Studioの不正アクセス｜フォームを使う企業への広がりとパスワードの変え方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓Webサイト制作サービスStudioの不正アクセスについて
✓2026年10月16日の第一報と17日・18日の更新をもとに
✓流出した可能性のある情報

ノーコードのWebサイト制作サービス「Studio」を運営するStudio株式会社は、2026年10月16日、同社が利用するクラウド環境への不正アクセスにより、Studioに登録しているすべての利用者のアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、サイトのフォームに送信された内容、外部サービスのAPIキーなどが外部に流出した可能性があると発表しました。対象の件数は2026年10月20日時点で「精査のうえ続報でお知らせ」とされ、まだ公表されていません。Studioのフォームを使っていたLUUPやラクスルなどの企業も、問い合わせフォームの送信内容が流出した可能性を個別に公表しています。 Studioの利用者がまずすることは、Studioのパスワードの変更と、同じパスワードを使っている他のサービスの変更です。Studioで作られたサイトのフォームに送信した人は、そのサイトの運営者からの案内を確かめ、便乗した偽の連絡に注意します。

この記事では、Studio株式会社の公式のお知らせと、同社が設けた案内のページ（2026年10月18日 20時30分更新）の内容をもとに、何が流出した可能性があるのか、利用者が機能ごとに何をすればよいのか、そしてStudioでサイトを作っている企業やフリーランスがどう動けばよいのかを順に説明します。

Studioの不正アクセスの概要（2026年10月20日時点）

Studioは、コードを書かずにWebサイトをデザインして公開できるサービスです。企業のコーポレートサイト、採用サイト、サービスの案内ページなどに広く使われています。サイトには問い合わせや資料請求のフォームを付けることができ、送信された内容はStudioのダッシュボードに保存されます。

Studio株式会社の発表によると、第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていました。脆弱性とは、プログラムの作りに残っていた弱点のことです。この状態は、2026年10月14日に同社が対処するまで続いていました。

実際に第三者にデータが取得された事実は確認できていません。それでも同社は「取得されたものとみなして対応を進めております」としています。利用者の側も、盗まれたものとして備えるのが安全です。

この件が他の漏えいと違うのは、影響が2重になっている点です。1つは、Studioでサイトを作っている利用者（企業や制作者）のアカウント情報。もう1つは、その利用者が作ったサイトのフォームに送信した一般の人の情報です。後者の人たちは、自分がStudioを使っているという意識がないことがほとんどです。ある会社の問い合わせフォームに名前と電話番号を送っただけなのに、その会社のサイトがStudioで作られていたために影響を受ける、という形になります。

公表の経緯：10月16日の第一報と、17日・18日の更新

Studio株式会社の発表と更新の流れを、日付順に並べます。

日付	出来事・発表	その時点で分かったこと
2026年9月30日〜10月1日	第三者による不正アクセス	現時点で確認できている期間（日本時間）
2026年10月13日	社内の調査で不正アクセスを確認
2026年10月13日〜14日	脆弱性の修正と経路の遮断	外部から取得できる状態を解消。14日午前2時30分ごろ、全利用者を一度ログアウト
2026年10月16日	第一報を公開	すべての利用者のアカウント情報、フォームの送信内容、APIキーなどが流出した可能性。機能ごとに個別のメールを送信
2026年10月17日	フォーム利用者向けの案内を公開	個人情報保護委員会からの要請を受け、利用者による同委員会への個別の報告をいったん保留するよう依頼。暗号化の鍵を新しいものへ切り替え
2026年10月18日	案内のページを公開、第一報を更新	操作の記録を調べ、データの書き換えや削除の記録がないことを確認。フォームの回答の対象範囲、Googleスプレッドシート連携とカスタムプロキシの手順を更新

不正アクセスを確認してから第一報までは3日でした。第一報の題名には「第一報」とあり、件数、二次被害の有無、原因の調査結果と再発防止策は、確認が取れ次第続報で知らせるとされています。2026年10月20日時点で、お知らせの一覧に第二報は掲載されていません。

第一報の「経緯」の部分を、公式の文面のまま引用します。

第三者がStudioの一部機能の脆弱性を悪用して弊社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認いたしました。この状態は、2026年10月14日に弊社が対処するまで続いておりました。実際に第三者に取得された事実は確認できておりませんが、取得されたものとみなして対応を進めております。出典: studio.design

流出した可能性のある情報と、含まれないもの

公式の発表に書かれている項目を、流出した可能性があるものと、含まれないと明記されたものに分けて整理します。

区分	項目
流出した可能性がある	Studioアカウントの情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）
流出した可能性がある	Studio上のデータ（デザインエディタ・CMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL）
流出した可能性がある	公開前のページを確認するためのライブプレビューのURL
流出した可能性がある	設定に含まれる認証情報（API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー）
流出した可能性がある	Studio AI（当初の名称はAuto）の先行利用に2022年12月〜2023年8月に申し込んだ人のメールアドレス、ユーザー名、お住まいの国
含まれない	「フォームの結果をStudioに保存」を無効にしていた間に送信された回答
含まれない	2026年9月30日より前に「完全に削除」した回答
含まれない	フォームに添付されたファイルの中身（ファイル名のみが対象）
含まれない	外部サービス（Googleフォームなど）を埋め込んだフォームへの回答
含まれない	Studio AIの先行利用の申し込み時のパスワードや支払いの情報（預かっていない）

いくつか補足します。

ハッシュ化とは、パスワードをそのまま保存せず、元に戻しにくい文字列に変換して保存する方法です。Studioのパスワードとパスワード保護ページのパスワードは、どちらもハッシュ化して保存していたと発表されています。元のパスワードを割り出すのは困難ですが、短いパスワードや単純なパスワードは総当たりで割り出される可能性があるため、同社は変更を求めています。

一方、フォームの送信内容やAPIキーなどは暗号化して保存していたものの、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとされています。暗号化は鍵があれば元に戻せる方式なので、鍵が一緒に取られると守りになりません。

フォームの回答の対象には、ゴミ箱に移しただけで「完全に削除」していない回答、ライブプレビューでテスト送信した回答、プランの上限を超えたためダッシュボードに表示されなかった回答も含まれます。画面に見えていなかった回答も対象になる、という点は見落としやすいところです。

原因：一部機能の脆弱性と、取得された認証情報

公式の発表では、原因は「Studioの一部機能の脆弱性」を悪用した不正アクセスとされています。どの機能のどんな弱点だったのかは公表されていません。原因の詳しい調査は外部の専門機関に依頼すべく調整を進めているとされ、結果と再発防止策がまとまる時期は「現時点では確定しておりません」と案内のページに書かれています。

2026年10月18日の更新では、第三者が取得した認証情報には、データを書き換えることができる権限も含まれていたことが明らかにされました。ただし、その認証情報はすでに無効化されており、操作の記録を調べた結果、デザインエディタやCMSの内容を書き換えたり削除したりした記録はないと確認されています。

ここでいう認証情報は、利用者のパスワードとは別のもので、Studioのシステムが内部でデータにアクセスするために使う鍵を指していると読めます。利用者のサイトの中身を勝手に書き換えられた形跡はない、というのが2026年10月18日時点の発表です。万一、心当たりのない変更を見つけたときは、問い合わせ窓口に連絡するよう案内されています。

Studio株式会社の対応

公式の発表に書かれている対応を整理します。発表に書かれていない補償などは、この記事では取り上げません。

脆弱性を修正し、不正アクセスに使われた経路を塞いだ（2026年10月13日〜14日）
2026年10月14日午前2時30分ごろ、ログインしていたすべての利用者を一度ログアウトさせた
利用者の情報を扱うために同社が使っていた認証情報を、決済やログインに使うものを含めて新しいものに切り替えた
フォームの送信内容やAPIキーなどを暗号化する鍵を、2026年10月17日に新しい鍵へ切り替えた。それ以前に保存されたデータを新しい鍵で暗号化し直す作業を進めている
カスタムプロキシの新しいプロキシキーを発行した
機能ごとに対象のプロジェクトのオーナーへ個別のメールを送った
個人情報保護委員会への報告をはじめ、関係機関への対応を進めている

同社は、鍵や認証情報を切り替えても、不正アクセスの時点で取得された可能性のある情報は守れないと明記しています。また、外部サービスのAPIキーやトークンは発行元のサービスで管理されているため、Studio側では無効化できません。利用者が自分で切り替える必要があるのは、このためです。

自分が対象かを確かめる方法

Studioのアカウントを持っている人は、全員が対象になる可能性があります。公式の発表は「Studioにご登録いただいているすべてのお客様について」と書いています。そのうえで、機能ごとの対象は次の方法で確かめます。

1つ目は、個別のメールです。2026年10月16日に、機能ごとに対象のプロジェクトのオーナーへメールが送られています。件名は、いずれも「【重要】不正アクセスに伴う、」で始まります。オーナーがいないプロジェクトはメンバーに送られます。複数の機能を使っていれば、機能ごとに別のメールが届きます。迷惑メールのフォルダも確かめてください。

2つ目は、Studioにログインしたときの表示です。お知らせがある場合は、画面上のバナーやポップアップで表示されます。

3つ目は、問い合わせ窓口です。メールが届いていない、自分で確かめるのが難しいといった場合は、専用の窓口で対象のプロジェクトや対応方法を案内してもらえます。

Studioのアカウントを持っていないのにメールが届いた人は、Studio AIの先行利用に申し込んでいた可能性があります。件名は「【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び」です。この人たちについては、パスワードや支払いの情報を預かっていないため、パスワードの変更などは不要とされています。

Studioの利用者がすること

Studioの利用者に求められている対応を、すべての利用者に共通するものと、機能ごとのものに分けて説明します。

すべての利用者：パスワードの変更

メールアドレスとパスワードでStudioにログインしている人は、パスワードを変えます。手順はStudio Helpの「アカウントのパスワードを変更する」に載っています。同じパスワードを他のサービスでも使っている場合は、そちらも変えるよう強く勧められています。

同じメールアドレスとパスワードの組み合わせで他のサービスに次々とログインを試す手口は、リスト型攻撃と呼ばれます。メール、クラウドストレージ、ネット銀行、仕事で使うチャットなど、入られると被害が大きいサービスから先に変えてください。

GoogleログインまたはFacebookログインだけを使っていて、Studioのパスワードを設定していない人は、この対応は不要です。ただし、以前にメールアドレスとパスワードで登録やログインをしたことがある人は、パスワードが設定されている可能性があります。その場合は、ログイン画面の「パスワードをお忘れですか？」から再設定するよう案内されています。

ライブプレビューのURLを発行している人

ライブプレビューは、公開前のページを関係者に見せるためのURLです。このURLを発行しているなら、削除するよう求められています。削除したURLは無効になり、引き続き共有が必要なら削除後に新しく発行します。

機能ごとの対応

使っている機能	求められている対応
API連携（Data Connect API・API連携（Beta））	外部サービスのAPIキーやトークンの切り替え
パスワード保護ページ	パスワードの変更
フォーム	送信内容が流出した可能性についての連絡を確認。サイトの利用者への通知の検討
Googleスプレッドシート連携	Studioで連携を解除し、Googleアカウントの「リンク済みアプリ」でStudioのアクセス権を削除し、改めて連携する
カスタムプロキシ	新しいプロキシキーへの差し替えと、完了の連絡（10月16日のメールの受信から30日以内）
Webhook通知	通知先のURLの切り替え
Google reCAPTCHA v3	シークレットキーの一律の差し替えは求められていない

APIキーを切り替えるときは順番に注意します。公式の案内では、次の順で進めるよう書かれています。

各サービス（microCMS、Notionなど）で新しいキーを発行する
Studioの設定を新しいキーに更新する
各サービスで古いキーを失効させる

古いキーを先に失効させると、サイトでの連携が止まる場合があります。今は使っていない外部サービスのキーが登録されているなら、それも失効させるよう勧められています。あわせて、各サービスの利用履歴で、2026年9月30日以降に心当たりのない利用がないかを確かめます。

フォームを使う企業への広がり

Studioのフォームを使っていた企業は、自社のサイトのフォームに送信された個人情報が流出した可能性について、それぞれ公表を始めています。2026年10月20日時点で公式のページを確かめられたものを2つ挙げます。

株式会社Luupは、2026年10月16日に、Webサイトのフォームから送信された合計21,368件（同じ人による複数回の送信を含む）の氏名、連絡先、住所、会社名・部署名などが流出した可能性があると発表しました。LUUPアプリに登録した情報は別のシステムで管理しており、対象ではないとしています。詳しくは株式会社Luupのお知らせに載っています。

ラクスル株式会社は、同じ2026年10月16日に、サービス案内用のサイトのフォームに入力された6,412件（フォーム送信の件数）の氏名、所属先組織、電話番号、メールアドレス、相談内容や予算などが漏えいした可能性があると発表しました。印刷通販サイト「ラクスル」の会員情報、注文情報、支払い情報は対象ではないとしています。詳しくはラクスル株式会社のお知らせに載っています。

どちらの会社も、自社のサービスそのもの（アプリや通販サイト）の会員情報は対象外で、Studioで作った案内用のサイトのフォームだけが影響を受けたと説明しています。今後も、Studioのフォームを使っていた企業や団体から、同じような公表が続く可能性があります。

Studioで作られたサイトのフォームに送信した人がすること

自分がどこかのサイトの問い合わせフォームや資料請求フォームに情報を送ったことがあり、そのサイトがStudioで作られていた場合、送った内容が流出した可能性があります。ただ、送信した側からは、そのサイトがStudioで作られていたかどうかは分かりにくいものです。

Studio株式会社は、フォームから情報を送信した人には、送信先のサイトの運営者から案内がある場合があるとしています。つまり、まず確かめるのは、自分が問い合わせた会社からのメールやお知らせです。LUUPやラクスルのように、会社が自社のサイトで公表している場合もあります。

送ったかもしれない情報に合わせて、次のように備えます。

氏名とメールアドレスを送った：その会社を名乗る偽のメールに注意する。送信元のドメインとリンク先のアドレスを確かめる
電話番号を送った：その会社や関係会社を名乗る電話に、その場で個人情報や口座番号を答えない
住所を送った：心当たりのない郵便物で振り込みを求められても応じない
相談内容や予算を送った：取引の話を装った勧誘や、請求書の送付先の変更を求める連絡に注意する

フォームの自由記述欄に何を書いたかも思い出しておきます。自由記述欄に書いた内容は、項目の一覧に出てこなくても流出の対象になり得ます。自分のメールアドレスが他の漏えいにも含まれていないかを調べる方法は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。住所を送っていた人は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番も参考にしてください。

Studioを名乗る偽の連絡の見分け方

この件に便乗して、Studioを装ったメールやメッセージが送られる可能性があると、同社は注意を呼びかけています。公式の案内に書かれている見分け方は次のとおりです。

Studioからのメールは、@studio.design または @studio.site のアドレスなど、同社のヘルプに載っているアドレスから送られる
この件で同社が送るメールに、パスワードや認証情報の入力を求めるリンクが含まれることはない
同社がパスワードや認証情報をメールや電話で尋ねることはない
ログインするときは、ログイン画面のURLが app.studio.design であることを確かめる

メールやメッセージのリンクから開いた画面でパスワードを求められたら、入力せずに問い合わせ窓口に連絡します。メールのリンクを使わず、ブラウザのブックマークや検索から自分でStudioを開く習慣をつけておくと、偽の画面に入力してしまう心配が減ります。偽のメールを見分ける練習の方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果で紹介しています。

万一、偽の画面にパスワードを入力してしまったら、すぐに本物のStudioでパスワードを変え、同じパスワードを使っている他のサービスも変えます。お金を払ってしまった、脅すような連絡が続くといった場合は、警察や、消費者ホットライン「188」につながる消費生活センターに相談します。

問い合わせ窓口

Studio株式会社が公表している窓口は次のとおりです。電話の窓口は公式の発表に載っていません。

対象	問い合わせの方法	受付
Studioにログインできる人	画面左下または右下のヘルプアイコンからサポートセンターを開き、「メッセージ」＞「会話を始める」で「不正アクセスに関するお問い合わせ」を選ぶ	24時間受付、平日10:00〜18:00に順次回答
ログインできない人、契約の管理だけを担当する人、アカウントを持っていない人	不正アクセスに関するお問い合わせ窓口のフォームから送信	24時間受付、平日10:00〜18:00に順次回答

問い合わせが集中した場合は、回答まで時間がかかることがあるとされています。最新の状況は、同社の不正アクセスに関するご案内のページにまとめて掲載されています。

在宅でStudioのサイト制作を受けている人が気をつけること

Studioは、フリーランスのWebデザイナーや小さな制作会社が、取引先のサイトを作るときによく使われる道具でもあります。取引先のサイトをStudioで作り、フォームを付けて納品し、その後の運用も任されている人にとって、この件は取引先の個人情報に関わる問題です。

まず、自分が管理しているプロジェクトのうち、フォーム、API連携、パスワード保護ページ、Googleスプレッドシート連携、カスタムプロキシ、Webhook通知を使っているものを洗い出します。プロジェクトのオーナーが自分なら、個別のメールは自分に届いています。オーナーが取引先なら、取引先にメールが届いているはずなので、早めに連絡を取って状況を共有します。

次に、取引先が何をしなければならないかを一緒に整理します。Studio株式会社は、フォームを通じてサイトの利用者の個人情報を取得している場合、そのサイトの運営者（取引先）自身が個人情報取扱事業者として、個人情報保護委員会への報告や、サイトの利用者への通知が必要になる場合があると案内しています。個人情報取扱事業者とは、事業のために個人情報のデータベースを使っている人や会社のことで、個人事業主や非営利団体も対象になり得ると、同社の案内に書かれています。

個人情報保護委員会のページでは、漏えい（またはそのおそれ）について報告が義務になる場合として、不正の目的をもって行われたおそれがある行為による漏えいが挙げられ、その例の1つに不正アクセスがあります。不正な目的で行われたおそれがある場合の報告の期限は、発覚日から60日以内とされています。詳しくは個人情報保護委員会の「漏えい等の対応とお役立ち資料」に載っています。

ただし今回は、2026年10月17日に、個人情報保護委員会からの要請を受けて、これから同委員会に報告する予定の利用者は個別の報告をいったん保留するよう、Studio株式会社が依頼しています。同社が取りまとめて、利用者と同社の連名で報告できるかを同委員会と協議する予定とされています。保留の対象は委員会への報告だけで、サイトの利用者（本人）への通知は保留の対象に含まれていません。

通知が必要かどうかを考える材料として、同社の案内のページは3つの確認点を挙げています。事業や団体の活動のためにフォームを使っていたか、回答に氏名や連絡先など個人を特定できる情報が含まれていたか、その情報が今回の影響を受ける可能性があるか、の3つです。不正アクセスによる漏えいのおそれがある場合は、対象者が1人でも通知が必要になる場合があるとも書かれています。通知の要否や方法は、法令とガイドライン、利用状況をふまえて各自で判断し、必要なら弁護士などの専門家に相談するよう案内されています。制作を受けている人が取引先の代わりに判断することはできないので、事実を正確に伝え、取引先の判断を手伝う立場で動くのが現実的です。

取引先にとっては、制作を任せている相手から先に連絡が来ること自体が安心材料になります。どのプロジェクトで、どの機能を使っていて、何をする必要があるのかを一覧にして渡すと、取引先の担当者は社内の報告をすぐに進められます。取引先を経由した攻撃への備え方は、取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理でも扱っています。

預けている鍵とデータを棚卸しする手順

今回のように、使っているサービスの側で問題が起きたとき、何を預けていたかがすぐに分かれば、対応は早く終わります。Studioに限らず、ノーコードのサービスやクラウドの道具を仕事で使う人は、次の順で棚卸しをしておくと役に立ちます。

使っているサービスを一覧にする。サイト制作、フォーム、CMS、ファイル共有、チャットなど、取引先の情報が通るものを挙げる
サービスごとに、どのプロジェクトで何を預けているかを書く。フォームの回答、APIキー、外部サービスとの連携、共有用のURLなど
外部サービスとの連携に使っている鍵を、発行元ごとに書く。どこで発行し、どこに登録したかが分かれば、切り替えの順番に迷わない
使っていない連携、古いプレビューのURL、不要になったフォームの回答を削除する
一覧を取引先と共有する範囲を決めておく

特に4番目は、今回の件で効き目がはっきりした項目です。2026年9月30日より前に「完全に削除」していたフォームの回答は、対象に含まれないと発表されています。必要のなくなった回答をこまめに削除していた人ほど、流出の範囲が小さく済んだことになります。フォームの回答をGoogleスプレッドシートなど別の場所に移して管理しているなら、Studioのダッシュボードに残っている回答を定期的に削除する運用も考えられます。

制作を受ける人の信頼は、こういう場面で決まる

今回の件は、ノーコードのサービスで作ったサイトでも、裏側では多くの個人情報や鍵を預けているという事実を示しました。フォームの送信内容、外部サービスのAPIキー、パスワード保護ページのパスワード。どれも、制作者が設定し、取引先の事業を支えているものです。

フリーランスと在宅ワークの仲介を2004年から続けてきた@SOHOの運営の中で見てきた限りでは、長く指名され続ける制作者ほど、納品した後のことまで面倒を見ています。どのサイトでどの外部サービスと連携しているかを一覧にして残し、何かあったときに取引先へ先に連絡を入れる。こうした動きは、手数料の差や単価の差よりも、次の仕事につながる信頼を生みます。

Webサイトの制作や運用を仕事にしたい人は、アプリケーション開発のお仕事や、制作の単価の目安が分かるデザイナーの年収・単価相場が参考になります。情報セキュリティの対策を支える側に回りたい人には、AI・マーケティング・セキュリティのお仕事で仕事の内容を紹介しています。

よくある質問

Q. Studioの不正アクセスで、パスワードはそのまま漏れたのですか？

Studio株式会社の発表では、Studioのパスワードはハッシュ化して保存しており、平文では保存していなかったとされています。元のパスワードを割り出すのは困難ですが、可能性を完全には否定できないため、パスワードの変更が求められています。同じパスワードを使っている他のサービスも変えるのが安全です。

Q. Googleログインだけで使っていた場合も何かする必要がありますか？

GoogleログインまたはFacebookログインだけを使い、Studioのパスワードを設定していない場合、パスワードの変更は不要とされています。ただし、以前にメールアドレスとパスワードで登録やログインをしたことがあれば、パスワードが設定されている可能性があります。その場合はログイン画面から再設定するよう案内されています。

Q. Studioで作られたサイトに問い合わせただけでも影響はありますか？

そのサイトのフォームがStudioのフォーム機能で、回答がStudioに保存されていた場合は、送信した内容が流出した可能性があります。Googleフォームなど外部サービスを埋め込んだフォームへの回答は対象外です。送信先のサイトの運営者から案内が届く場合があるので、問い合わせた会社のお知らせやメールを確かめてください。