LUUPの情報漏洩｜フォーム送信2万1,368件と問い合わせた人がすること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓電動キックボードのシェアサービスLUUPを運営する株式会社Luupが2026年10月16日に公表した情報流出の可能性について
✓対象の4つのフォームと期間
✓2万1,368件の中身

電動キックボードと電動アシスト自転車のシェアサービス「LUUP」を運営する株式会社Luupは、2026年10月16日、同社のWebサイトのフォームから送信された合計21,368件（同じ人による複数回の送信を含む）の氏名、メールアドレス、電話番号、住所、会社名・部署名などが外部に流出した可能性があると発表しました。原因は、フォームの運用に使っていたWebサイト制作サービス「Studio」への不正アクセスで、LUUPアプリに登録した情報は別のシステムで管理しているため対象ではありません。過去にLUUPのWebサイトでポート設置のリクエストや問い合わせを送った人がまずすることは、LUUPや関係する会社を名乗るメールや電話に、その場で個人情報やパスワード、カード番号を答えないことです。

この記事では、2026年10月20日時点で株式会社Luupの公式サイトに掲載されているお知らせをもとに、どのフォームに、いつ送った人が対象なのか、何が流出した可能性があるのか、そして対象かもしれない人が何をすればよいのかを順に説明します。LUUPのアプリを使っているだけの人と、Webサイトのフォームを使ったことがある人とで、気にするべきことが違う点も整理します。

LUUPの情報漏洩で何が起きたか（2026年10月20日時点）

LUUPは、街なかの「ポート」と呼ばれる貸し出し場所で、電動キックボードや電動アシスト自転車を借りて返せるシェアサービスです。利用者はスマートフォンのLUUPアプリから会員登録をして乗ります。一方、Webサイトには、ポートの設置を希望する人や、サービスについて質問したい人のためのフォームが用意されていました。

今回、流出した可能性があるのは、このWebサイトのフォームに送信された情報です。株式会社Luupは、Webサイトの制作に外部のサービス「Studio」を使っていました。Studioを提供するStudio株式会社から、同社のシステムが第三者の不正アクセスを受け、LUUPのWebサイトのフォームから送信された個人情報が外部に流出した可能性があるとの連絡を受け、公表に至りました。

ここで大事なのは、LUUPアプリの会員情報は対象ではないという点です。公式のお知らせには、LUUPアプリで登録した情報はStudioとは別のシステムで管理しており、本件の対象ではないと明記されています。アプリで乗るだけで、Webサイトのフォームを使ったことがない人は、今回の件で個人情報が流出した可能性はないと読めます。

また、現時点で第三者による実際の取得は確認されていません。二次被害の有無はStudio株式会社が調査中とされています。二次被害とは、流出した情報を使った詐欺やなりすましなど、元の流出とは別に起きる被害のことです。

公表の経緯と、Studio側の発表との関係

株式会社Luupの公表は、2026年10月16日の1本です。2026年10月20日時点で、同社のお知らせの一覧に続報は掲載されていません。今回の件は、Studio株式会社の発表と組み合わせて読むと流れが分かりやすくなります。

日付	出来事・発表	発表した会社
2026年9月30日〜10月1日	Studioの一部機能の脆弱性を悪用した不正アクセス（現時点で確認されている期間）	Studio株式会社
2026年10月14日	Studio株式会社が対処し、クラウド環境のデータが外部から取得できる状態を解消	Studio株式会社
2026年10月16日	Studioへの不正アクセスと情報流出の可能性を公表（第一報）	Studio株式会社
2026年10月16日	LUUPのWebサイトのフォームに送信された情報が流出した可能性を公表	株式会社Luup

株式会社Luupのお知らせは、経緯と原因について次のように書いています。

Studioの一部機能の脆弱性を悪用した不正アクセスが2026年9月30日～10月1日（現時点で確認されている期間）に発生し、10月14日にStudio株式会社が対処するまで、同社のクラウド環境内のデータが外部から取得できる状態であったとの報告を受けております。現時点で、第三者による実際の取得は確認されておらず、二次被害の有無については同社が調査中です。出典: luup.sc

Studio株式会社の側は、件数や二次被害の有無、原因の調査結果と再発防止策を、確認が取れ次第続報で知らせるとしています。Studio側の続報が出たあとに、株式会社Luupからも追加の発表が出る可能性があります。Studio側の発表はStudio株式会社のお知らせで読めます。

対象になる4つのフォームと送信の期間

流出した可能性があるのは、LUUPのWebサイトにあった次の4つのフォームから、それぞれの期間に送信された情報です。合計は21,368件で、同じ人が複数回送信した分も含まれています。人数ではなく、送信の回数で数えた件数です。

フォーム	対象の送信期間
ポート設置リクエストフォーム	2022年5月〜2024年5月
Unimoに関するお問い合わせフォーム	2025年8月〜2025年12月
改正道路交通法に関するご質問フォーム	2023年3月〜2025年10月
ポート設置に関するご相談をお受けしていたフォーム	2022年2月〜2022年5月

この表から、どんな人が対象になりやすいかが見えてきます。

ポート設置のリクエストと相談のフォームは、空いている土地や建物の一部にLUUPのポートを置いてほしいと考えた人が使うものです。マンションやビルのオーナー、店舗の経営者、不動産会社や管理会社の担当者などが送っていたと考えられます。会社名や部署名を入力していた人が多いはずです。

改正道路交通法に関するご質問フォームは、電動キックボードの交通ルールが変わった時期に、一般の利用者や、乗ろうか迷っている人が質問を送るために使われていたと考えられます。期間が2023年3月から2025年10月までと長いので、対象になる人の幅も広くなります。

なお、現在受け付けているポート設置リクエストフォーム、Unimoに関するお問い合わせフォーム、ポート設置に関するご相談のフォームは、Studio以外のシステムで運用しており、対象ではないと発表されています。表の期間より後に同じ種類のフォームから送った人は、対象から外れると読めます。

流出した可能性のある項目と、対象ではないもの

項目と対象外のものを、公式の発表に沿って分けます。

区分	項目
流出した可能性がある	氏名
流出した可能性がある	連絡先（メールアドレス・電話番号）
流出した可能性がある	住所
流出した可能性がある	会社名・部署名など
流出した可能性がある	自由記述欄に書いた内容（書いた内容によっては上記以外の情報を含む）
対象ではない	LUUPアプリで登録した情報
対象ではない	現在受け付けている3つのフォームから送った情報（Studio以外のシステムで運用）

送信された項目はフォームによって異なると書き添えられています。たとえば、交通ルールの質問フォームでは住所や会社名を入力していないかもしれません。自分がどのフォームに何を入力したかによって、流出した可能性がある項目も変わります。

クレジットカード番号やパスワードは、項目に挙がっていません。Webサイトのフォームは問い合わせや相談を受け付けるためのもので、決済やログインには使われていなかったと考えられます。ただし、自由記述欄に自分で書き込んだ内容は対象になり得ます。質問の中で、ほかのサービスのIDや自分の状況を詳しく書いていた場合は、その内容も含まれる可能性があります。

数年前の送信まで対象になった理由

対象の期間を見ると、2022年2月からの送信が含まれています。4年近く前に送ったフォームの内容まで流出の対象になったのは、送信された回答がStudioに保存されたまま残っていたためです。

Studio株式会社の案内によると、Studioのフォームに送信された回答はStudioのダッシュボードに保存されます。今回の対象には、ダッシュボードに届いた回答だけでなく、ゴミ箱に移しただけで「完全に削除」していない回答や、プランの上限を超えたためダッシュボードで表示できなかった回答も含まれます。反対に、2026年9月30日より前に「完全に削除」した回答と、「フォームの結果をStudioに保存」を無効にしていた間に送信された回答は含まれません。

つまり、フォームを運用していた会社が、受け付けた回答を別の仕組みに移したあとも、Studioの側に元の回答が残っていれば対象になります。株式会社Luupの4つのフォームのうち3つは、現在Studio以外のシステムで運用されていると発表されていますが、移行する前にStudioで受け付けていた分の回答が、今回の対象になったと読めます。

送る側の人にとっては、問い合わせが終わったあとも、送った内容がしばらく残り続けることがある、ということです。どのくらいの期間残すかは、それぞれの会社のプライバシーポリシーで決められています。

原因：外部の制作サービスStudioへの不正アクセス

原因は、株式会社Luupのシステムではなく、Webサイトの制作に使っていた外部サービスStudioへの不正アクセスです。Studio株式会社の発表によると、第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていました。脆弱性とは、プログラムの作りに残っていた弱点のことです。

Studioでは、サイトのフォームに送信された内容がStudioのダッシュボードに保存されます。その送信内容は暗号化して保存されていましたが、復号に必要な鍵も同じ不正アクセスで読み出されたため、内容を知られた可能性があるとStudio株式会社は説明しています。暗号化は、鍵があれば元に戻せる守り方です。鍵が一緒に取られたため、守りにならなかったということです。

同じStudioのフォームを使っていた他の企業も、同じ日に公表を始めています。たとえばラクスル株式会社は、サービス案内用のサイトのフォームに入力された6,412件が漏えいした可能性があると発表しました。今回の件は、1つの会社の問題ではなく、同じ制作サービスを使っていた多くの企業や団体に広がっている事案です。

2026年10月20日時点で分かっていないこと

公式の発表で分かっていることと同じくらい、まだ分かっていないことを押さえておくと、続報を読むときに役立ちます。2026年10月20日時点で、株式会社LuupとStudio株式会社の発表から読み取れる「まだ分かっていないこと」は次のとおりです。

対象となる人数。21,368件は送信の件数で、同じ人の複数回の送信を含むため、人数は公表されていない
第三者が実際にデータを取得したかどうか。両社とも、実際の取得は確認されていないとしている
二次被害の有無。Studio株式会社が調査中としている
不正アクセスに使われた脆弱性の詳しい内容と、再発防止策。Studio株式会社が外部の専門機関に調査を依頼する方向で調整している
対象となる人への案内がすべて終わったかどうか

これらは、今後の続報で明らかになる可能性があります。続報は、株式会社Luupのお知らせの一覧と、Studio株式会社のお知らせのページで確かめられます。ニュースサイトやSNSの投稿よりも、まず両社の公式のページを見るのが確実です。

株式会社Luupの対応

公式のお知らせに書かれている対応は次のとおりです。発表に書かれていない補償などは、この記事では取り上げません。

Studio株式会社が公表した情報に基づき、Studio上で受け付けていたフォームをすべて停止した
関連する調査と必要な対応を実施した
対象となる人への案内を進めている
関係機関への必要な報告や、警察への相談などを行うとしている
外部サービスを使った個人情報の取得の方法を見直し、再発防止に努めるとしている

対象となる人への案内は「進めるとともに」と書かれています。2026年10月20日時点で、全員への連絡が終わったかどうかは発表されていません。フォームに送ったメールアドレスに、株式会社Luupから案内のメールが届く可能性があります。

自分が対象かを確かめる方法

対象かどうかは、次の3つの点から確かめられます。

1つ目は、自分がLUUPのWebサイトのフォームを使ったことがあるかどうかです。アプリでの会員登録や乗車だけなら対象ではありません。フォームを使ったことがあるなら、どのフォームを、いつ使ったかを思い出します。前の表の4つのフォームと期間に当てはまれば、対象の可能性があります。

2つ目は、送信したときの記録を探すことです。フォームを送ると、受付の確認メールが届く場合があります。メールの受信箱で「LUUP」「Luup」「ポート設置」「お問い合わせ」などの語で検索してみてください。会社のメールアドレスで送った人は、会社の受信箱も探します。確認メールの日付が対象の期間に入っていれば、対象の可能性が高くなります。

3つ目は、株式会社Luupからの案内を確かめることです。同社は対象となる人への案内を進めるとしています。フォームに入力したメールアドレスに届くはずなので、迷惑メールのフォルダも含めて確かめます。

それでも分からないときは、後の「問い合わせ窓口」の節に載せた窓口に問い合わせます。問い合わせのときに伝える情報は、フォームに使ったメールアドレスや、送った時期のおおよその目安など、照合に必要な範囲にとどめます。

問い合わせた人がすること

流出した可能性がある項目は、氏名、連絡先、住所、会社名などです。カード番号やパスワードは含まれていません。このため、備えるべきなのは、これらの情報を使って本物らしく作られた連絡です。株式会社Luupは、本件に便乗した不審なメールや電話に注意するよう呼びかけ、同社からパスワードやクレジットカード番号などを尋ねることはないとしています。

考えられる連絡の形を、送ったフォームごとに挙げます。

ポート設置のリクエストや相談を送った人：ポートの設置の契約や手数料の話を装い、振り込みを求める連絡。会社名と部署名を使った、取引の話らしく見えるメール
交通ルールの質問を送った人：反則金や講習の案内を装い、支払いを求めるSMSやメール
どのフォームでも：お詫びの品の送付先の確認を装い、住所やカード番号を入力させるSMS

名前や会社名が正しく書かれていても、それだけで本物と判断しないことが大切です。少しでもおかしいと感じたら、メールやSMSのリンクを開かず、自分で調べた公式の窓口に確かめます。

パスワードは今回の項目に入っていませんが、ほかの漏えいに備える意味で、同じパスワードを複数のサービスで使い回していないかを見直しておくと安心です。使い回しがあると、どこか1つのサービスから漏れただけで、ほかのサービスにも入られてしまいます。メールやクラウドストレージなど、入られると被害が大きいサービスには二段階認証を設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどを入力しないとログインできない仕組みです。仕組みの違いはMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で説明しています。

住所を送っていた人は、心当たりのない郵便物で振り込みを求められても応じないでください。住所が漏れたときに起きることと備え方は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で詳しく扱っています。自分のメールアドレスがほかの漏えいにも含まれていないかを調べる方法は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。

偽の連絡の例と、確かめるポイント

便乗した偽の連絡は、本物らしく見えるように作られます。よくある形を、架空の例で示します。

「【LUUP】ポート設置のお申し込みについて　〇〇様　以前お寄せいただいたポート設置のリクエストの件で、設置の審査が完了しました。契約手続きのため、下記のURLから本人確認と口座の登録をお願いします。」

この例には、本物の連絡と見分けるための手がかりがいくつもあります。

送信元のアドレスのドメインが、公式サイトのものと一致しているか
リンク先のアドレスが、公式サイトのものと一致しているか。似た文字を混ぜた別のドメインになっていないか
口座、カード番号、パスワード、本人確認書類の画像など、問い合わせの返事には本来必要のない情報を求めていないか
「本日中」「24時間以内」など、急がせる言葉で考える時間を奪おうとしていないか

1つでも当てはまれば、そのメールのリンクは開かず、自分で公式サイトを開いて確かめます。名前や送ったフォームの種類が正しく書かれていても、それは流出した情報から作られた可能性があるため、本物である証拠にはなりません。偽のメールを見分ける練習の方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果で紹介しています。

LUUPアプリの利用者が念のため見直すこと

LUUPアプリの登録情報は今回の対象ではありません。それでも、LUUPという名前がニュースに出たことで、アプリの利用者を狙った偽の連絡が送られる可能性はあります。流出した情報を使わなくても、「LUUPの情報漏洩の件で」と書くだけで、利用者の不安につけ込めるからです。

アプリの利用者が気をつけたいのは、アカウントやお金に関わる案内を、メールやSMSのリンクからではなく、アプリを直接開いて確かめることです。「利用料金の未払いがあります」「アカウントが停止されました」といった連絡が来ても、まずアプリを開き、同じ案内が表示されているかを見ます。アプリの中に何の表示もなければ、その連絡は偽物の可能性が高いと考えられます。

アプリに登録しているクレジットカードの利用明細も、日頃から確かめておくと安心です。今回の件とは関係なく、身に覚えのない請求に早く気づくための基本の習慣です。

不審な連絡が来たときの対応の手順

実際に怪しい連絡を受けたときの動き方を、順番に書きます。

その場で答えない。電話なら「こちらから掛け直します」と伝えて切る。メールやSMSならリンクも添付ファイルも開かない
連絡に書かれた番号やリンクではなく、自分で検索して開いた公式サイトの窓口を使う
公式の窓口に、その連絡が本物かどうかを確かめる
偽の画面にパスワードを入力してしまったら、すぐにそのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える
カード番号や口座番号を伝えてしまったら、すぐにカード会社や銀行に連絡し、利用の停止や再発行を相談する
お金を払ってしまった、脅すような連絡が続くといったときは、警察や消費生活センターに相談する

消費生活センターには、全国共通の電話番号「188」（消費者ホットライン）でつながります。近くの相談窓口を案内してもらえる番号で、詳しくは消費者庁の消費者ホットラインのページに載っています。

受け取った怪しいメールやSMS、着信の日時、相手が名乗った名前は消さずに残しておきます。相談するときに状況を正確に伝えられ、同じ相手から別の連絡が来たときにも見分けがつきます。

LUUP以外の会社にも問い合わせたことがある人へ

Studioへの不正アクセスは、Studioの登録者すべてが影響を受けた可能性があると、Studio株式会社が発表しています。Studioでサイトを作り、そのフォームで問い合わせや資料請求を受け付けていた会社や団体は、LUUPだけではありません。2026年10月20日時点で、Studio株式会社は対象の件数を公表しておらず、精査のうえ続報で知らせるとしています。

このため、ほかの会社のサイトから問い合わせや申し込みを送ったことがある人も、その会社から同じような公表や案内が出る可能性があります。送った先のサイトがStudioで作られていたかどうかは、送る側からは分かりにくいものです。Studio株式会社は、フォームから情報を送信した人には、送信先のサイトの運営者から案内がある場合があるとしています。

心当たりがある人は、次のように確かめます。

過去に問い合わせや資料請求、セミナーの申し込みを送った会社を、受信箱の受付確認メールから洗い出す
その会社の公式サイトのお知らせで、Studioへの不正アクセスに関する公表が出ていないかを見る
その会社から案内のメールが届いていないかを、迷惑メールのフォルダも含めて確かめる

すべての会社を一度に調べる必要はありません。住所や電話番号、相談の内容など、知られると困る情報を送った会社から順に確かめれば十分です。

問い合わせ窓口

株式会社Luupの公式のお知らせに載っている窓口は次のとおりです。

窓口	連絡先	受付時間
お問い合わせフォーム	公式のお知らせのページに掲載されたLUUPのサポートサイトのフォーム	24時間受付
電話	0800-080-4333	7:00〜22:00 年中無休

フォームのアドレスは、株式会社Luupのお知らせの「お問い合わせ窓口」に載っています。メールやSMSに書かれたリンクからではなく、このお知らせのページを自分で開いて、そこからフォームに進むと安全です。電話番号も、お知らせのページに載っている番号と一致しているかを確かめてから掛けてください。

問い合わせのときは、本件について確かめたいことを短く伝えます。パスワードやカード番号を伝える必要はありません。株式会社Luupは、パスワードやクレジットカード番号を尋ねることはないとしています。

問い合わせの前に整理しておくこと

窓口に問い合わせるときは、事前に次の点を整理しておくと、やりとりが短く済みます。

フォームに使ったメールアドレス（会社のアドレスか個人のアドレスか）
送ったフォームの種類（ポート設置のリクエスト、相談、交通ルールの質問、Unimoの問い合わせのどれか）
送った時期のおおよその目安
確かめたいこと（自分が対象か、どの項目が含まれるか、案内のメールは届く予定か）

電話の窓口は7:00から22:00まで年中無休で受け付けています。発表の直後は問い合わせが集中しやすいので、急ぎでなければフォームから送り、返事を待つのも1つの方法です。

問い合わせの中で、パスワードやカード番号、本人確認書類の画像を求められることはありません。もし求められたら、その相手は本物の窓口ではない可能性があります。自分で開いた公式のお知らせのページに載っている番号やフォームを使っていれば、偽の窓口につながる心配はほとんどありません。

会社の立場でフォームを送った人が気をつけること

ポート設置のリクエストや相談のフォームは、個人としてではなく、会社や事業の担当者として送った人も多いはずです。会社名と部署名を入力していた場合、流出した可能性があるのは、自分の名前と、会社の連絡先の組み合わせです。

この場合、勤め先の情報管理の担当者に事実を伝えておくと、会社として不審なメールへの注意を呼びかけやすくなります。たとえば「ポート設置の件で」と称するメールが社内の別の人に届いたとき、事情を知っていれば偽物だと気づきやすくなります。

在宅で事業を営んでいる人や、個人で不動産を管理している人が自分の名前で送った場合も、考え方は同じです。取引先や家族と連絡先を共有している場合は、LUUPや関係会社を名乗る連絡が来るかもしれないことを伝えておきます。

報告や本人への通知の義務を負うのは、情報を管理していた株式会社Luupの側です。個人情報保護委員会のページによると、不正の目的をもって行われたおそれがある行為による漏えいや、本人の数が1,000人を超える漏えいなどは、会社が委員会に報告することが義務付けられています。不正アクセスによる漏えいは、前者の例として挙げられています。詳しくは個人情報保護委員会の「漏えい等の対応とお役立ち資料」に載っています。フォームを送った側が、自分で委員会に何かを届け出る必要はありません。

在宅で仕事をする人が、問い合わせフォームを使うときの心得

今回の件は、問い合わせフォームに入力した情報が、送った先の会社だけでなく、その会社が使っている外部のサービスにも保存されているという事実を示しました。フォームを送る側からは、その会社がどんな仕組みでフォームを運用しているかは見えません。

在宅で仕事をしている人は、取引先を探したり、サービスについて質問したりするために、さまざまな会社のフォームを使います。そのときに意識しておきたいのは、次の点です。

自由記述欄には、質問に必要なことだけを書く。取引先の名前や、ほかのサービスのIDを書き込まない
問い合わせ用のメールアドレスを分ける。仕事の連絡用とは別にしておくと、偽の連絡が仕事のやりとりに紛れにくい
フォームを送った記録（受付の確認メール）を残しておく。何かあったとき、いつどこに何を送ったかを確かめられる

フリーランスと在宅ワークの仲介を2004年から続けてきた@SOHOの運営の中で見てきた限りでは、仕事の連絡を長く安定して続けている人ほど、どこに何を送ったかを自分で把握しています。問い合わせの記録を残し、仕事用と私用のアドレスを分けておく。こうした地道な習慣が、漏えいが起きたときの影響を小さくし、取引先からの信頼にもつながります。

情報セキュリティの対策を支える側の仕事に関心がある人は、AI・マーケティング・セキュリティのお仕事で仕事の内容を紹介しています。取引先への報告文や社内向けの手順書を書く力を形にしたい人には、ビジネス文書検定が参考になります。ネットワークの基礎から学びたい人には、シスコ社の技術者認定であるCCNA（シスコ技術者認定）があります。

よくある質問

Q. LUUPのアプリを使っているだけでも対象になりますか？

株式会社Luupの発表では、LUUPアプリで登録した情報はStudioとは別のシステムで管理しており、本件の対象ではないとされています。対象はWebサイトの4つのフォームから決まった期間に送信された情報です。アプリで乗るだけで、Webサイトのフォームを使ったことがない人は、今回の件の対象ではないと読めます。

Q. 21,368件は人数ですか？

人数ではなく、フォームの送信件数です。公式の発表では、合計21,368件に同じ人による複数回の送信を含むとしています。同じ人が何度も問い合わせていれば複数件として数えられるため、対象となる人の数はこれより少ない可能性があります。人数は2026年10月20日時点で公表されていません。

Q. クレジットカードを止める必要はありますか？

流出した可能性がある項目は、氏名、連絡先、住所、会社名・部署名などで、クレジットカード番号は挙がっていません。この件だけを理由にカードを止める必要は薄いと考えられます。ただし、お詫びや確認を装ってカード番号の入力を求める連絡には応じないでください。株式会社Luupはカード番号を尋ねることはないとしています。