Studio株式会社 Web制作ツール「Studio」のクラウド環境への不正アクセス

何が起きたか

Studio株式会社が利用するクラウド環境に第三者による不正アクセスがあり、同社が預かっているお客様の情報が外部に流出した可能性があることが判明した。第三者がStudioの一部機能の脆弱性を悪用し、環境内のデータを外部から取得できる状態にしていたことを確認したもので、実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応を進めている。同社は2026年10月16日に第一報を公表した。

時系列

• 2026年9月30日から10月1日（日本時間） - 現時点で確認できている第三者による不正アクセスの期間
• 2026年10月13日 - 社内の調査により不正アクセスを確認
• 2026年10月13日から14日 - 脆弱性を修正し、不正アクセスに利用された経路を塞ぐ対応を完了。外部から取得できる状態を解消
• 2026年10月16日 - 第一報を公表

影響

現時点の調査では、Studioに登録しているすべてのお客様について、Studioアカウントの情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、Studio上で管理しているデータ（デザインエディタ・CMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL）、ライブプレビューのURL、各種設定に含まれる認証情報が外部に流出した可能性がある。対象となるお客様の範囲と件数は精査のうえ続報で公表される。

フォームに送信された内容、外部サービスのAPIキーやトークン、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー、Google reCAPTCHA v3の設定情報、Webhook通知のURLは暗号化して保存していたが、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性がある。Studioのパスワードとパスワード保護ページのパスワードはハッシュ化して保存しており平文では保存していないが、パスワードの変更が呼びかけられている。

あわせて、2022年12月から2023年8月にかけてAIによるサイト作成機能「Studio AI」の先行利用に申し込んだ方について、申し込み時に取得したメールアドレス、ユーザー名、お住まいの国（申し込みの際の接続元のIPアドレスから同社が判定したもの）も外部に流出した可能性がある。Studioのアカウントを持たない方も含まれる。

本件に起因する二次被害（不正ログインや情報の悪用など）の有無は調査中。公表時点でデータの改ざんや削除は確認されていない。

当事者の対応

• 2026年10月13日から14日にかけて脆弱性を修正し、不正アクセスに利用された経路を塞いで外部から取得できる状態を解消。原因の調査と影響範囲の特定を進めている
• システムで使用していた決済やログインなどの認証情報を新しいものに切り替え、その他の認証情報も順次無効化・変更
• 個人情報保護委員会への報告をはじめ、関係機関への対応を進める
• 外部の専門家の助言を得ながら再発防止に取り組む
• すべてのお客様にStudioのパスワード変更を依頼。ライブプレビューURLを発行している場合は削除を依頼し、必要なら削除後に新しいURLを発行するよう案内
• API連携、パスワード保護ページ、フォーム、カスタムプロキシ、Webhook通知を利用しているプロジェクトのオーナーには、個別のメールでキーの切り替えやパスワード変更、連携解除などを案内
• 同社を装った不審な連絡への注意を呼びかけ

出典

• 資料名：【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）
• 公表主体：Studio株式会社
• URL： https://studio.design/ja/whats-new/unauthorized-access-2026-10
• 公表日：2026年10月16日