている先として把握しておく必要があります。
• 暗号化して保存していても、復号の鍵が同じ環境から読み出されれば中身を知られえます。外部サービスのAPIキーをSaaSに預けるときは、権限を最小にし、どこに何を登録したかを一覧にしておくと、差し替えが早く済みます。
• 1つのSaaSの事故で、多くの利用企業が同時に報告と通知の判断を迫られました。今回は個人情報保護委員会と協議して連名で報告する仕組みが用意されました。委託先の事故で誰が何を報告するかは、契約の段階で決めておく必要があります。報告の考え方は「個人情報の漏えい報告の義務と期限」の解説にまとめています。
• Studioは送信内容を運営者から預かる立場で、訪問者への説明は各サイトの運営者がするとしています。自社サイトのフォームで受け取った情報は、自社の責任で説明する前提で、何を集めるかと保存の要否を見直す必要があります。

自社で確認すること

1. 1 問い合わせ・資料請求・採用応募などのフォームが、どのサービスに回答を保存しているか、一覧にしていますか?
2. 2 サイト制作やCMSのサービスに登録した外部サービスのAPIキーやWebhook URLを、どこに何を登録したか把握し、すぐ差し替えられますか?
3. 3 委託先の事故で自社が集めた個人情報が漏れたとき、個人情報保護委員会への報告と本人への通知を誰が判断するか、決まっていますか?

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2026年8月1日 ・ Eストアー EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表)
• 2026年10月7日 ・ IDCFクラウド クラウド基盤がランサムウェア攻撃を受け、495の企業・自治体に影響
• 2026年10月19日 ・ ユミルリンク メール配信サービスなど50システムに不正アクセス。49システムでデータが出力され、漏えいのおそれは延べ最大5,162万8,280件
• 2026年10月9日 ・ コミューン 企業向けコミュニティ基盤に不正アクセス。推計約30.7万人の会員情報が漏えい

よくあるご質問

Studioの不正アクセスで、情報は実際に取得されましたか?

Studioは、第三者に実際に取得された事実は確認できていないとしています。ただし、取得されたものとみなして対応を進めています。データの改ざんや削除の記録はなく、不正ログインなどの二次被害の有無は調査中です(2026年10月30日時点)。

自社のサイトは対象ですか?

Studioは、全登録顧客の情報が流出した可能性があるとしています。フォーム、API連携、Webhookなどを使っているプロジェクトのオーナーには、2026年10月16日に機能ごとの個別メールを送っています。件名は「【重要】不正アクセスに伴う、」で始まります。届いていない場合は、迷惑メールフォルダを確認のうえ、Studioの専用窓口に問い合わせるよう案内されています。

個人情報保護委員会への報告は、誰がしますか?

フォームで個人情報を受け取っていた会社は、自社で個別に報告するか、Studioが取りまとめる連名で報告するかを選べます(2026年10月20日の案内)。協議で決めた方法で連名報告した場合、本件に限り、速報の目安の期間を超えても遅延として扱わないとされています。すでに個別に報告した会社も、連名に切り替えられます。受付開始は11月上旬の予定で、受付期間内に申し込まない場合は連名の対象外になります(2026年10月28日の案内)。申込方法は、同委員会との協議の後に案内されます。

フォームを送ってくれたサイト訪問者に、通知すべきですか?

Studioは、個人情報保護法に基づき、サイト運営者から本人への通知が必要になる場合があるとしています。連名報告には本人への通知は含まれず、10月17日の保留の依頼も通知は対象外です。Studioから送信者に直接通知することはしていません(10月26日の案内)。要否は、事業のためにフォームを使っていたか、回答に個人データが含まれるか、本件の影響を受けるかを確かめて、自社で判断します。必要に応じて弁護士に相談してください。

APIキーやWebhookは、どの順番で差し替えればよいですか?

Studioの案内では、各サービスで新しいキーを発行し、Studioの設定を新しいキーに更新してから、各サービスで古いキーを失効させます。古いキーを先に失効させると連携が止まります。Webhookも同じ順です。あわせて、2026年9月30日以降に心当たりのない利用や通知がないかを確認するよう求めています。

Studioで作られたサイトから、漏えいの通知を受け取りました。どこに問い合わせればよいですか?

自分が送信した内容やそのサイトの対応は、通知を送ってきたサイトの運営者に問い合わせるよう案内されています。Studioは運営者から預かった情報として扱っているため、個別の送信内容には答えられないとしています。Studioの公表内容についての質問は、Studioの専用窓口で受け付けています。

出典

1. Studioにおける不正アクセスに関するご案内 ↗ (Studio株式会社、2026-10-28)
2. 【重要】不正アクセスによる情報流出に関するお詫びとお願い(第一報) ↗ (Studio株式会社、2026-10-16)
3. 【重要】フォーム機能をご利用のお客様へ:個人情報保護委員会へのご報告についてのご案内 ↗ (Studio株式会社、2026-10-17)
4. 人気Web制作ツール「Studio」全ユーザーの情報漏えいか フォームに送信された内容、外部APIキーなども ↗ (ITmedia NEWS、2026-10-16)
5. Web制作ツールのStudioに不正アクセス 顧客情報流出か ↗ (日本経済新聞、2026-10-16)
6. Studio漏えい、個情委への報告で混乱 フォーム利用者に「報告必要な場合も」→翌日「保留して」 ↗ (ITmedia NEWS、2026-10-19)
7. Studio株式会社で発生した不正アクセスに伴う個人情報漏えいの可能性に関するお知らせ ↗ (Link-Uグループ株式会社、2026-10-16)
8. 当社が利用するクラウドサービスにおける不正アクセスに関するお知らせ ↗ (ラクスル株式会社、2026-10-16)
9. Webサイト制作サービス「Studio」への不正アクセスに伴う、当社Webフォームに送信された個人情報流出の可能性について ↗ (株式会社Luup、2026-10-16)
10. Studio株式会社で発生した不正アクセスに伴う個人情報漏えいの可能性について ↗ (埼玉県、2026-10-16)
11. ノーコードWebサイトプラットフォーム「Studio」への不正アクセスに伴う、情報流出の可能性に関するお知らせ ↗ (株式会社ユーザベース、2026-10-19)
12. 【重要】当社が利用するWebサイト制作サービス「Studio」への不正アクセスに関するお知らせ ↗ (株式会社TVer、2026-10-20)
13. Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について ↗ (デジタル庁、2026-10-22)
14. デジタル庁、Studio株式会社で発生した不正アクセスの影響による個人情報漏えいの可能性を発表 ↗ (INTERNET Watch、2026-10-23)
15. Studio が利用するクラウド環境に不正アクセス、復号に必要な鍵も読み出される ↗ (ScanNetSecurity、2026-10-28)
16. デジタル庁ホームページの問い合せフォームの情報が漏えい、Studio のクラウド環境への不正アクセス ↗ (ScanNetSecurity、2026-10-28)