--- title: "Studioの不正アクセス（2026年10月）：フォームを使っていた会社が確かめること｜ホットケル" url: "https://hottokel.com/guide/studio-incident-2026-10" description: "Studioは2026年10月16日、不正アクセスでフォームの送信内容などが流出した可能性があると公表しました。フォームを使っていた会社がまず確かめる3つのことと、問い合わせの中身の置き場所を見直す選び方をまとめます。" lang: "ja" --- # Studioの不正アクセス（2026年10月）：フォームを使っていた会社が確かめること 2026年11月2日 公開 Studioは2026年10月16日に、9月30日から10月1日にかけての不正アクセスを公表しました。登録しているすべての利用者について、フォームの送信内容や外部サービスのAPIキーが流出した可能性があるとしています。 フォームを使っていた会社がまず確かめることは3つです。パスワードとAPIキーの切り替えが済んだか、フォームで誰のどんな情報を受け取っていたか、問い合わせた方への連絡を誰が決めるかです。 そのうえで、問い合わせの中身をどこに、どんな形で置くかを見直します。サイトを作り直さずに静的なサイトへ移し、問い合わせを暗号文だけで保管する方法もあります。ホットケルで移す場合の費用は、税抜で初期15万円から、月額9,800円です。 ## Studioの公表では、暗号化していたデータも内容を知られた可能性があるとされています 公表によると、第三者がStudioの一部機能の脆弱性を使い、Studioが利用するクラウド環境に不正にアクセスしました。現時点で確認できている期間は、2026年9月30日から10月1日です。Studioは10月13日に社内の調査でこれを確認し、14日までに脆弱性を修正して経路を塞いだと説明しています。 第三者に取得された事実は確認できていないものの、取得されたとみなして対応しているとしています。対象は、現時点の調査では、退会した方を含む登録済みのすべての利用者です。挙げられた情報は次のとおりです。 - アカウントの情報。ユーザー名、メールアドレス、ハッシュ化されたパスワードなど - Studio上で管理しているデータ。デザインエディタやCMSの内容、フォームに送信された内容、Webhook通知のURLなど - 公開前のページを確かめるための、ライブプレビューのURL - 設定に含まれる認証情報。外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報など フォームの送信内容やAPIキーは、暗号化して保存していたものも対象です。復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があると説明されています。その後、Studioは10月17日に暗号化の鍵を新しいものに切り替え、保存済みのデータを暗号化し直しているとしています。 フォームの回答では、ゴミ箱に移した回答やテスト送信も対象です。添付ファイルは名前だけが対象で、中身は含まれません。「フォームの結果をStudioに保存」を無効にしていた間の回答と、9月30日より前に「完全に削除」した回答は対象外です。外部サービスのフォームを埋め込んでいた場合も、回答はStudioを通らないため対象外です。 データの改ざんや削除は、現時点で確認されていないとしています。件数、二次被害の有無、原因と再発防止策は続報で知らせる予定です。この記事は、11月2日に確かめた公表の内容をもとにしています。この日の時点で、件数と原因の続報はまだ出ていません。 公表された出来事と、これからの予定 1. 9月30日〜10月1日：第三者がStudioの利用するクラウド環境に不正にアクセス（現時点で確認できている期間） 2. 10月13日：Studioが社内の調査で確認。14日までに脆弱性を修正 3. 10月16日：公表（第一報）。フォームなどを使うプロジェクトのオーナーに個別のメール 4. 10月17日：暗号化の鍵を切り替え、保存済みのデータを暗号化し直す。委員会への報告の保留を求める 5. 10月28日：Studioの案内が更新される 6. 11月2日：この記事で確かめた時点。件数と原因の続報はまだ出ていない 7. 11月上旬（予定）：個人情報保護委員会への連名報告の受付が始まる。受付期間を過ぎると連名の対象から外れる ## まず確かめることは3つあります Studioはすべての利用者に、パスワードの変更とライブプレビューのURLの削除を求め、Studioを装ったメールへの注意も呼びかけました。API連携やフォームなどを使うプロジェクトのオーナーには、10月16日に機能ごとの個別のメールが送られました。件名は「【重要】不正アクセスに伴う、」で始まります。 ### 1. パスワードとAPIキーの切り替えは済みましたか メールアドレスとパスワードでStudioにログインしている人は、パスワードを変更します。同じパスワードをほかのサービスでも使っていれば、そちらも変えます。GoogleやFacebookのログインだけを使い、パスワードを設定していない人は、変更は不要とされています。 外部サービスのAPIキーは、発行元のサービスで新しいキーを作り、Studioの設定を書き換えてから古いキーを失効させます。先に古いキーを止めると、サイトの連携が止まることがあるためです。Webhookの通知先URLやパスワード保護ページのパスワードも、個別のメールに沿って切り替えます。 ### 2. フォームで、誰のどんな情報を受け取っていましたか フォームの項目を一つずつ見直します。氏名、会社名、電話番号、メールアドレスに加えて、自由記述の欄に何が書かれていたかも確かめます。 Studioは、保存されていた回答をCSVで書き出す手順を、期間を限って提供しています。不正アクセスの時点で保存されていた回答でも、その後に「完全に削除」したものは、対象に含まれますがCSVには出ないとされています。 ### 3. 問い合わせた方への連絡は、誰が決めますか 問い合わせた方に知らせるかどうか、どう知らせるかを決めるのは、個人情報を扱う事業者である自社です。Studioの案内も、法令・ガイドラインと利用状況を踏まえて利用者自身が判断し、必要に応じて弁護士などの専門家に相談するよう求めています。Studioは問い合わせた方へ直接は知らせないとしたうえで、サイトに載せるお知らせの雛形を用意しました。 個人情報保護委員会への報告の進め方も、Studioは案内しています。利用者が自分で報告するか、Studioとの連名で報告するかを選べ、連名の受付は11月上旬に始まる予定です。受付期間を過ぎると連名の対象から外れます。10月17日にStudioが求めた報告の保留は委員会への報告だけが対象で、問い合わせた方への通知は含まないとしています。報告が要るかどうかと期限は、[Studioのフォーム利用者向けの案内](https://studio.design/ja/whats-new/unauthorized-access-2026-10-form)と、[個人情報保護委員会の案内](https://www.ppc.go.jp/personalinfo/legal/leakAction/)で確かめます。 社内では、個人情報の担当者と経営者が早めに集まり、判断する人を決めておきます。 ### 確かめることを、場所と担当ごとに表にしました | 確かめること | どこで | 誰が | | --- | --- | --- | | Studioのパスワードを変更したか | Studioのアカウント設定 | Studioにログインする各担当者 | | 同じパスワードを使うほかのサービスも変更したか | 各サービスのアカウント設定 | そのサービスを使う各担当者 | | 個別のメールが届いているか | プロジェクトのオーナーの受信箱と迷惑メールのフォルダ | プロジェクトのオーナー | | APIキーやトークンを新しくし、古いものを失効させたか | 発行元の外部サービスと、Studioの設定 | サイトの運用担当。制作会社に任せている場合はその会社 | | Webhookの通知先URLと、パスワード保護ページのパスワードを切り替えたか | Studioの設定と、通知先のサービス | サイトの運用担当 | | ライブプレビューのURLを削除したか | Studioの画面。手順はStudioのヘルプにあります | サイトの運用担当 | | フォームの項目と、保存されていた回答の中身を確かめたか | Studioのフォームの設定と、回答のCSV | サイトの運用担当と、個人情報の担当者 | | 問い合わせた方に連絡するかどうか | 社内の打ち合わせと、専門家への相談 | 自社の経営者と、個人情報の担当者 | | 個人情報保護委員会への報告をどうするか。連名にするなら受付期間内に申し込んだか | Studioのフォーム利用者向けの案内と、個人情報保護委員会の案内 | 自社の経営者と、個人情報の担当者 | ## 問い合わせの中身が、どこにどんな形で置かれているかを確かめます ここからは、特定のサービスに限らない一般的な話です。フォームのサービスに届いた問い合わせは、サーバーに保管され、管理画面で読める形になっているのが普通です。 サーバーの側で暗号化しているサービスもあります。その場合でも、開くための鍵を同じサービスの中で管理していれば、鍵とデータを一緒に持ち出されたときに中身を読まれるおそれが残ります。 別の方法では、送信した方のブラウザの中で問い合わせを暗号化し、サーバーには暗号文だけを置きます。開く鍵は受け取る側の担当者の端末にあり、サーバーには置きません。保管データを丸ごと持ち出されても、それだけでは中身を読めません。 この形にも限りはあります。担当者の端末がウイルスに感染していれば、開いた後の内容は守れません。受け取った内容をメールや表計算ソフトに写すと、そこから先は写した先の管理になります。鍵をすべて失えば、運営者にも中身を戻せなくなります。 自社のフォームがどちらの形か分からなければ、回答がどこにどんな形で保管されるか、開く鍵を誰が持つかを、サービスの提供元に尋ねます。そのうえで、受け取る情報の重さと、社内で鍵を管理できるかを見て選びます。 ## サイトを作り直さずに、静的なサイトへ移す方法もあります ホットケルは、公開中のページを描画し終えた状態で取り込みます。そこからStudioのJavaScriptを外し、HTML・CSS・画像だけのサイトにします。公開サーバーには、プログラムもパスワードも置きません。デザインとURL、独自ドメインは変わりません。Studioが配っている書体は、利用の条件を御社と確かめてから扱いを決めます。 フォームは、暗号化フォーム「フウイン」に置き換えます。回答は送信のときに、送った方のブラウザで暗号化されます。開けるのは御社の担当者が登録したパスキーだけで、[みらいスタジオにも中身は読めません](https://hottokel.com/faq#q-operator)。届いた日時や件数のように中身以外の情報は、運用のために当社にも見えます。 問い合わせの中身はどこに、どんな形で置かれるか よくある置き方 1. 送信された問い合わせが、フォームのサービスに届く 2. サーバーに保管され、管理画面で読める形になる 3. サーバーの側で暗号化していても、開くための鍵は同じサービスの中にある 鍵とデータを一緒に持ち出されると、中身を読まれるおそれが残る ホットケルの置き方（フウイン） 1. 送信のときに、送った方のブラウザで暗号化する 2. サーバーには暗号文だけを置く。開く鍵はサーバーに置かない 3. 御社の担当者が登録したパスキーで開く 保管データを丸ごと持ち出されても、それだけでは中身を読めない フウインの形にも限りがあります。担当者の端末がウイルスに感染していれば、開いた後の内容は守れません。鍵をすべて失えば、運営者にも中身を戻せなくなります。 移すと変わることもあります。Studioの編集画面での更新はできなくなります。記事の更新は更新プランで承ります。チャットやメールでご依頼いただくとAIが下書きを作り、御社の担当者がパスキーで承認したときだけ公開します。通販や会員登録、予約のように、サーバーで動く仕組みが欠かせないサイトは移せません。 料金は、サービス案内の[プランと料金](https://hottokel.com/#plans)と同じです。移行と暗号化フォームの基本プランは、初期15万円から、月額9,800円です。初期費には10ページとフォーム3つまでが含まれます。記事の更新がつく更新プランは、初期費が基本プランと同じで、月額24,800円です。いずれも税抜です。 ## 出典 1. Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日公開、10月17日・18日更新。2026年11月2日に確認）。[studio.design](https://studio.design/ja/whats-new/unauthorized-access-2026-10) 2. Studio「Studioにおける不正アクセスに関するご案内」（2026年10月28日更新。2026年11月2日に確認）。[studio.design](https://studio.design/ja/security/notice/2026-10-incident) 3. Studio「【重要】フォーム機能などで個人情報を取り扱っているお客様へ：個人情報保護委員会へのご報告についてのご案内」（2026年10月17日公開、10月20日・28日更新。2026年11月2日に確認）。[studio.design](https://studio.design/ja/whats-new/unauthorized-access-2026-10-form) 4. 個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年11月2日に確認）。[ppc.go.jp](https://www.ppc.go.jp/personalinfo/legal/leakAction/) 5. ホットケルの仕組みと料金は、[よくあるご質問](https://hottokel.com/faq)と[サービス案内のプランと料金](https://hottokel.com/#plans)の記載によります。 [サービス概要の 1 枚とサービス資料](https://hottokel.com/#download)をダウンロードできます。 Studioで作ったサイトを移せるかは、[無料のURL診断](https://hottokel.com/lp/studio)で確かめられます。メールアドレスとサイトの URL だけで申し込めます。結果はメールでお送りします。お電話での営業はいたしません。