東邦ガスの情報漏洩｜Studioのフォーム100件の範囲と偽メールへの備え 2026

2026年10月21日

＠SOHO編集部

この記事のポイント

✓東邦ガスの情報漏洩について
✓2026年10月20日の同社の発表をもとに整理しました
✓Studioのクラウドへの不正アクセスで漏えいの可能性がある100件の範囲

東邦ガス株式会社は2026年10月20日、新規事業で利用していたStudio株式会社のクラウドサービスが第三者の不正アクセスを受け、100件の個人情報が外部に漏えいした可能性があると発表しました。対象は、シャインマスカットの生産について問い合わせをした人の氏名とメールアドレス、住宅のマッチングサービス「イエラボ」で紹介する住宅メーカーの担当者の会社名・氏名・メールアドレスで、クレジットカード情報や免許証などの公的証明書の情報は含まれていません。対象の人がまずすることは、東邦ガスからの個別の連絡を確かめることと、東邦ガスやStudio、取引先を名乗るメールのリンクを開かないことです。

この記事では、2026年10月21日時点で公表されている内容を、東邦ガス株式会社とStudio株式会社の公式発表だけをもとに整理します。何が漏れた可能性があり、何が含まれないのか、ガスや電気の契約者に関係はあるのか、偽のメールや電話をどう見分けるのか、問い合わせはどこにすればよいのかを順に説明します。

発表の要点（2026年10月21日時点）

東邦ガス株式会社の2026年10月20日のプレスリリース「新規事業で利用しているStudio株式会社で発生した不正アクセスによる個人情報漏えいの可能性について」の要点は次のとおりです。

漏えいした可能性がある件数：100件（2026年10月20日時点）
対象1：シャインマスカットの生産に関する問い合わせをした人の「氏名」「メールアドレス」
対象2：イエラボで紹介する住宅メーカーの担当者の「会社名」「氏名」「メールアドレス」
含まれない情報：クレジットカード情報、公的証明書（免許証等）の情報
不正利用：現時点で、個人情報が不正に利用された事実は確認されていない
原因：Studio株式会社のシステムの脆弱性を悪用した、同社のクラウド環境への不正アクセス
影響の範囲：このクラウドサービスは東邦ガスのシステムとは接続されていない外部のシステムで、都市ガスと電気の供給に影響はない
対応：対象の人に東邦ガスから個別に連絡し、不正利用への注意を呼びかけている

件数は「漏えいした可能性がある」100件です。漏えいが確定した件数ではなく、Studio株式会社のクラウドサービスに登録されていた情報のうち、外部から取得できる状態にあったものの件数と読むのが正確です。発表は、新たな事実が判明した場合には必要に応じて速やかに知らせるとしています。2026年10月21日時点で、東邦ガスのプレスリリースの一覧に、この件の続報は出ていません。

どの事業で起きたのか：ガス・電気の契約とは別の新規事業

今回の件で最初に確かめたいのは、ガスや電気を契約している人の情報が含まれるかどうかです。東邦ガスの発表が対象として挙げているのは、次の2つの新規事業で集めた情報だけです。

1つ目は、シャインマスカットの生産です。発表の注記によると、東邦ガスが栃木県宇都宮市で行っている事業で、この事業について問い合わせをした人の情報が対象になりました。

2つ目は、「イエラボ」というマッチングサービスです。発表の注記では、新築の注文住宅を検討している人と、住宅メーカーの担当者をつなぐサービスと説明されています。対象になったのは、イエラボで紹介する住宅メーカーの担当者の情報で、住宅を検討している利用者の情報は、発表の対象項目に挙げられていません。

発表は、これらの事業で使っていたクラウドサービスについて、東邦ガスのシステムとは接続されていない外部のシステムだと明記しています。

なお、上記クラウドサービスは、当社システムとは接続されていない外部のシステムであり、本件による都市ガスおよび電気の供給に影響はありません。出典: tohogas.co.jp

ガスや電気の契約者、会員サイト「Club TOHOGAS」の会員の情報は、今回の発表の対象項目に入っていません。東邦ガスの会員サイトについては、2017年10月13日に「Club TOHOGAS」への不正アクセスを公表したことがありますが、それは今回とは別の過去の事案です。「東邦ガス情報漏洩」で調べると、この2つが混ざって表示されることがあるので、日付で見分けてください。今回の件は2026年10月20日の発表です。

公表の経緯：不正アクセスから公表まで

東邦ガスの発表と、クラウドサービスを提供するStudio株式会社の発表を合わせて時系列に並べると、次のようになります。

日付	起きたこと・分かったこと
2026年9月30日から10月1日	第三者がStudioのクラウド環境に不正アクセス（Studio株式会社が現時点で確認できている期間）
2026年10月13日	Studio株式会社が社内の調査で不正アクセスを確認
2026年10月13日から14日	Studio株式会社が脆弱性を修正し、外部から情報を取得できる状態を解消
2026年10月16日	Studio株式会社が第一報を公表。同じ日に東邦ガスへ報告
2026年10月17日	Studio株式会社が、フォーム機能を使う顧客向けに個人情報保護委員会への報告についての案内を公表
2026年10月18日	Studio株式会社が第一報を更新（対応状況と対象範囲を追記）
2026年10月20日	東邦ガスが100件の漏えいの可能性を公表

東邦ガスの発表によると、同社は2026年10月16日にStudio株式会社から報告を受け、4日後の10月20日に公表しました。Studio株式会社の説明では、外部から情報を取得できる状態は2026年10月14日まで続いていたとされます。不正アクセスそのものは9月30日から10月1日の間に確認されていますが、情報を取り出せる状態はその後も残っていたという意味です。

東邦ガスの発表は第一報の形で、件数は「2026年10月20日時点」と書かれています。Studio株式会社は、対象となる顧客の範囲と件数、二次被害の有無の調査結果、原因の調査結果と再発防止策を、確認が取れ次第続報で知らせるとしています。Studio側の調査が進むと、東邦ガスの発表にも続報が出る可能性があります。

漏れた可能性のある項目と、含まれない項目

東邦ガスの発表に書かれた項目を、漏えいした可能性があるものと、含まれないと明記されたものに分けると次のとおりです。

区分	漏えいした可能性がある項目	含まれないと明記された項目
シャインマスカットの生産に関する問い合わせをした人	氏名、メールアドレス	クレジットカード情報、公的証明書（免許証等）の情報
イエラボで紹介する住宅メーカーの担当者	会社名、氏名、メールアドレス	クレジットカード情報、公的証明書（免許証等）の情報

住所、電話番号、生年月日、パスワードは、発表の対象項目に挙げられていません。発表に書かれていない項目について、漏れていないと断定することはできませんが、少なくとも東邦ガスは上の表の項目を対象として公表しています。

氏名とメールアドレスの組み合わせは、それだけでお金を引き出せる情報ではありません。一方で、名前で呼びかける偽メールを作る材料になります。「〇〇様、先日はシャインマスカットについてお問い合わせいただきありがとうございました」のように、問い合わせの事実を知っているかのような文面が届くと、本物と思い込みやすくなります。住宅メーカーの担当者の場合は、会社名も分かるため、取引先を装った業務連絡のメールに使われるおそれがあります。

原因：Studioのクラウド環境への不正アクセス

東邦ガスの発表は、原因をStudio株式会社のシステムの脆弱性を悪用したクラウド環境への不正アクセスと説明しています。脆弱性とは、システムの中にある、攻撃者に悪用されうる弱点のことです。東邦ガス自身のシステムが攻撃を受けたわけではなく、新規事業で使っていた外部のサービスの側で起きた事案です。

Studioは、プログラムを書かずにWebサイトを作れるサービスで、問い合わせフォームもその機能の1つとして提供されています。Studio株式会社の2026年10月16日の第一報は、経緯を次のように説明しています。

第三者がStudioの一部機能の脆弱性を悪用して弊社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認いたしました。この状態は、2026年10月14日に弊社が対処するまで続いておりました。実際に第三者に取得された事実は確認できておりませんが、取得されたものとみなして対応を進めております。出典: studio.design

Studio株式会社によると、流出した可能性がある情報には、Studio上で管理されていたフォームの送信内容が含まれます。暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があると説明されています。暗号化とは、鍵がないと読めない形にデータを変えておくことで、その鍵まで読まれたため守りが効かなかった、という意味です。

対象になるフォームの回答は、Studioに保存されていたものです。ゴミ箱に移しただけの回答も含まれ、2026年9月30日より前に「完全に削除」した回答は含まれないとされています。外部のフォーム（Googleフォームなど）を埋め込んでいた場合は、回答がStudioを経由しないため含まれません。東邦ガスの100件は、こうした条件のもとでStudioに保存されていた情報と考えられます。

同じStudioの件は多くの企業に広がっている

Studio株式会社の第一報は、Studioに登録しているすべての顧客について、アカウントの情報やStudio上で管理されているデータが流出した可能性があるとしています。つまり、Studioでサイトを作り、フォームで問い合わせや申し込みを受けていた企業や団体は、規模を問わず同じ状況にあります。

実際に、2026年10月20日には東邦ガスのほかにも、Studioで運用していたサイトのフォームの情報が漏えいした可能性があると公表した企業があります。たとえば、オンライン学習サービスを運営する株式会社Schooも、同じ日にフォームに入力された情報が対象になったと発表しました。対象の件数や項目は企業ごとに違い、それぞれの企業が自社のフォームで何を集めていたかで決まります。

利用者の立場から見ると、自分が問い合わせたサイトがStudioで作られていたかどうかは、見た目では分かりません。そのため「Studioという名前に心当たりがないから関係ない」とは言い切れません。Studio株式会社は、Studioで作られたサイトのフォームから情報を送った人には、送信先のサイトの運営者から案内がある場合があるとしています。ここ数年の間に、企業のサービスサイトや採用サイト、イベントの申し込みページのフォームから問い合わせや資料請求をしたことがある人は、各社からの案内に気を付けておくとよいでしょう。

東邦ガスの対応

東邦ガスの発表に書かれている対応は、次のとおりです。

対象の人に、東邦ガスから個別に連絡している
連絡では、本件に関する情報を共有し、二次被害を防ぐため、個人情報の不正利用への注意を呼びかけている
新たな事実が判明した場合は、必要に応じて速やかに知らせる
今後も個人情報の適切な管理に努め、情報セキュリティ対策を徹底する

発表は、対象の人と関係者に対して深くお詫びするとしています。補償や金銭的な対応については、発表には書かれていません。パスワードの初期化のような手続きも、パスワードが漏えいの対象項目に入っていないため、案内されていません。

Studio株式会社の側では、脆弱性の修正と不正アクセスの経路の遮断を済ませ、原因の詳しい調査を外部の専門機関に依頼する調整を進めているとしています。暗号化に使う鍵は2026年10月17日に新しいものへ切り替え、以後に保存されるデータは新しい鍵で暗号化しているとも説明しています。ただし、鍵を切り替えても、不正アクセスの時点で取得された可能性のある情報を守ることはできないとも書いています。すでに外に出た可能性がある情報は、受け取る側の注意で被害を防ぐしかない、ということです。

自分が対象かを確かめる方法

対象になるのは、次の2つのどちらかに当てはまる人です。

東邦ガスのシャインマスカットの生産について、Webサイトのフォームなどから問い合わせをしたことがある人
イエラボで紹介される住宅メーカーの担当者として、会社名・氏名・メールアドレスを登録している人

東邦ガスは、対象の人に個別に連絡するとしています。連絡の手段は発表に書かれていませんが、漏えいの可能性がある情報がメールアドレスであることから、登録したメールアドレスあてに届く可能性が高いと考えられます。

連絡が届いたら、本物かどうかを確かめてから読み進めます。確かめ方は、東邦ガスの公式サイトを自分で開き、2026年10月20日のプレスリリースと内容が合っているかを見ることです。メールの中のリンクから公式サイトに移動するのではなく、ブラウザのブックマークや検索から公式サイトを開くのが安全です。

ガスや電気だけを契約している人、Club TOHOGASの会員であるだけの人は、発表の対象項目には入っていません。それでも、ニュースに便乗した偽の連絡が届くことはありえます。「東邦ガスの情報漏えいの件で確認があります」といった電話やSMSが来ても、その場で個人情報を答えないことが大切です。

心当たりはあるのに連絡が届かない、迷惑メールのフォルダに入っていないかも見たが見つからない、という場合は、後で説明する東邦ガスの窓口で確かめられます。

対象の人がすること

漏えいの可能性がある項目は、氏名とメールアドレス（住宅メーカーの担当者は会社名も）です。この組み合わせで起こりうる被害と、それに合わせた対策を整理します。

偽メールを前提にメールを読む

最も注意したいのは、名前で呼びかける偽メールです。フィッシングとは、本物そっくりのメールやSMSで偽のサイトに誘導し、パスワードやカード番号を入力させてだまし取る手口のことです。名前とメールアドレスが分かっていると、無差別に送られる偽メールより本物らしく見えます。

対象の人は、しばらくの間、次のようなメールを特に疑ってかかります。

東邦ガス、Studio、イエラボ、住宅メーカーを名乗り、本文のリンクからログインや情報の入力を求めるメール
「漏えいのお詫びとして商品券を送るので住所を登録してほしい」といった、お詫びを口実にした入力の依頼
「確認のため口座番号を教えてほしい」といった、返金や補償を口実にした問い合わせ

東邦ガスの発表は、補償や返金について何も触れていません。お詫びや補償を口実にして情報の入力を求めるメールが届いたら、まず偽物を疑い、公式サイトで発表の内容を確かめます。

パスワードについて

東邦ガスの発表は、パスワードを漏えいの対象項目に挙げていません。そのため、今回の件だけを理由に、どこかのパスワードを急いで変える必要はありません。

ただし、偽メールのリンクを開いて、どこかのサイトにパスワードを入力してしまった場合は別です。入力したパスワードと同じものを使っているすべてのサービスで、すぐにパスワードを変更します。同じパスワードを複数のサービスで使い回している人は、この機会に、大事なサービスから順に別々のパスワードへ切り替えておくと安心です。

メールアカウントそのものを守ることも大切です。メールのパスワードが知られると、ほかのサービスのパスワード再発行のメールまで読まれてしまいます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどもう1つの確認を求める仕組みのことです。GmailやOutlookなどのメールアカウントには、二段階認証を設定しておきます。

クレジットカードの明細について

クレジットカード情報は、漏えいの対象に含まれないと明記されています。今回の件を理由にカードを止めたり作り直したりする必要はありません。普段どおり、月に1度は明細を見て、覚えのない請求がないかを確かめておけば十分です。

自分のメールアドレスがほかの漏えいに含まれていないかを調べる

今回の件をきっかけに、自分のメールアドレスが過去のほかの漏えいに含まれていないかを確かめておくのも有効です。調べる手順は、Have I Been Pwnedの使い方で説明しています。ほかの漏えいで同じアドレスとパスワードが出回っていれば、そちらのパスワードを変える必要があります。

偽のメール・SMS・電話の見分け方

東邦ガスは、今回の件とは別に、公式サイトの「重要なお知らせ」で、同社の社員などを装った訪問や不審な電話・メールへの注意を呼びかけています。そこには、同社が普段どんな連絡をしないかが書かれていて、偽物を見分ける基準として使えます。

ショートメッセージや自動音声ガイダンスによる電話をかけ、代金のお支払いをご案内することは原則行っておりません。出典: tohogas.co.jp

同じお知らせによると、東邦ガスと関係会社は次のように説明しています。

自宅を訪問するときは身分証を持ち、訪問の目的と社名・氏名を必ず告げる
利用者からの要望でない限り、点検代金などの名目で料金を受け取ることはない
東邦ガス以外の名前で、ガス料金を請求する払込用紙を送ることは原則ない
SMSや自動音声の電話で、代金の支払いを案内することは原則行っていない
Club TOHOGASから送るメールの送信元アドレスの末尾は「tohogas.co.jp」

これをもとにすると、「ガス料金が未払いなので今日中にこのURLから支払ってください」というSMSや、自動音声で支払いを迫る電話は、偽物と判断する材料になります。送信元アドレスの末尾は偽装されることもあるので、それだけで本物と決めつけず、本文のリンクは開かずに公式サイトを自分で開いて確かめます。

不審なメールについて、東邦ガスは削除するよう呼びかけています。訪問を受けたときは身分証の提示を求め、郵便物は内容をよく確かめ、迷ったときは東邦ガスお客さまセンターに問い合わせるよう案内しています。

偽メールに何かを入力してしまったときは、入力した情報に合わせて動きます。パスワードなら同じものを使うすべてのサービスで変更し、カード番号ならカード会社に連絡して利用を止めます。お金の被害が出たときは、最寄りの警察署に相談します。警察庁のフィッシング対策のページには、被害に遭ったときの相談先がまとめられています。

住宅メーカーの担当者として対象になった人へ

イエラボで紹介される住宅メーカーの担当者は、会社名・氏名・メールアドレスが対象になっています。個人の問い合わせとは違い、仕事のメールアドレスが含まれる点に注意が要ります。

会社名と担当者名が分かると、取引先を装った「なりすましメール」が作りやすくなります。たとえば、イエラボの運営事務局を名乗って「紹介の条件が変わったので、こちらの資料を確認してください」と添付ファイルを送ってくるものや、施主を装って「見積もりの件で」とリンクを送ってくるものが考えられます。添付ファイルを開いたり、リンク先で社内システムのIDとパスワードを入力したりすると、会社全体の被害につながりかねません。

対象の担当者は、次のことをしておくと安全です。

東邦ガスから届いた個別の連絡の内容を、社内の情報システムの担当者や上司に共有する
心当たりのない添付ファイル付きのメールは開かず、差出人に別の手段（電話など）で確かめる
振込先の変更や支払いの依頼が、メールだけで届いたときは、必ず電話で相手に確かめる
社内のメールやクラウドのアカウントに二段階認証が設定されているかを確かめる

社員がだまされないための訓練の方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで紹介しています。会社のアカウントを守る認証の方法を比べたいときは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が参考になります。

問い合わせ窓口

東邦ガスの2026年10月20日のプレスリリースには、この件専用の問い合わせ窓口は書かれていません。東邦ガスの「個人情報の取扱いについて」のページでは、お客さま情報の取扱いに関する申し出も受け付ける窓口として、東邦ガスお客さまセンターが案内されています。

«受付の窓口»東邦ガスお客さまセンターナビダイヤル 0570-783987音声案内に沿ってご用件の番号をお選びください。IP電話・海外からご利用の場合は、052-889-2828へおかけください。受付時間 9時00分～17時00分（平日[土曜・日曜・祝日および5月1日、12月29日～1月4日除く]）出典: tohogas.co.jp

電話をかけるときは、2026年10月20日に発表された「Studio株式会社で発生した不正アクセス」の件であることと、シャインマスカットの問い合わせをした、またはイエラボの住宅メーカーの担当者である、という自分の立場を最初に伝えると話が早く進みます。受付は平日の9時から17時までで、土日祝日はつながりません。

Studioというサービス自体についての質問は、Studio株式会社が窓口を設けています。Studioのアカウントを持っていない人は、同社の「不正アクセスに関するお問い合わせ窓口」のフォームから問い合わせます。同社によると、受付は24時間で、回答は平日の10時から18時に順に行うとされています。

在宅で仕事をする人が気をつけること

今回の件は、在宅でWebサイトの制作や運用を請け負っている人にとって、他人事ではありません。Studioの公式サイトは、活用方法の1つとして「制作会社・クリエイター」向けの案内を載せており、取引先の企業や店舗のサイトをStudioで作って納めている制作者もいます。取引先のサイトにStudioのフォームを設置し、問い合わせの内容を自分も見られる立場にあるなら、取引先の顧客の個人情報を預かっていることになります。

Studio株式会社は、フォーム機能の利用者に向けた2026年10月17日の案内で、フォームを通じてサイトの利用者の個人情報を集めている場合、利用者自身が個人情報取扱事業者として、個人情報保護委員会への報告やサイトの利用者への通知が必要になる場合があると説明しています。個人情報取扱事業者とは、個人情報のリストを事業に使っている事業者のことで、法律の定義では会社の大きさに関係がなく、個人事業主も含まれます。

2026年10月20日の続報では、個人情報保護委員会と協議した結果として、利用者が個別に報告するか、Studio株式会社が取りまとめて連名で報告するかを選べるようになったとしています。連名での報告は委員会への報告だけが対象で、サイトの利用者への通知は含まないとも明記されています。

制作を請け負っている立場で、まずすることは、取引先に事実を伝えることです。Studioのアカウントの持ち主が自分か取引先かで、Studio株式会社からのメールがどちらに届いているかが変わります。取引先が気づいていない可能性もあるので、Studio株式会社の発表のURLを添えて、早めに連絡します。個人情報保護委員会のガイドラインは、個人データの扱いを任された側（委託先）が事故を知ったときの、任せた側（委託元）への連絡の目安を次のように示しています。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。出典: ppc.go.jp

国への報告が義務になる場面は、個人情報保護委員会の漏えい等の対応のページに並んでいます。たとえば、本人の数が1,000人を超える場合や、不正アクセスのように不正な目的で行われたおそれがある場合が挙げられています。今回のような外部からの不正アクセスは、件数が少なくても後者に当たるかどうかを検討する必要があります。誰が報告し、誰が本人に知らせるかは、契約の内容や、フォームの持ち主が誰かで変わります。自分だけで判断せず、取引先の担当者と相談して進めるのが安全です。

判断に迷うときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、受付は平日の9時30分から17時30分）で、法律やガイドラインの内容について質問できます。同委員会は、法律に照らして適法か違法かの判断を求める相談には応じていないとしているので、制度の考え方を確かめる場として使います。

取引先のサイトを作るときに、今後できることもあります。フォームで集める項目は、返信に要るものだけに絞ります。問い合わせの回答を制作用のアカウントに残したままにせず、不要になった回答は完全に削除します。制作用のアカウントには二段階認証を設定し、取引先ごとに誰がどの情報を見られるかを書き出しておきます。こうした準備は、事故が起きたときに、何人分のどんな情報が対象かをすぐに答えられることにもつながります。

運営者の視点：預かる情報は少なく、連絡は早く

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの運営で見てきた限りでは、長く取引が続く人ほど、取引先から預かる情報の扱いが丁寧です。必要のない顧客情報は受け取らず、受け取ったものは仕事が終われば削除し、何か起きたときは自分から先に取引先へ連絡します。今回のように自分の落ち度ではない外部サービスの事故でも、取引先が知りたいのは「どの情報が、何件、どうなったか」です。それをすぐに答えられる人は、次の仕事も任されやすくなります。直接取引には中間のマージンが乗らない分、受け手の手取りが厚くなる一方で、情報の扱いの丁寧さがそのまま信用になります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や社内ルールづくりを支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で、Webサービスやアプリを作る仕事の内容はアプリケーション開発のお仕事で紹介しています。Studioのようなツールでサイトを作るデザイナーの報酬の目安は、デザイナーの年収・単価相場で確かめられます。取引先への報告文を正確に書く力を示したい人には、ビジネス文書の作成能力を認定するビジネス文書検定が参考になります。

よくある質問

Q. 東邦ガスのガスや電気の契約者の情報は漏れましたか？

2026年10月20日の東邦ガスの発表では、漏えいの可能性がある情報は、シャインマスカットの生産に関する問い合わせをした人と、イエラボで紹介する住宅メーカーの担当者の情報の計100件です。使っていたクラウドサービスは東邦ガスのシステムと接続されておらず、都市ガスと電気の供給に影響はないとされています。