ノーコードのWebサイト制作サービス「Studio」が第三者から不正アクセスを受け、サイトの問い合わせフォームに送信された内容や、外部サービスと連携するためのAPIキーなどが流出した可能性がある。Studioが10月16日に公表して以降、利用していた企業や自治体による公表が相次ぎ、10月22日にはデジタル庁も、ホームページの問い合わせ情報など最大1万3,323件が漏えいした可能性があると発表した。
事案の詳細
Studioによると、第三者が同サービスの一部機能の脆弱性を悪用し、2026年9月30日から10月1日にかけてクラウド環境に不正アクセスした。環境内のデータを外部から取得できる状態は、10月14日に対処するまで続いていた。同社は10月13日に社内調査で不正アクセスを確認し、13〜14日に脆弱性の修正と侵入経路の封鎖を実施。14日午前2時30分ごろにはログイン中の全ユーザーを一度ログアウトさせた。脆弱性の種類や侵入経路の詳細は公表されておらず、原因は外部の専門機関が調査している。
流出した可能性があるとされる主なデータは次のとおり。暗号化していたデータも、復号に使う鍵が読み出されたため対象とされている。
- 全登録ユーザーのアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワード）
- デザインエディタ・CMSの内容、フォームの送信内容（ゴミ箱内やテスト送信分を含む。添付ファイルはファイル名のみ）
- 外部サービス連携のAPIキー・トークン、Webhook URL、ライブプレビューURL、reCAPTCHA v3の設定
- パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー
- Studio AI先行利用申込者（2022年12月〜2023年8月）のメールアドレス、ユーザー名、国
Studioは、第三者による取得は確認されていないものの、取得されたものとみなして対応しているとしている。データの改ざんや削除は確認されていない。同社は認証情報の切り替えを進め、10月17日に暗号化鍵を新しい鍵に切り替えた。
影響：デジタル庁や自治体、企業など100近い組織が公表
セキュリティ研究者のまとめ（piyolog、10月20日時点）では、影響を公表した組織は98にのぼり、自治体17、上場企業5、その他の企業・団体57、個人事業主・小規模事業者19が含まれる。その後もデジタル庁などの公表が続いている。
デジタル庁の発表では、2021年5月から2023年3月に同庁ホームページの問い合わせフォームに入力された内容が対象。内訳は、一般的な意見・要望が最大8,833件、接種証明書アプリ関連が3,661件、ワークショップ等の参加関連が462件、採用関連が250件、マイナちゃん着ぐるみ借用が117件。氏名、メールアドレス、問い合わせ内容に加え、区分により電話番号、所属、送付先住所が含まれる。ほかに、Studioのアカウント情報35件（同庁職員や委託事業従事者の氏名とメールアドレス）も対象になった。同庁は現時点で二次被害は確認されていないとしている。
フォームに個人情報を送信した人だけでなく、Studioでサイトを運営する組織自身が「漏えい報告の当事者」になる点が今回の特徴だ。Studioは個人情報保護委員会への報告について、各社による個別報告か、Studioとの連名かを選べる方式にしたと案内している。
対策・今後の展望（Studioでサイトを運営している組織向け）
Studioは利用者に次の対応を求めている。担当者や制作会社が退職・交代していて、連絡メールを見落としているケースもあるため、今一度確認したい。
- Studioのパスワードを変更する：同じパスワードを他サービスで使っている場合はそちらも変更する。
- 外部連携の鍵を切り替える：APIキーの再発行と古いキーの失効、Webhook URLの切り替え、Googleスプレッドシート連携の解除と再連携、カスタムプロキシキーの差し替えと完了連絡（10月16日のメール受信から30日以内）。
- 公開前ページなどの合言葉を変える：ライブプレビューURLの削除と再発行、パスワード保護ページのパスワード変更。
- 心当たりのない変更・通知を確認する：サイト内容や連携先サービスに不審な変更がないか点検する。
- フォーム送信者への対応を決める：問い合わせフォームを使っていた場合は、送信者への通知の要否と、個人情報保護委員会への報告方法（個別か連名か）を判断する。
フォームから問い合わせをした個人の側では、Studioや問い合わせ先の組織を装った不審なメール・SMSに注意し、リンクや添付ファイルを開かないようにしたい。
CSRIからの現場アドバイス
【現場で何が起きているか】中小企業のWebサイトは、ノーコードツールやSaaSで制作会社に任せきりになっていることが多く、「どのサービスで作り、誰が管理者で、どの外部サービスとつながっているか」を社内で把握できていない例が珍しくありません。今回のように提供元が侵害されると、自社に落ち度がなくても漏えい報告や顧客への説明が必要になります。
【平易な解説】APIキーやWebhook URLは、サイトが他のサービス（スプレッドシートやチャット、メール配信など）に自動でデータを送るための「合鍵」です。これが漏れると、連携先のデータを読み書きされるおそれがあります。パスワードを変えるだけでは足りず、合鍵をすべて作り直して古い鍵を使えなくすることが重要です。
【今週中にできること】まず、自社や関連会社のWebサイトにStudioで作ったものがないか、制作会社にも確認してください。該当があれば、Studioからのメールを探し、上記の切り替えを担当者と期限を決めて実施します。フォームで個人情報を受け付けていた場合は、法務・個人情報の担当者と通知・報告の方針を決めましょう。あわせて、他に使っているSaaSについても「管理者・連携先・保存している個人情報」を一覧にしておくと、次に同様の事案が起きたときの初動が大きく変わります。
参照: Studio 不正アクセスに関するご案内 ／ INTERNET Watch（デジタル庁の発表） ／ ビジネス+IT ／ piyolog