2026年10月16日、ノーコードWeb制作ツール「Studio」を運営するStudio株式会社が、クラウド環境への不正アクセスと情報流出の可能性を公表しました。Studioでサイトを作っている方が今すぐやるべきことは、Studioのパスワード変更と、発行済みライブプレビューURLの削除の2つです。API連携・フォーム・パスワード保護などを使っている場合は、機能ごとに追加の対応が必要です。この記事では、Studio公式の第一報とヘルプセンターの手順をもとに、Web制作会社の立場から「何が起きたのか」「どこまで影響するのか」「何をどの順でやればいいか」を整理します。

Studioの不正アクセスで何が起きたのか（第一報の要点）

結論から言うと、第三者がStudioの一部機能の脆弱性を突いてクラウド環境に入り込み、環境内のデータを外部から取得できる状態にしていました。実際にデータが持ち出された事実は確認されていませんが、Studioは「取得されたもの」とみなして対応しています。利用者側も同じ前提で動くのが安全です。

発覚から公表までの時系列

公式発表に書かれている日付を並べると、次のとおりです。

「持ち出しは未確認」でも安心できない理由

データが外部から取得できる状態は、10月14日に対処されるまで約2週間続いていました。持ち出しの痕跡が見つかっていないことと、持ち出されていないことは同じではありません。不正ログインや情報の悪用といった二次被害の有無も調査中です。続報を待つ間に、利用者側でできる対応は先に済ませておくべきです。

流出した可能性のある情報

対象はStudioの登録者全員です。アカウント情報だけでなく、サイトの中身やフォームの送信内容、外部サービスの認証情報まで含まれている点が今回の特徴です。

アカウント情報

ユーザー名、メールアドレス、ハッシュ化されたパスワードなどです。パスワードは平文ではなくハッシュ化して保存されていたため、元のパスワードを割り出すのは困難とされています。ただし完全には否定できないため、変更が呼びかけられています。

サイトの中身とフォーム送信内容

デザインエディタとCMSの内容、フォームの送信内容、ライブプレビューのURLが含まれます。公開前の新サイトや、まだ発表していないキャンペーンページを作っていた場合は、その中身も対象です。フォームで問い合わせを受けていたサイトでは、送信者の氏名や連絡先も含まれる可能性があります。

外部サービスの認証情報

API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのプロキシキー、Google reCAPTCHA v3の設定、Webhook通知のURLです。これらはStudioの外にあるサービスへの「合鍵」にあたるため、影響がStudioの中だけで終わらない可能性があります。

暗号化されていたのに安心できない理由

フォーム送信内容やAPIキーなどは暗号化して保存されていました。しかし、復号に必要な鍵も同じ不正アクセスで読み出されています。鍵ごと持ち出せる状態だったため、中身が知られた可能性があるという扱いです。「暗号化されていたから大丈夫」とは考えないでください。

Studio AI先行利用の申込者も対象

2022年12月〜2023年8月にStudio AIの先行利用を申し込んだ方は、メールアドレス、ユーザー名、居住国（申込時の接続元IPアドレスから判定したもの）も流出した可能性があります。Studioのアカウントを持っていない方も含まれ、該当者には個別に連絡するとされています。

全員がやるべき3つの対応

機能の使い方にかかわらず、すべての利用者に関係するのは次の3つです。所要時間は合わせて10分ほどなので、今日中に済ませてください。

ステップ1｜Studioのパスワードを変更する

メールアドレスとパスワードでログインしている方が対象です。画面右上のアイコンから「設定」→「アカウント」→「パスワードを変更」と進み、現在のパスワードと新しいパスワードを入力して保存します。新しいパスワードは8〜72文字で、数字・英大文字・英小文字をそれぞれ1文字以上含める必要があります。GoogleログインまたはFacebookログインのみで、Studioのパスワードを設定していない方は対象外です。

ステップ2｜同じパスワードを使っている他サービスも変更する

Studioと同じパスワードをほかのサービスで使い回している場合は、そちらも変更します。メールアドレスとパスワードの組み合わせは、別サービスへのログインを試す攻撃（パスワードリスト攻撃）に使われやすいためです。とくにメール、レンタルサーバー、ドメイン管理、ネットバンキングは優先して変えてください。パスワード管理ツールを使い、サービスごとに別のパスワードにしておくのが根本的な対策です。

ステップ3｜ライブプレビューURLを削除して再発行する

ライブプレビューは、公開前のサイトをURLで共有できる機能です。発行済みのURLが流出した可能性があるため、いったん削除します。エディタ右上の「ライブプレビュー」から「ライブプレビューURLを削除」を選ぶと、旧URLはアクセスできなくなります。クライアントや社内に引き続き共有が必要な場合は、削除後に新しいURLを発行し、共有先に差し替えを連絡してください。

使っている機能別の対応

次の機能を使っているプロジェクトのオーナーには、Studioから個別のメールが届いています。メールが届いていなくても、自分のプロジェクトで使っていないかを一度確認してください。

API連携（Data Connect API・API連携（Beta））

Studioに登録している外部サービスのAPIキーやトークンを、外部サービス側で新しいものに切り替えます。登録場所は、デザインエディタ左の「接続」アイコン→「API」タブ→「認証」です。手順は、外部サービスの管理画面で新しいキーを発行し、Studio側の認証を新しい値に更新して表示を確認してから、古いキーを無効化する順番です。先に古いキーを止めると、サイトの表示が崩れることがあります。

パスワード保護

保護に使っているパスワードを変更します。ダッシュボードの「設定」→「一般」→「パスワード保護」から「パスワードの編集」に新しいパスワードを入力し、保存後に「サイトを更新」します。パスワードは8〜30文字の半角英数字です。変更後は、閲覧してもらう相手に新しいパスワードを伝え直してください。

フォームとGoogleスプレッドシート連携

フォームの送信内容そのものについては、Studioから利用者へ連絡があります。Googleスプレッドシート連携を使っている場合は、連携の解除が求められています。フォームダッシュボードで対象フォームの設定画面を開き、「解除」を押します。再度連携すると新しいシートが作られ、連携前の回答は移りません。あわせて、Googleアカウントの「サードパーティによるアクセス」でStudioへの許可が残っていないかも確認しておくと安心です。

カスタムプロキシ

既存のサーバーとStudioのサイトをつなぐアドオンで、Business Plusプラン以上が対象です。プロキシ側のヘッダー「x-studio-proxy-key」に設定しているプロキシキーを、新しいものに切り替えます。切り替え手順はヘルプセンターに記載がないため、Studioからの個別メールの案内に従ってください。サーバー側の設定変更が伴うので、構築した制作会社やエンジニアと日時を決めて作業するのが安全です。

Webhook通知

通知先のURLを新しいものに切り替えます。設定場所は「ホーム」→「プロジェクト設定」の最下部にある「Webhook」です。SlackやZapier、n8nなどで受け取っている場合は、受け取り側で新しいURLを発行してから差し替え、「テスト送信」で届くことを確認します。古いURLは受け取り側で削除してください。

Google reCAPTCHA v3

reCAPTCHA v3の設定も流出の対象に含まれていますが、公式発表には個別の対応が書かれていません。制作会社としては、Google reCAPTCHAの管理画面でキーを作り直し、「ホーム」→「Apps」→「Google reCAPTCHA v3」のサイトキーとシークレットキーを差し替えておくことをおすすめします。シークレットキーは本来サーバー側だけで持つ値なので、外に出た可能性があるなら入れ替えておくのが無難です。

フォームで個人情報を受けていたサイトの対応

問い合わせや資料請求、採用応募をStudioのフォームで受けていたサイトは、自社がその個人情報を預かる立場です。Studio側の対応を待つだけでなく、自社として状況を把握しておく必要があります。

どんな情報を受け取っていたかを洗い出す

エディタ左上の「メインメニュー」→「フォーム」、またはプロジェクトの「フォーム」ダッシュボードから、フォームごとの回答一覧を確認できます。氏名・メールアドレス・電話番号・住所のほか、採用応募の経歴や相談内容など、取り扱いに注意が要る項目がないかを書き出しておきます。件数と期間も控えておくと、続報が出たときに判断しやすくなります。

送信者への連絡は続報を見て判断する

Studioは、フォーム送信者に対して「送信先サイトの運営者から案内がある場合がある」としています。つまり送信者への案内は、サイト運営者側が判断する場面があり得ます。対象範囲や件数は続報で示される予定のため、送信者への通知が必要かどうかは、続報の内容と自社の個人情報の取り扱い方針を照らし合わせて判断してください。判断に迷う場合は、個人情報保護に詳しい専門家へ相談するのが確実です。

便乗したフィッシングメールに注意する

情報流出の直後は、事故に便乗した偽のメールが増えます。今回はメールアドレスとユーザー名が対象に含まれているため、「Studioを名乗るそれらしいメール」が届く可能性が高い状況です。

本物と偽物を見分けるポイント

Studioは、メールや電話でパスワードや認証情報を尋ねることはないと明言しています。本件に関する公式メールにも、認証情報の入力を求めるリンクは含まれていません。ログインを促すリンクや添付ファイルがあるメールは開かず、Studioへはブックマークやアプリから直接アクセスしてください。

社内やクライアントへの周知文例

サイト更新を複数人で担当している場合は、次のような短い文面で共有しておくと安全です。

Studioで不正アクセスがあり、メールアドレスなどが流出した可能性があります。Studioを名乗るメールでログインやパスワード入力を求められても、リンクは開かず、必ずブックマークからログインしてください。不審なメールが届いたら担当者まで転送をお願いします。

制作会社に運用を任せている場合の確認ポイント

Studioのプロジェクトを制作会社が管理しているケースでは、誰がどの対応をするのかが曖昧になりがちです。役割を先に決めておくと、対応漏れを防げます。

サイトのオーナー側で確認すること

プロジェクトのオーナーが自社なのか制作会社なのかを確認します。個別メールはプロジェクトオーナーに届くため、オーナーが制作会社の場合、自社には案内が来ていない可能性があります。あわせて、自社のメンバーがStudioのアカウントを持っているなら、各自のパスワード変更をお願いしてください。

制作会社側で棚卸しすること

制作会社は、管理しているStudioプロジェクトを一覧にし、案件ごとに「ライブプレビュー発行の有無」「API連携・フォーム・パスワード保護・カスタムプロキシ・Webhook・reCAPTCHAの利用有無」を確認します。公開前の案件でライブプレビューをクライアントに送っている場合は、URLの差し替え連絡も必要です。制作の現場では、ライブプレビューURLをチャットやメールに貼ったまま忘れていることが多いため、送った先も含めて洗い出すのがポイントです。

対応状況のチェックリスト

最後に、やることを優先順で一覧にしました。上から順に確認していけば、対応漏れを防げます。

よくある質問（FAQ）

Q. Googleログインしか使っていなくてもパスワード変更は必要ですか？

A. Studioのパスワードを設定していなければ、Studioのパスワード変更は不要です。ただし、ライブプレビューURLの削除や機能別の対応は、ログイン方法に関係なく必要です。

Q. 公開中のサイトは改ざんされていませんか？

A. 第一報の時点では、データの改ざんや削除は確認されていないとされています。念のため、公開中のサイトに見覚えのない変更がないかを確認しておくと安心です。

Q. 個別のメールが届いていなければ、機能別の対応は不要ですか？

A. 個別メールはプロジェクトオーナーに送られます。オーナーが別の人の場合は届きません。自分のプロジェクトで該当機能を使っていないかを確認し、使っていれば対応してください。不明な場合はStudioの問い合わせ窓口に確認できます。

Q. Studioはもう使わないほうがいいですか？

A. 第一報の段階で乗り換えを決める必要はありません。原因と再発防止策は続報で示される予定です。続報の内容を見たうえで、自社のサイトで扱う情報の重さに応じて判断するのが現実的です。

Q. 問い合わせはどこからできますか？

A. ログインできる方は、画面左下または右下のヘルプアイコンからサポートセンターを開き、「メッセージ」→「会話を始める」で「不正アクセスに関するお問い合わせ」を選びます。ログインできない方や契約管理だけを担当している方は、公式お知らせにある専用フォームから送信できます。受付は24時間、回答は平日10:00〜18:00に順次です。

Q. 続報ではどんな情報が出る予定ですか？

A. 対象となる利用者の範囲と件数、二次被害の有無の調査結果、原因と再発防止策が公表される予定です。続報はStudioのお知らせページで随時更新されます。

まとめ

Studioの不正アクセスは、アカウント情報に加えて、サイトの中身やフォーム送信内容、外部サービスの認証情報まで対象に含まれる事案です。まずはパスワード変更とライブプレビューURLの削除を今日中に済ませ、API連携やフォームなどを使っている場合は機能ごとに切り替えを進めてください。続報で対象範囲や原因が明らかになり次第、この記事も更新します。

参考：不正アクセスによる情報流出に関するお知らせ（Studio株式会社）