Studioで不正アクセス、顧客情報が流出した可能性｜影響範囲とPマーク・ISMS取得企業が取るべき対応を解説

2026年10月16日、ノーコードWebサイト制作サービス「Studio」を提供するStudio株式会社は、同社が利用するクラウド環境に第三者による不正アクセスがあり、顧客情報が外部に流出した可能性があることを公表しました。

今回の不正アクセスでは、Studioのアカウント情報だけでなく、Webサイトの問い合わせフォームに送信された情報や、外部サービスとの連携に使用する認証情報なども流出した可能性があります。

Studioを利用してWebサイトを運営している企業にとっては、顧客情報の保護や外部サービスへの不正アクセス防止の観点から、早急な確認と対応が必要です。

本記事では、Studioの公式発表をもとに、今回の不正アクセスの概要、流出した可能性のある情報、企業が取るべき対応について解説します。

当社もStudioでWEBサイトを作成しており、急遽セキュリティ対応を行いました。Studioでフォームの回答をGoogleスプレッドシートに連携されている場合は、早めの対応をしたほうが良いと思い、この記事を記載しております。

1．Studioへの不正アクセスの概要

Studio株式会社の発表によると、第三者がStudioの一部機能に存在する脆弱性を悪用し、同社のクラウド環境に不正アクセスしたことが確認されています。

この不正アクセスにより、クラウド環境内のデータを外部から取得できる状態になっていました。

詳細は、以下の公式サイトよりご確認ください。

https://studio.design/ja/whats-new/unauthorized-access-2026-10

尚、Studio株式会社は、実際に第三者がデータを取得した事実までは確認できていないものの、情報が取得されたものとみなして対応を進めています。

2026年10月16日時点では、不正アクセスに利用された脆弱性は修正され、外部からデータを取得できる状態は解消されています。

2．流出した可能性のある情報

今回の不正アクセスでは、Studioに登録しているすべての顧客について、情報が流出した可能性があるとされています。

対象となる主な情報は、次のとおりです。

① Studioアカウントの情報

- ユーザー名

- メールアドレス

- ハッシュ化されたパスワード

パスワードはハッシュ化されて保存されており、平文のまま保存されていたわけではありません。

ただし、元のパスワードが解析される可能性を完全には否定できないことから、Studio株式会社はパスワードの変更を求めています。

② Webサイトの管理データ

- デザインエディタの内容

- CMSに登録されたコンテンツ

- 問い合わせフォームなどから送信された情報

- Google reCAPTCHA v3の設定情報

- Webhook通知のURL

- 公開前のページを確認するライブプレビューURL

特に注意が必要なのは、問い合わせフォームに送信された情報が流出した可能性があることです。

企業のWebサイトでは、問い合わせフォームを通じて氏名、メールアドレス、電話番号、会社名、問い合わせ内容などの個人情報を取得しているケースが一般的です。

また、採用応募フォームなどでは、応募者の経歴やその他の個人情報を取得している場合もあります。

今回の不正アクセスは、Studioの利用企業だけでなく、そのWebサイトに問い合わせや応募を行った方にも影響が及ぶ可能性があります。

③ 外部サービスとの連携に使用する認証情報

- APIキーやアクセストークン

- パスワード保護ページのパスワード

- Googleスプレッドシート連携の認証情報

- カスタムプロキシ機能のプロキシキー

今回、特に注意したいのが外部サービスの認証情報です。

Studio株式会社によると、一部の情報は暗号化して保存されていましたが、復号に必要な鍵も不正アクセスによって読み出されたため、内容を知られた可能性があります。

そのため、単にStudioのログインパスワードを変更するだけでは、十分な対策とならない場合があります。

外部サービスと連携している企業は、連携先の認証情報についても確認する必要があります。

3．Studioを利用している企業が取るべき対応

Studio株式会社は、すべての利用者に対してパスワードの変更などを求めています。

企業としては、以下の対応を優先して進めることをおすすめします。

① Studioのログインパスワードを変更する

メールアドレスとパスワードでStudioにログインしている場合は、パスワードを変更してください。

また、同じパスワードを他のサービスでも使用している場合は、それらのパスワードも変更することが重要です。

なお、GoogleアカウントまたはFacebookアカウントによるログインのみを使用し、Studioのパスワードを設定していない場合、Studioのパスワード変更は不要とされています。

② 外部サービスとの連携状況を確認する

StudioでAPI連携などを利用している場合は、認証情報が悪用されるリスクを考慮する必要があります。

APIキーやアクセストークンについては、必要に応じて無効化や再発行を実施してください。

また、Googleスプレッドシートとフォーム回答を連携している場合は、Studio株式会社から連携解除が求められています。

私どももGoogleスプレッドシートとフォーム回答を連携しておりましたので、情報流出の連絡メールが来てすぐに連係解除を行いました。

尚、Studio管理画面のフォーム設定から連係解除するだけではなく、Google側でもStudioへのアクセス権限を確認・削除するようにしましょう。

以下の画像が私どものGoogleアカウントでStudioに付与したアクセス権です。

※画像は確認画面の一例であり、付与されている権限は利用状況によって異なります。

Googleアカウントの「サードパーティ製のアプリとサービス」では、Studioに付与しているアクセス権限を確認できます。「Googleのアカウントの管理 → リンク済みアプリ → Studio.Designをクリック。」

画像の例で、特に重要なのは次の権限です。

「Google スプレッドシートのすべてのスプレッドシートの参照、編集、作成、削除」

これは、問い合わせフォームの連携先だけに限定された権限ではありません。

したがって、漏洩した認証情報によってこの権限を利用できた場合、同じGoogleアカウントでアクセス可能な他のスプレッドシートについても、情報の取得・変更・削除が可能になるおそれがあります。

そのため、今回の不正アクセスを受け、Studioとの連携が必要かを確認し、不要なアクセス権限は削除することをおすすめします。

③ フォームで取得した個人情報を確認する

Studioのフォーム機能を利用している企業は、次の事項を確認することが重要です。

- 問い合わせフォームなどで取得している個人情報の種類

- フォームの送信履歴や保存している情報の範囲

- 顧客情報や採用応募情報などが含まれているか

- 個人情報の本人への連絡が必要となる可能性

- 個人情報保護委員会への報告が必要となる可能性

今回の公表によって、取り扱っていた個人情報の内容や漏えいのおそれがある情報の範囲によっては、個人情報保護法に基づく報告や本人通知が必要となる場合があります。

特に、問い合わせフォームで個人情報を取得している企業は、自社への影響を確認することが重要です。

④ ライブプレビューURLを削除・再発行する

StudioでライブプレビューURLを発行している場合は、既存のURLを削除してください。

ライブプレビューURLとは、Webサイトを一般公開する前に、関係者などがページを確認するために利用するURLです。

既存のURLが第三者に知られた場合、公開前の情報を閲覧されるおそれがあります。

引き続きライブプレビューを利用する場合は、既存URLを削除したうえで、新たに発行してください。

⑤ 不審なメールやフィッシング詐欺に注意する

今回、メールアドレスなどのアカウント情報が流出した可能性があることから、Studioを装ったフィッシングメールなどが送られるリスクも考えられます。

Studio株式会社は、メールや電話でパスワードや認証情報を尋ねることはないと案内しています。

パスワード変更などの案内が届いた場合も、メール内のリンクを安易にクリックせず、公式サイトから確認するようにしましょう。

4．プライバシーマーク・ISMS取得企業が注意すべき点

今回の不正アクセスは、クラウドサービスを利用する企業にとって、委託先管理や情報セキュリティ管理の重要性を改めて認識する機会となっています。

プライバシーマークやISMSを取得している企業では、特に次の観点から確認することをおすすめします。

①個人情報の漏えい等に該当するかの判断

今回のStudioの不正アクセス事案では、問い合わせフォームに個人情報が含まれていた場合、Studioを利用している企業にもJIPDEC及び個人情報保護委員会への報告義務が発生する可能性が高いと考えられます。（※プライバシーマーク(Pマーク)取得企業でない場合は、個人情報保護委員会への報告のみ）

Studioは公式発表で、個人情報保護委員会への報告を進めていると説明しています。

しかし、Studioが個人情報保護委員会に報告したことをもって、利用企業の報告義務まで自動的に免除されるわけではありません。

また、今回のような不正アクセスによる漏えい等のおそれについては、対象者が1人であっても報告義務が発生し得ます。 

報告義務をどう判断するか

下の表を参考にして報告義務の有無を検討してください。

なお、フォーム回答が別のシステムに転送されている場合は、Studio内の保存状況だけでなく、連携用認証情報を通じた影響も確認する必要があります。

②事故発生時には委託先・クラウドサービスの臨時評価も検討する

プライバシーマーク(Pマーク)やISMSを運用している企業では、委託先やクラウドサービスの評価を年1回など定期的に実施しているかと思います。

しかし、今回のような重大なセキュリティインシデントが発生した場合には、次回の定期評価まで待つのではなく、必要に応じて臨時の評価を実施することも検討しましょう。

具体的には、以下の事項を確認します。

- 事故の内容と影響範囲：自社が保存している情報が流出対象に含まれるか

- サービス提供事業者の対応：原因調査、脆弱性の修正、再発防止策が適切か

- 自社の対応状況：パスワードやAPIキーの変更など、必要な措置を実施したか

- 継続利用の可否：今後もサービスを利用する場合に、追加の安全管理措置が必要か

評価の結果は、委託先評価記録やリスクアセスメント記録などに残し、必要に応じて管理策の見直しにつなげることが望まれます。

なお、セキュリティインシデントが発生したことだけを理由として、直ちに委託契約の解除やクラウドサービスの利用停止が必要になるわけではありません。

事故の原因、影響範囲、事業者の対応状況、代替手段の有無などを総合的に評価し、継続利用の可否を判断することが重要です。

③審査を見据えた記録の整備

今回の事案を機に、プライバシーマーク(Pマーク)・ISMS取得企業では、次のような記録を整備しておくとよいでしょう。

これらの記録を一律に新規作成する必要があるわけではなく、既存の社内様式を利用しても問題ありません。また、臨時評価などはすべての企業に一律に義務付けられた手続きではなく、リスクに応じた実務上の推奨事項です。

5．今後のStudio株式会社の発表にも注意

2026年10月16日時点で、Studio株式会社は、不正アクセスに利用された脆弱性の修正とアクセス経路の遮断を完了しています。

一方、流出した可能性のある顧客情報の件数や、不正ログインなどの二次被害の有無については、引き続き調査が行われています。

また、同社は個人情報保護委員会への報告をはじめとする関係機関への対応を進めており、外部専門家の助言を受けながら再発防止に取り組むとしています。

今後の調査結果によって、新たな対応が必要となる可能性もあるため、利用企業は公式サイトの続報を継続して確認することが大切です。

6．まとめ

今回のStudioへの不正アクセスでは、アカウント情報だけでなく、Webサイトのフォームに送信された情報や、外部サービスとの連携に利用する認証情報なども流出した可能性があります。

特に、企業が顧客や採用応募者などの個人情報を取得していた場合には、情報流出の影響が自社以外にも及ぶ可能性があります。

Studioを利用している企業は、パスワードや認証情報の変更を進めるとともに、フォームで取り扱っている個人情報の内容を確認し、必要に応じて個人情報保護法上の対応を検討することが重要です。

また、今回の事案を機に、外部クラウドサービスの利用状況や、セキュリティインシデント発生時の社内対応手順についても見直しておくことをおすすめします。

参考資料

Studio株式会社「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日公表）

https://studio.design/ja/whats-new/unauthorized-access-2026-10