Studioで不正アクセス、顧客情報やAPIキーなど流出の可能性｜利用者にパスワード変更を要請

Webサイト制作プラットフォーム「Studio」を運営するStudio株式会社は、2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあったと発表しました。

Studioによると、一部機能の脆弱性が悪用され、クラウド環境内のデータを外部から取得できる状態になっていたとのことです。

現時点では、第三者が実際にどの情報を取得したのかは確認できていません。ただしStudioは、情報が取得された可能性があるものとして対応を進めています。

今回影響を受ける可能性がある情報には、Studioのアカウント情報だけでなく、フォームから送信された内容やAPIキー、トークンなども含まれており、Studioを利用してWebサイトを運営している企業や個人は確認が必要です。

Studioへの不正アクセスの概要

Studioが公表した時系列は次のとおりです。

• 2026年9月30日〜10月1日：現時点で確認されている第三者による不正アクセス
• 10月13日：Studio社内の調査で不正アクセスを確認
• 10月13日〜14日：脆弱性を修正し、不正アクセス経路を遮断
• 10月16日：利用者向けに不正アクセスについて公表

第三者はStudioの一部機能に存在していた脆弱性を悪用し、同社のクラウド環境へアクセスしていたとされています。

Studioはすでに脆弱性を修正し、不正アクセスに利用された経路についても塞いだとしています。

なお、Studioは「実際に第三者にデータを取得された事実は現時点では確認できていない」とする一方、安全を考慮して取得されたものとみなして対応を進めています。

流出した可能性がある情報

今回特に注意したいのが、対象となる情報の範囲です。

Studioに登録しているすべてのユーザーについて、以下の情報が外部に流出した可能性があるとされています。

Studioアカウント情報

• ユーザー名
• メールアドレス
• ハッシュ化されたパスワード

Studioのログインパスワードは平文ではなくハッシュ化して保存されていました。

一般的に適切な方法でハッシュ化されたパスワードから元のパスワードを直接復元することは容易ではありません。

ただし、パスワードの強度やハッシュ方式などによってリスクは異なるため、Studioでは対象ユーザーにパスワードの変更を求めています。

CMSやデザインデータも対象

Studio上で管理していた以下のようなデータについても、外部から取得された可能性があります。

• デザインエディタの内容
• CMSに保存された内容
• フォームに送信された内容【注意】
• Google reCAPTCHA v3の設定情報
• Webhook通知先URL
• ライブプレビューURL

特に注意したいのが、Webサイトのフォームから送信された情報です。

企業サイトなどでは、

• 名前
• メールアドレス
• 電話番号
• 会社名
• 問い合わせ内容

などをフォームから収集しているケースがあります。

Studioを利用しているサイト運営者だけでなく、Studioで作成されたWebサイトのフォームへ情報を送信した一般ユーザーにも影響する可能性があります。

APIキーやトークンも流出した可能性

今回の発表で特に重要なのが、外部サービスとの連携に使用される認証情報です。

流出した可能性がある情報には、

• API連携で登録したAPIキー
• APIトークン
• Googleスプレッドシート連携の認証情報
• カスタムプロキシのプロキシキー
• パスワード保護ページのパスワード

なども含まれています。

さらに、一部の情報については暗号化して保存されていたものの、復号に必要な鍵も同じ不正アクセスによって読み出された可能性があるとStudioは説明しています。

そのため「暗号化されていたので安全」とは言い切れない状況です。

APIキーやアクセストークンは、サービスによってはパスワードと同等、あるいはそれ以上の権限を持つことがあります。

Studioから個別の案内を受け取ったユーザーは、古いキーを無効化し、新しいキーへ切り替えることが重要です。

Studio利用者が今すぐ確認したいこと

Studioは、すべてのユーザーにいくつかの対応を呼びかけています。すでに利用している方には 【重要】不正アクセスによる情報流出に関するお詫びとお願い という 公式からメールが送信されたと思います。

1. Studioのパスワードを変更する

メールアドレスとパスワードでStudioへログインしている場合は、Studioのパスワードを変更します。

特に重要なのが、同じパスワードを他のサービスでも使い回している場合です。

同じパスワードを利用している、

• メール
• SNS
• ECサイト
• クラウドサービス
• Web制作サービス

などがあれば、それらのパスワードについても変更することをおすすめします。

GoogleログインやFacebookログインのみを使用し、Studio独自のパスワードを設定していないユーザーについては、この対応は不要とされています。

2. ライブプレビューURLを削除・再発行する

公開前のWebサイトを共有するためにライブプレビューURLを発行している場合は、現在のURLを削除するようStudioが呼びかけています。

今後も共有する必要がある場合は、一度削除したうえで新しいURLを発行します。

3. APIキーやトークンを変更する

API連携を利用している場合は、Studioから届いている個別メールを確認しましょう。

対象となる場合は、

• APIキー
• アクセストークン
• プロキシキー
• Webhook URL

などを切り替える必要があります。

単にStudio側の設定を変更するだけでなく、APIキーを発行している外部サービス側で古いキーを無効化することも重要です。

4. パスワード保護ページのパスワードを変更する

Studioのパスワード保護機能を利用している場合、そのパスワードについても変更が推奨されています。

まだ一般公開していないページや、顧客限定ページなどで使用している場合は特に注意が必要です。

5. フィッシングメールに注意する

情報漏えい事故の公表後には、その企業を装ったフィッシングメールが送られることがあります。

Studioも今回、

パスワードや認証情報をメールや電話で確認することはない

と案内しています。

「Studioのセキュリティ確認」「アカウントを再認証してください」などと称してログイン情報を入力させるメールには注意しましょう。

メールに記載されたリンクからログインするのではなく、普段使用しているブックマークやブラウザからStudio公式サイトへ直接アクセスする方が安全です。

Studio AIの先行利用者も対象になる可能性

今回の対象には、現在のStudioユーザー以外が含まれる可能性もあります。

2022年12月から2023年8月にかけて、AIサイト制作機能「Studio AI（当時Auto）」の先行利用へ申し込んだユーザーについて、

• メールアドレス
• ユーザー名
• IPアドレスから判定された居住国

などが外部に流出した可能性があるとされています。

該当者については、Studioアカウントを持っていない場合も含めて個別に連絡するとしています。

現時点でデータ改ざんや削除は確認されていない

Studioによると、2026年10月16日時点では、今回の不正アクセスによるデータの改ざんや削除は確認されていません。

またStudio側で使用していた決済・ログインなどに関する認証情報については新しいものへ切り替え、そのほかの認証情報についても順次無効化・変更を進めているとしています。

個人情報保護委員会など関係機関への報告も進めています。

今後は、

• 対象となったユーザーの範囲と件数
• 二次被害の有無
• 不正アクセスの詳しい原因
• 再発防止策

などが調査後に発表される予定です。

今回の事故で注目したい「暗号化」と鍵管理

今回の発表は、Webサービスのセキュリティを考えるうえでも興味深い事例です。

Studioでは一部の機密情報を暗号化して保存していました。

通常であれば、データベースなどが流出しても、暗号化されているデータをそのまま読み取ることはできません。

しかし今回は、Studioの説明によると暗号化されたデータだけでなく、復号に必要な鍵も同じ不正アクセスによって読み出された可能性があります。

つまり、

「データを暗号化しているから安全」

だけでは十分ではなく、

• 暗号化鍵をどこに保存するか
• アプリケーションから鍵へどの権限でアクセスできるか
• クラウド環境が侵害された場合に鍵まで取得されない設計になっているか
• APIキーやシークレットをどのように管理するか

といった鍵・シークレット管理そのものが重要であることが分かります。

企業がクラウドサービスを利用する際も、「データが暗号化されているか」だけではなく、認証情報や暗号化鍵がどのように管理されているかまで考える必要があります。

まとめ

2026年10月16日、Studio株式会社は、Studioの一部機能の脆弱性を利用した第三者による不正アクセスを公表しました。

現時点では第三者が実際に情報を取得した事実までは確認されていませんが、Studioは情報が取得された可能性があるものとして対応しています。

影響する可能性がある情報の範囲は広く、

• メールアドレス
• ハッシュ化されたパスワード
• CMS・デザインデータ
• フォーム送信内容
• APIキー・トークン
• Googleスプレッドシート連携情報
• ライブプレビューURL
• Webhook URL

などが含まれています。

Studioを利用している方は、まずパスワードを変更し、ライブプレビューURLやAPI連携などを使用している場合は、Studioから届いている個別案内も確認しておきましょう。

ドメシラでも今後、Studioから対象件数や原因、再発防止策などの続報が発表された場合には、本記事を更新していきます。

参考：Studio株式会社「第三者による不正アクセスについて」 2026年10月16日公開