Studioのクラウド環境に侵入、顧客情報流出の可能性（2026年）

何が起きたか

Studio株式会社は2026年10月16日、Webサイト制作サービス「Studio」の一部機能の脆弱性を悪用したクラウド環境への不正アクセスを公表しました。第三者が環境内のデータを外部から取得できる状態にしており、同社が10月14日に対処するまで続きました。確認できた不正アクセス期間は9月30日～10月1日です。Studioの第一報

クラウド環境への侵入とデータが外部から取得可能だったことは確認されています。一方、第三者が実際にデータを取得した事実は確認されていません。同社は取得されたものとみなして対策を進めています。第一報「1．経緯」

被害と影響

Studioに登録したすべての利用者について、ユーザー名、メールアドレス、ハッシュ化されたパスワードなどのアカウント情報、デザインエディタやCMS・フォームの内容、ライブプレビューURL、APIキーなどの認証情報が流出した可能性があります。2022年12月～2023年8月のStudio AI先行利用申込者の情報も、Studioアカウントの有無にかかわらず流出した可能性があります。対象件数は調査中です。全員の情報が実際に取得されたと確定したわけではありません。第一報「2．流出した可能性のある情報」

フォーム内容や一部の認証情報などは暗号化保存されていましたが、同じ不正アクセスで復号に必要な鍵も読み出されたため、内容を知られた可能性があると同社は説明しています。Studioのログイン用パスワードとパスワード保護ページのパスワードはハッシュ化され、平文では保存されていません。Studioの第一報

同社はパスワードでログインする利用者に変更を求め、同じパスワードを他でも使っていればそちらも変更するよう勧めています。ライブプレビューURLの削除・再発行も案内しています。APIキーなどを使うプロジェクトのオーナーには個別メールで対応を知らせています。第一報「3．すべてのお客様へのお願い」「4．一部の機能をご利用のお客様へ」

10月17日には、フォームを通じて個人情報を集めるサイトの運営者向けに追加案内が出ました。Studioは、個人情報保護委員会への個別の報告をいったん保留し、同社との連名で報告できるか協議すると説明しています。フォーム送信者への通知が必要かどうかは引き続き検討するよう求めています。これはフォーム運営者に向けた手続案内です。Studioの10月17日の追加案内

出来事の時系列

時系列は第一報と10月17日の案内に基づきます。

まだ分かっていないこと

情報を第三者が実際に取得したか、取得した場合の対象範囲・件数、情報の悪用や二次被害の有無は調査中です。10月16日時点でデータの改ざんや削除は確認されていません。同社は確認できた内容を続報で知らせるとしています。Studioの第一報

この事例から分かること

今回確認された実害は、脆弱性を使ったクラウド環境への侵入と、データが外部から取得可能になった状態です。情報の流出範囲を断定せず、アカウント利用者、サイト運営者、フォーム送信者という関係者ごとに同社の案内を確認する必要があります。