Studioの不正アクセス（2026年10月）：フォームを使っていた会社が確かめること

2026年11月2日 公開

Studioは2026年10月16日に、9月30日から10月1日にかけての不正アクセスを公表しました。登録しているすべての利用者について、フォームの送信内容や外部サービスのAPIキーが流出した可能性があるとしています。

フォームを使っていた会社がまず確かめることは3つです。パスワードとAPIキーの切り替えが済んだか、フォームで誰のどんな情報を受け取っていたか、問い合わせた方への連絡を誰が決めるかです。

そのうえで、問い合わせの中身をどこに、どんな形で置くかを見直します。サイトを作り直さずに静的なサイトへ移し、問い合わせを暗号文だけで保管する方法もあります。ホットケルで移す場合の費用は、税抜で初期15万円から、月額9,800円です。

Studioの公表では、暗号化していたデータも内容を知られた可能性があるとされています

公表によると、第三者がStudioの一部機能の脆弱性を使い、Studioが利用するクラウド環境に不正にアクセスしました。現時点で確認できている期間は、2026年9月30日から10月1日です。Studioは10月13日に社内の調査でこれを確認し、14日までに脆弱性を修正して経路を塞いだと説明しています。

第三者に取得された事実は確認できていないものの、取得されたとみなして対応しているとしています。対象は、現時点の調査では、退会した方を含む登録済みのすべての利用者です。挙げられた情報は次のとおりです。

• アカウントの情報。ユーザー名、メールアドレス、ハッシュ化されたパスワードなど
• Studio上で管理しているデータ。デザインエディタやCMSの内容、フォームに送信された内容、Webhook通知のURLなど
• 公開前のページを確かめるための、ライブプレビューのURL
• 設定に含まれる認証情報。外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報など

フォームの送信内容やAPIキーは、暗号化して保存していたものも対象です。復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があると説明されています。その後、Studioは10月17日に暗号化の鍵を新しいものに切り替え、保存済みのデータを暗号化し直しているとしています。

フォームの回答では、ゴミ箱に移した回答やテスト送信も対象です。添付ファイルは名前だけが対象で、中身は含まれません。「フォームの結果をStudioに保存」を無効にしていた間の回答と、9月30日より前に「完全に削除」した回答は対象外です。外部サービスのフォームを埋め込んでいた場合も、回答はStudioを通らないため対象外です。

データの改ざんや削除は、現時点で確認されていないとしています。件数、二次被害の有無、原因と再発防止策は続報で知らせる予定です。この記事は、11月2日に確かめた公表の内容をもとにしています。この日の時点で、件数と原因の続報はまだ出ていません。

まず確かめることは3つあります

Studioはすべての利用者に、パスワードの変更とライブプレビューのURLの削除を求め、Studioを装ったメールへの注意も呼びかけました。API連携やフォームなどを使うプロジェクトのオーナーには、10月16日に機能ごとの個別のメールが送られました。件名は「【重要】不正アクセスに伴う、」で始まります。

1. パスワードとAPIキーの切り替えは済みましたか

メールアドレスとパスワードでStudioにログインしている人は、パスワードを変更します。同じパスワードをほかのサービスでも使っていれば、そちらも変えます。GoogleやFacebookのログインだけを使い、パスワードを設定していない人は、変更は不要とされています。

外部サービスのAPIキーは、発行元のサービスで新しいキーを作り、Studioの設定を書き換えてから古いキーを失効させます。先に古いキーを止めると、サイトの連携が止まることがあるためです。Webhookの通知先URLやパスワード保護ページのパスワードも、個別のメールに沿って切り替えます。

2. フォームで、誰のどんな情報を受け取っていましたか

フォームの項目を一つずつ見直します。氏名、会社名、電話番号、メールアドレスに加えて、自由記述の欄に何が書かれていたかも確かめます。

Studioは、保存されていた回答をCSVで書き出す手順を、期間を限って提供しています。不正アクセスの時点で保存されていた回答でも、その後に「完全に削除」したものは、対象に含まれますがCSVには出ないとされています。

3. 問い合わせた方への連絡は、誰が決めますか

問い合わせた方に知らせるかどうか、どう知らせるかを決めるのは、個人情報を扱う事業者である自社です。Studioの案内も、法令・ガイドラインと利用状況を踏まえて利用者自身が判断し、必要に応じて弁護士などの専門家に相談するよう求めています。Studioは問い合わせた方へ直接は知らせないとしたうえで、サイトに載せるお知らせの雛形を用意しました。

個人情報保護委員会への報告の進め方も、Studioは案内しています。利用者が自分で報告するか、Studioとの連名で報告するかを選べ、連名の受付は11月上旬に始まる予定です。受付期間を過ぎると連名の対象から外れます。10月17日にStudioが求めた報告の保留は委員会への報告だけが対象で、問い合わせた方への通知は含まないとしています。報告が要るかどうかと期限は、Studioのフォーム利用者向けの案内と、個人情報保護委員会の案内で確かめます。

社内では、個人情報の担当者と経営者が早めに集まり、判断する人を決めておきます。

確かめることを、場所と担当ごとに表にしました

問い合わせの中身が、どこにどんな形で置かれているかを確かめます

ここからは、特定のサービスに限らない一般的な話です。フォームのサービスに届いた問い合わせは、サーバーに保管され、管理画面で読める形になっているのが普通です。

サーバーの側で暗号化しているサービスもあります。その場合でも、開くための鍵を同じサービスの中で管理していれば、鍵とデータを一緒に持ち出されたときに中身を読まれるおそれが残ります。

別の方法では、送信した方のブラウザの中で問い合わせを暗号化し、サーバーには暗号文だけを置きます。開く鍵は受け取る側の担当者の端末にあり、サーバーには置きません。保管データを丸ごと持ち出されても、それだけでは中身を読めません。

この形にも限りはあります。担当者の端末がウイルスに感染していれば、開いた後の内容は守れません。受け取った内容をメールや表計算ソフトに写すと、そこから先は写した先の管理になります。鍵をすべて失えば、運営者にも中身を戻せなくなります。

自社のフォームがどちらの形か分からなければ、回答がどこにどんな形で保管されるか、開く鍵を誰が持つかを、サービスの提供元に尋ねます。そのうえで、受け取る情報の重さと、社内で鍵を管理できるかを見て選びます。

サイトを作り直さずに、静的なサイトへ移す方法もあります

ホットケルは、公開中のページを描画し終えた状態で取り込みます。そこからStudioのJavaScriptを外し、HTML・CSS・画像だけのサイトにします。公開サーバーには、プログラムもパスワードも置きません。デザインとURL、独自ドメインは変わりません。Studioが配っている書体は、利用の条件を御社と確かめてから扱いを決めます。

フォームは、暗号化フォーム「フウイン」に置き換えます。回答は送信のときに、送った方のブラウザで暗号化されます。開けるのは御社の担当者が登録したパスキーだけで、みらいスタジオにも中身は読めません。届いた日時や件数のように中身以外の情報は、運用のために当社にも見えます。

移すと変わることもあります。Studioの編集画面での更新はできなくなります。記事の更新は更新プランで承ります。チャットやメールでご依頼いただくとAIが下書きを作り、御社の担当者がパスキーで承認したときだけ公開します。通販や会員登録、予約のように、サーバーで動く仕組みが欠かせないサイトは移せません。

料金は、サービス案内のプランと料金と同じです。移行と暗号化フォームの基本プランは、初期15万円から、月額9,800円です。初期費には10ページとフォーム3つまでが含まれます。記事の更新がつく更新プランは、初期費が基本プランと同じで、月額24,800円です。いずれも税抜です。