最終確認：2026年10月16日
ノーコードWeb制作サービス「Studio（STUDIO）」を運営するStudio株式会社は2026年10月16日、クラウド環境への不正アクセスにより、登録ユーザーの情報などが外部に流出した可能性があると発表しました。
まず確認したいのは、Studioのメールアドレス・パスワードでログインする人はパスワードを変更し、ライブプレビューURLを発行している人は削除することです。ただし、会社は「実際に第三者がデータを取得した事実は確認できていない」と説明しています。現時点で対象件数や二次被害も公表されていません。
結論：不正アクセスは確認、データ取得は未確認
Studioの第一報によると、第三者が一部機能の脆弱性を悪用し、クラウド環境のデータを外部から取得できる状態にしていました。Studioは、第三者による不正アクセスの期間として2026年9月30日〜10月1日を確認しており、外部から取得可能な状態は10月14日に対処するまで続いていたと説明しています。会社は10月13日に不正アクセスを確認し、10月13〜14日に脆弱性を修正して経路を遮断しました。
重要なのは、「不正アクセスがあったこと」と「情報が実際に持ち出されたこと」を分けて読むことです。Studioは第三者による実際の取得を確認できていない一方、安全側に立ち「取得されたものとみなして」対応を進めています。
何が流出した可能性がある？
第一報では、Studio登録ユーザーについて、次の情報が外部に流出した可能性があると説明されています。影響件数は調査中です。
- アカウント情報：ユーザー名、メールアドレス、ハッシュ化されたパスワード
- Studio上のデータ：デザインエディタやCMSの内容、フォームに送信された内容、reCAPTCHA v3の設定情報、Webhook通知先URL
- ライブプレビューURL：公開前のページを確認するために発行したURL
- 一部機能の認証情報：APIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー
暗号化して保存されていた情報についても、復号に必要な鍵が読み出されたため、内容を知られた可能性があるとしています。Studioのログインパスワードとパスワード保護ページのパスワードはハッシュ化され、平文では保存されていません。ただし、元のパスワードを割り出される可能性を完全には否定できないとして、変更を呼びかけています。
また、2022年12月〜2023年8月に「Studio AI」（当時の名称は「Auto」）の先行利用に申し込んだ人は、Studioアカウントを持っていなくても、申込時のメールアドレス・ユーザー名・居住国が対象となる可能性があります。該当者には個別連絡するとしています。
Studio利用者が今すぐ確認する5つのこと
1. Studioのパスワードを変更する
メールアドレスとパスワードでStudioにログインしている人は、アカウント設定から変更します。GoogleログインまたはFacebookログインのみで、Studioのパスワードを設定していない場合、この変更は不要と案内されています。
手順はStudio公式ヘルプのアカウントのパスワードを変更するで確認できます。
2. 同じパスワードを使う他サービスも変更する
Studioと同一のパスワードを他社サービスでも使っている場合は、それぞれ別のパスワードに変更してください。使い回しがあると、あるサービスで判明した認証情報を別のサービスに試されるリスクがあります。
3. ライブプレビューURLを削除する
ライブプレビューを発行している場合、Studioは安全のためURLの削除を求めています。削除後に共有が必要になった場合は、新しいURLを発行できます。手順はStudio公式ヘルプを確認してください。
4. 連携機能を使うプロジェクトは個別案内を確認する
Data Connect APIやAPI連携、パスワード保護ページ、フォームとGoogleスプレッドシートの連携、カスタムプロキシ、Webhookを使うプロジェクトのオーナーには、必要な対応を個別メールで案内しているとのことです。該当する機能を使っている場合は、Studioからの公式メールを確認し、APIキー・トークンの切り替え、ページパスワードの変更、連携解除、Webhook URLの変更など、案内された項目に対応してください。すべての利用者が全認証情報を一律に変更するという案内ではありません。
5. Studioを装うメールやSMSに注意する
Studioは、本件に便乗したフィッシングへの注意も呼びかけています。心当たりのないリンクや添付ファイルは開かず、メールや電話でパスワード・認証情報を求められても入力しないでください。お知らせや設定確認は、ブックマークや公式サイトから直接アクセスして行うのが安全です。
Studioで作られたサイトにフォームを送った人は？
Studioの発表では、Studioで作られたWebサイトのフォームに情報を送信した人について、送信先サイトの運営者から案内が届く場合があるとしています。Studioアカウントを持たない人でも、フォームの内容が該当する可能性はあります。利用したサイト運営者から個別連絡があれば、対象となるフォームや情報の種類を確認してください。
まだ分かっていないこと
第一報時点では、対象となるユーザーの範囲と件数、実際に第三者が情報を取得したか、二次被害の有無、原因の詳細、再発防止策は調査中です。数字や被害を断定できる段階ではありません。続報が出た場合は、対象範囲と利用者向け対応を確認して更新します。
公式発表・関連情報
- Studio株式会社：不正アクセスによる情報流出に関するお詫びとお願い（第一報）
- Studio公式ヘルプ：アカウントのパスワードを変更する
- Studio公式ヘルプ：ライブプレビューURLの削除
- 関連記事：ソースネクスト情報流出で何が漏れた？対象者と対応
※この記事はStudio株式会社の2026年10月16日付第一報に基づき作成しています。続報の公表後、対象範囲・対応を確認して更新します。