Schooの情報漏洩｜フォーム延べ2,936件の範囲と学習者会員が対象外の理由 2026

2026年10月21日

＠SOHO編集部

この記事のポイント

✓Schooの情報漏洩について
✓2026年10月20日の株式会社Schooの発表をもとに整理しました
✓Studioへの不正アクセスで対象になったフォーム延べ2,936件（約2,600名）の範囲

オンライン学習サービス「Schoo」を運営する株式会社Schooは2026年10月20日、Webサイトの制作に使っていたStudio株式会社のサービス「Studio」のクラウド環境が不正アクセスを受け、同社グループのWebサイトのフォームに入力された情報が外部に漏えいした可能性があると発表しました。件数は延べ2,936件（対象のお客様は約2,600名）で、氏名とメールアドレスに加え、フォームによって勤務先・部署・役職・年齢・住所・電話番号などが含まれます。Schooで授業を受ける学習者会員の情報（ログイン情報・受講履歴等）は対象外で、対象の人がまずすることは、Schooからの個別のメールを確かめることと、Schooや取引先を装った業務連絡風のメールのリンクを開かないことです。

この記事では、2026年10月21日時点で公表されている内容を、株式会社SchooとStudio株式会社の公式発表だけをもとに整理します。どのフォームが対象で、何が漏れた可能性があり、何が含まれないのか、学習者会員はなぜ対象外なのか、勤務先や役職が知られたときに気を付けることは何か、問い合わせはどこにすればよいのかを順に説明します。

発表の要点（2026年10月21日時点）

株式会社Schooが2026年10月20日に公式サイトとPR TIMESで公表した「当社が利用する外部サービスへの不正アクセスによるお客様情報漏えいの可能性に関するお詫びとお知らせ」の要点は次のとおりです。

対象：Studio上で運用していた同社グループのWebサイトのフォーム（問い合わせ・資料請求・イベント参加申し込み等）から、2026年10月14日以前に情報を送信した人
件数：延べ2,936件（同一のお客様による複数回の送信を含む。対象のお客様は約2,600名）
全フォームに共通する項目：氏名、メールアドレス
フォームによって含まれる項目：勤務先、部署、役職、年齢、住所、電話番号、お問い合わせ内容、アンケートへの回答
含まれない情報：クレジットカード情報、銀行口座情報、パスワード（ただし、お問い合わせ内容の欄に本人が書いていた場合は対象）
学習者会員情報（ログイン情報・受講履歴等）はStudio上で管理しておらず、影響はない
同社のシステムへの不正アクセスは確認されていない
情報が実際に取得されたことは確認されていないが、取得されたものとみなして対応している
対象の人には、2026年10月20日から順次、登録されたメールアドレスあてに個別のメールで連絡
個人情報保護委員会へは速報を済ませ、詳しい報告（確報）に向けて対応中

件数の「延べ」は、同じ人が何度かフォームを送った場合も、その回数だけ数えているという意味です。実際の人数は約2,600名とされています。2026年10月21日時点で、同社の公式サイトのお知らせとPR TIMESの同社のページに、この件の続報は出ていません。

対象になったフォームはどれか

対象は、2026年10月14日以前に、Studio上で運用していた次のWebサイトのフォームから情報を送信した人です。発表に挙げられたサイトは6つあります。

サイト・事業	どんなサービスか（同社の公表資料による）
enpeer（Schoo for Business）	社員研修と自己啓発学習を両立する法人向けのサービス
Schoo Swing	大学など高等教育機関向けのDXプラットフォーム
リスキリング関連事業（公開型ゼミ等）	社会人の学び直し（リスキリング）に関する事業
人的資本の最大化を実現する全社学びのプラットフォームの事例オンラインセミナー	全社での学びの事例を紹介するオンラインセミナー
LoLLLキャリア	移住転職のサイト（2026年8月に福岡エリアのサイトを開設）
LoLLLビルド	地域企業向けの採用業務支援サービス

発表は対象を「当社グループのWebサイト」と書いており、Schooという名前の付いたサービスだけでなく、LoLLLキャリアやLoLLLビルドのようなグループのサービスも含まれています。

この顔ぶれを見ると、対象になった人の多くは、企業の人事や研修の担当者、大学の職員、Schooのサービスを検討していた法人の担当者、そして移住や転職を考えて求人サイトのフォームを使った人だと考えられます。つまり、仕事に関係する立場でフォームを送った人が中心です。勤務先や役職が項目に含まれるのは、法人向けの資料請求やセミナーの申し込みで、会社名や部署名を書く欄があったためと考えられます。

自分が対象かどうかを考えるときは、Schooの授業を受けたことがあるかではなく、上の6つのサイトのどれかで、資料請求・問い合わせ・セミナーやイベントの申し込みをしたことがあるかを振り返ってください。

学習者会員が対象外の理由

検索で最も多い疑問は、「Schooで授業を受けている自分の情報も漏れたのか」です。発表はこの点をはっきり書いています。

なお、当社各サービスでお預かりしている学習者会員情報（ログイン情報・受講履歴等）はStudio上では管理しておらず、本件の影響はございません。出典: corp.schoo.jp

理由は、情報を保管している場所の違いです。Studioは、プログラムを書かずにWebサイトを作れるサービスで、問い合わせフォームもその機能の1つです。Schooは、サービスの紹介サイトやイベントの申し込みページのような「表の看板」にあたるWebサイトをStudioで作り、そこにフォームを設けていました。一方で、学習者がログインして授業を見たり受講履歴が記録されたりする仕組みは、Studioとは別のSchoo自身のシステムで動いています。不正アクセスを受けたのはStudioのクラウド環境で、Schoo自身のシステムへの不正アクセスは確認されていないため、学習者会員の情報は影響を受けていない、という整理です。

ただし、同じ人が両方の立場を持っていることはあります。たとえば、個人でSchooの授業を受けている人が、勤め先の研修担当として「Schoo for Business」の資料請求をしていた場合、学習者会員の情報は対象外でも、資料請求のフォームに書いた情報は対象になりえます。ログイン情報が漏れていないからといって、何も注意しなくてよいわけではありません。

公表の経緯

株式会社Schooの発表と、Studio株式会社の発表を合わせて時系列に並べると、次のようになります。

日付	起きたこと・分かったこと
2026年9月30日から10月1日	第三者がStudioのクラウド環境に不正アクセス（Studio株式会社が確認できている期間）
2026年10月13日	Studio株式会社が社内の調査で不正アクセスを確認
2026年10月13日から14日	Studio株式会社が脆弱性を修正し、外部から情報を取得できる状態を解消
2026年10月16日	Studio株式会社が第一報を公表。同じ日にSchooがStudio株式会社から報告を受ける
2026年10月17日	Studio株式会社が、フォーム機能を使う顧客向けに個人情報保護委員会への報告についての案内を公表
2026年10月20日	Schooが延べ2,936件の漏えいの可能性を公表し、対象者への個別のメールを開始

Schooは、2026年10月16日にStudio株式会社から報告を受けてから4日後に公表しています。対象になるフォームの送信日が「2026年10月14日以前」とされているのは、Studio株式会社が10月14日までに脆弱性の修正と侵入経路の遮断を終えたためです。それより後に送られた情報は、対象に含まれません。

Studio株式会社は、対象となる顧客の範囲と件数、二次被害の有無、原因と再発防止策を、確認が取れ次第続報で知らせるとしています。Schooも、公表すべき事実が判明した場合は速やかに知らせるとしています。

漏れた可能性のある項目と、含まれない項目

発表に書かれた項目を、漏えいした可能性があるものと、含まれないと明記されたものに分けると次のとおりです。

区分	項目
全フォームに共通して漏えいの可能性がある項目	氏名、メールアドレス
フォームによって漏えいの可能性がある項目	勤務先、部署、役職、年齢、住所、電話番号、お問い合わせ内容、アンケートへの回答
含まれないと明記された項目	クレジットカード情報、銀行口座情報、パスワード
対象外とされた情報	学習者会員情報（ログイン情報・受講履歴等）

注意したいのは、クレジットカード情報などが含まれないとする記述に、条件が付いていることです。発表は、お問い合わせ内容の欄に本人がこれらの情報を書いていた場合は、その内容も対象になるとしています。問い合わせの本文に、契約の番号や電話番号、口座の情報などを書いた覚えがあれば、その分も知られた可能性があると考えておきます。

どの項目が対象になるかは、送ったフォームによって違います。資料請求のフォームなら会社名や部署名、電話番号を書いた人が多いでしょうし、セミナーの申し込みならアンケートに答えた人もいるはずです。Schooからの個別のメールに、自分が送ったフォームの名前が書かれていれば、そのフォームで何を書いたかを思い出しておくと、この後の対策が立てやすくなります。

住所が含まれていた人は、郵便物を使った詐欺にも気を付けます。住所が漏れたときに起こりうることと確かめておく点は、住所が漏れたときにすることで詳しく説明しています。

原因：Studioのクラウド環境への不正アクセス

原因は、Schoo自身ではなく、Webサイトの制作・運用に使っていた外部サービスの側にあります。発表によると、Studio株式会社から、同社サービスの一部機能の脆弱性を悪用した不正アクセスがあり、フォームの送信内容等が外部から取得できる状態にあったと報告を受けました。脆弱性とは、システムの中にある、攻撃者に悪用されうる弱点のことです。

Studio株式会社の第一報は、流出した可能性がある情報の中に、Studio上で管理されていたフォームの送信内容が含まれると説明しています。暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとされています。暗号化とは、鍵がないと読めない形にデータを変えておくことで、その鍵まで読まれたため守りが効かなかった、という意味です。

フォームに送信された内容のうち対象となるのは、Studioに保存されていた回答です。ゴミ箱に移した回答（「完全に削除」していないもの）、ライブプレビューでテスト送信した回答、ご利用のプランの上限を超えたためダッシュボードで表示できなかった回答も含まれます。出典: studio.design

Studio株式会社は、Studioに登録しているすべての顧客について、アカウントの情報やStudio上で管理されているデータが流出した可能性があるとしています。Schooだけの問題ではなく、Studioでサイトを作ってフォームを使っていた企業や団体の多くが同じ状況にあります。2026年10月20日には、東邦ガス株式会社も、新規事業で使っていたStudioのクラウドサービスの件で、個人情報の漏えいの可能性を公表しています。

Schooの対応

発表に書かれている同社の対応は、次のとおりです。

対象の人に、2026年10月20日から順次、登録されたメールアドレスあてに個別の電子メールで、お詫びと経緯、注意点を連絡している
個人情報保護委員会へ速報を済ませ、詳しい報告（確報）に向けた対応を進めている
Studio株式会社に、原因の究明、影響範囲の特定、再発防止策の報告を求めていく
グループ全体で、外部サービス上で扱う個人情報の棚卸しと、保存する情報を必要な分だけに絞る取り組みを行う
外部サービスを提供する事業者の選び方と管理の方法を見直す

発表は、お客様をはじめ関係者に深くお詫びするとしています。補償や金銭的な対応については、発表には書かれていません。パスワードは対象項目に含まれないため、パスワードの初期化のような手続きも案内されていません。

個人情報保護委員会への報告は、法律で義務になる場面が決まっています。個人情報保護委員会の漏えい等の対応のページには、本人の数が1,000人を超える漏えいのおそれがある場合や、不正アクセスのように不正な目的で行われたおそれがある場合などが挙げられています。速報とは、事態を知ってから速やかに出す最初の報告のことで、確報はその後に調査結果をまとめて出す報告のことです。

自分が対象かを確かめる方法

Schooは、対象の人に、フォームで登録されたメールアドレスあてに個別のメールを送るとしています。確かめ方は次の順番です。

フォームを送ったときに使ったメールアドレスの受信箱で、2026年10月20日以降に届いたSchooからのメールを探す
迷惑メールのフォルダも確かめる（会社のアドレスの場合、社内の迷惑メール対策で別の場所に振り分けられていることもある）
届いていたら、メールのリンクからではなく、Schooの公式サイトを自分で開き、2026年10月20日のお知らせと内容が合っているかを確かめる
心当たりがあるのに見当たらない場合は、後で説明する窓口に問い合わせる

会社のメールアドレスでセミナーや資料請求を申し込んだ人は、すでに退職していたり、部署を移っていたりして、そのアドレスを今は見られないことがあります。その場合は、元の勤め先の担当者に、Schooからそうした連絡が届いていないかを確かめてもらう方法もあります。

Schooで授業を受けているだけの学習者会員は、今回の対象外です。ただ、ニュースに便乗した偽のメールは、対象かどうかに関係なく届くことがあります。「Schooの情報漏えいの件で、会員情報の再登録をお願いします」といったメールが届いても、それは発表の内容と合いません。学習者会員の情報は影響がないとされているからです。

対象の人がすること

漏えいの可能性がある項目は、フォームによって違いますが、氏名とメールアドレスは全員に共通です。勤務先や役職を書いた人もいます。この組み合わせで起こりうる被害と対策を整理します。

業務連絡を装ったメールに注意する

Schooの発表は、勤務先や役職が含まれる場合があることを理由に、次のような注意を呼びかけています。

対象の情報には勤務先や役職が含まれる場合があるため、当社・当社子会社・Studio社またはお客様の取引先を装い、業務連絡を装ったメールや電話（フィッシング詐欺等）が行われるおそれがあります。心当たりのない連絡に記載されたリンクや添付ファイルは開かないようご注意ください。出典: prtimes.jp

フィッシングとは、本物そっくりのメールや電話で偽のサイトに誘導し、パスワードやカード番号を入力させてだまし取る手口のことです。勤務先と役職が分かっていると、「人事部〇〇様　先日の研修のご相談の件でお見積もりをお送りします」のように、実際のやり取りの続きのような文面を作れます。

特に疑ってかかりたいのは、次のようなメールです。

Schoo、LoLLL、Studioを名乗り、添付ファイルを開かせたり、リンク先でログインさせたりするメール
研修やセミナーの「請求書」「見積書」「契約書の確認」を名乗る、心当たりの薄い添付ファイル
取引先を名乗り、振込先の変更や急ぎの支払いを依頼するメール
「アカウントの安全確認のため」と、社内システムや会社のメールのIDとパスワードを入力させるページへのリンク

Schooは、メールや電話でパスワードやクレジットカード番号等を尋ねることはないと明言しています。Schooを名乗る連絡でこれらを聞かれたら、それだけで偽物と判断できます。

電話にも注意する

電話番号を書いたフォームを送った人は、電話にも注意が要ります。Schooの研修担当やセミナーの事務局を名乗り、「申し込みの確認のため」と個人の情報や社内の情報を聞き出そうとする電話がありえます。その場では答えず、いったん切ってから、公式サイトに載っている連絡先に自分でかけ直して確かめます。

パスワードとカードについて

パスワードとクレジットカード情報、銀行口座情報は、発表で含まれないとされています。今回の件だけを理由に、急いでパスワードを変えたりカードを止めたりする必要はありません。ただし、お問い合わせ内容の欄にこれらを書いていた場合は別です。カード番号を書いた覚えがあればカード会社に相談し、パスワードを書いた覚えがあれば、そのパスワードを使っているすべてのサービスで変更します。

偽メールのリンクを開いてパスワードを入力してしまったときも、同じパスワードを使うすべてのサービスで、すぐに変更します。メールのアカウントには二段階認証を設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどもう1つの確認を求める仕組みのことです。

今回の件をきっかけに、自分のメールアドレスがほかの漏えいに含まれていないかを確かめておくのも有効です。調べる手順は、Have I Been Pwnedの使い方で説明しています。

会社の担当者として対象になった人へ

法人向けのサービスやセミナーのフォームを、会社の担当者として送った人は、自分だけの問題として片付けないほうが安全です。会社名、部署、役職、仕事のメールアドレスがそろうと、その会社の別の社員をねらう攻撃にも使われかねないためです。

担当者として対象になった人は、次のことをしておきます。

Schooから届いた個別のメールを、社内の情報システムの担当者や上司に共有する
部署内の同僚に、研修やセミナーの事務局を装ったメールに注意するよう伝える
振込先の変更や支払いの依頼がメールだけで届いたときは、相手に電話で確かめる決まりを、部署内で改めて確認する
会社のメールやクラウドのアカウントに二段階認証が設定されているかを確かめる

社員がだまされないための訓練の方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで紹介しています。会社のアカウントを守る認証の方法を比べたいときは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が参考になります。

LoLLLキャリアのような求人サイトのフォームを送った人は、立場が少し違います。転職や移住を考えていることを、今の勤め先にまだ伝えていない人もいるはずです。今の勤め先の名前と、転職を考えているという事実が組み合わさると、それを材料にした偽の連絡がありえます。「今の会社に知られたくなければ」と迫るような連絡が来ても、応じずに、相談先として警察や消費生活センターを使ってください。

社内や取引先に伝えるときの文面の例

対象になったことを社内や取引先に伝えるときは、事実だけを短く書くと、受け取った側がすぐに動けます。発表に書かれていないことを推測で書き加えないのがこつです。たとえば、部署内に共有する場合は次のような文面が使えます。

件名：Schooのフォームの情報漏えいの可能性について（共有）
本文：株式会社Schooが2026年10月20日に、Webサイト制作サービス「Studio」への不正アクセスにより、同社グループのWebサイトのフォームに入力された情報が漏えいした可能性があると発表しました。〇〇が以前、同社の〇〇のフォームから申し込みをしており、本日、対象である旨のメールを受け取りました。漏えいの可能性があるのは、氏名、会社のメールアドレス、会社名、部署、役職です。パスワードやカード情報は含まれないとされています。研修やセミナーの事務局、取引先を装ったメールが届くおそれがあるため、心当たりのない添付ファイルやリンクは開かず、気になるものは情報システムの担当に転送してください。

この例の「〇〇」には、申し込んだ人の名前と、送ったフォームの名前を入れます。漏えいの可能性がある項目は、自分が実際にフォームに書いた項目に合わせて書き換えます。取引先に伝える場合も、同じように「いつ、どの会社が何を発表したか」「自分がどう関係しているか」「相手に気を付けてほしいこと」の3つを書けば十分です。補償の有無や、相手の会社の情報が使われたかどうかのように、発表で分かっていないことは「現時点では発表されていない」と書いておきます。

あわせて、Schooの発表のURLを添えておくと、受け取った側が自分で中身を確かめられます。転送されたメールに書かれたリンクを開くのではなく、公式サイトを自分で開いて確かめるよう一言添えておくと、偽メールとの取り違えも防げます。

問い合わせ窓口

Schooの発表に書かれた問い合わせ先は、次のとおりです。いずれもメールアドレスで、電話の窓口と受付時間は発表には書かれていません。

enpeer（Schoo for Business）を利用している法人のお客様：[email protected]
株主・投資家：[email protected]
上記以外のお客様：[email protected]

問い合わせるときは、2026年10月20日に発表されたStudioへの不正アクセスの件であることと、送った覚えのあるフォームの名前（たとえば「LoLLLキャリアの問い合わせ」「セミナーの申し込み」）、使ったメールアドレスを書いておくと、話が早く進みます。

Studioというサービス自体についての質問は、Studio株式会社が窓口を設けています。Schooの発表も、参考としてStudio株式会社の公表ページを案内しています。Studioのアカウントを持っていない人は、同社の「不正アクセスに関するお問い合わせ窓口」のフォームから問い合わせます。同社によると、受付は24時間で、回答は平日の10時から18時に順に行うとされています。

偽メールに何かを入力してしまい、お金の被害が出たときは、最寄りの警察署に相談します。警察庁のフィッシング対策のページには、被害に遭ったときの相談先がまとめられています。

在宅で仕事をする人が気をつけること

Schooのようなオンライン学習のサービスは、在宅で働く人や、これから在宅の仕事を始めたい人が、スキルを身に付けるために使うことが多いサービスです。今回、学習者会員の情報は対象外とされています。それでも、学びのサービスを仕事でも使っている人には、気を付けたいことがあります。

1つ目は、仕事用と個人用のメールアドレスの使い分けです。セミナーや資料請求のフォームに、取引先から割り当てられたメールアドレスや、取引先の社名を書いて申し込むことがあります。その場合、漏えいの可能性があるのは自分の情報だけでなく、取引先の名前も含まれます。取引先の情報を預かる立場として、心当たりがあれば、取引先の担当者に事実を伝えておくのが安全です。

2つ目は、自分が取引先のフォームを作ったり運用したりしている場合です。在宅でWebサイトの制作や運用を請け負っている人の中には、取引先のサイトをStudioで作り、フォームの回答を自分も見られる人がいます。Studio株式会社は、フォーム機能の利用者に向けた2026年10月17日の案内で、フォームでサイトの利用者の個人情報を集めている場合、利用者自身が個人情報保護委員会への報告やサイトの利用者への通知を行う必要がある場合があると説明しています。2026年10月20日の続報では、利用者が個別に報告するか、Studio株式会社が取りまとめて連名で報告するかを選べるようになったとしています。

個人データの扱いを任された側（委託先）が事故を知ったときの連絡について、個人情報保護委員会のガイドラインは目安を示しています。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。出典: ppc.go.jp

誰が国に報告し、誰が本人に知らせるかは、契約の内容や、Studioのアカウントの持ち主が誰かで変わります。自分だけで判断せず、Studio株式会社の発表のURLを添えて取引先に連絡し、次の動きを一緒に決めます。判断に迷うときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、受付は平日の9時30分から17時30分）で、法律やガイドラインの内容について質問できます。

3つ目は、フォームに書く情報を必要な分だけにすることです。Schooが今後の対応として「保存する情報の最小化」を挙げているのと同じ考え方は、フォームを送る側にも当てはまります。資料請求のフォームで、任意の欄まで全部埋める必要はありません。問い合わせの本文に、契約の番号や口座の情報、パスワードのような情報を書かないことも、今回の発表の「お問い合わせ内容の欄に書いた場合は対象」という条件から学べることです。

運営者の視点：学ぶ場と仕事の場で情報を分ける

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの運営で見てきた限りでは、長く仕事が続く人ほど、学びのための登録と、取引先とのやり取りを分けて管理しています。セミナーや資料請求には個人の学習用のアドレスを使い、取引先から預かったアドレスや社名は、その取引先の仕事にしか使いません。分けておけば、今回のように外部のサービスで事故が起きても、どの取引先に知らせればよいかがすぐに分かります。直接取引には中間のマージンが乗らない分、受け手の手取りが厚くなる一方で、情報の扱いの丁寧さがそのまま取引先からの信用になります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や社内ルールづくりを支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で、企業の業務にAIを取り入れる支援の仕事はAIコンサル・業務活用支援のお仕事で紹介しています。ネットワークの基礎を体系立てて学びたい人には、CCNA（シスコ技術者認定）が、取引先への報告文を正確に書く力を示したい人にはビジネス文書検定が参考になります。

よくある質問

Q. Schooで授業を受けている学習者会員の情報は漏れましたか？

株式会社Schooの2026年10月20日の発表では、学習者会員情報（ログイン情報・受講履歴等）はStudio上で管理しておらず、今回の件の影響はないとされています。対象は、同社グループのWebサイトのフォームから2026年10月14日以前に情報を送った人です。同社のシステムへの不正アクセスも確認されていません。

Q. 漏えいの可能性があるのはどんな情報ですか？

全フォームに共通するのは氏名とメールアドレスです。フォームによって、勤務先、部署、役職、年齢、住所、電話番号、お問い合わせ内容、アンケートへの回答が含まれます。件数は延べ2,936件で、対象のお客様は約2,600名です。クレジットカード情報、銀行口座情報、パスワードは含まれないとされています。

Q. 自分が対象かどうかは、どうすれば分かりますか？

Schooは、対象の人に、フォームで登録されたメールアドレスあてに2026年10月20日から順次、個別のメールで連絡しています。迷惑メールのフォルダも確かめてください。心当たりがあるのに見当たらない場合は、法人のenpeer利用者は[email protected]、それ以外の人は[email protected]に問い合わせます。