Studio comunica un acceso no autorizado y posible filtración de datos de clientes

Studio ha anunciado que confirmó un acceso no autorizado de terceros al entorno en la nube que utiliza la empresa. El periodo confirmado del acceso no autorizado es, en hora de Japón, del 30 de septiembre al 1 de octubre de 2026, y la compañía indica que, aunque no ha podido confirmar hechos de extracción efectiva, actuará "como si se hubieran obtenido" los datos. La corrección de la vulnerabilidad y el bloqueo de las vías de acceso se completaron entre el 13 y el 14 de octubre de 2026.

La empresa explica que podrían haberse filtrado la información de cuentas de Studio (nombre de usuario, dirección de correo electrónico, contraseñas hasheadas), contenidos de diseño y CMS, contenidos enviados por formularios, URLs de vista previa en vivo y credenciales incluidas en varias configuraciones (claves API y tokens de servicios externos, URLs de Webhook, etc.). También indican que, respecto a los datos cifrados, la clave necesaria para descifrarlos fue leída, por lo que es posible que su contenido haya quedado expuesto.

Como medidas, Studio ya ha reemplazado las credenciales y claves de cifrado usadas para pagos e inicio de sesión, y actualizó la clave de cifrado el 17 de octubre de 2026. Además, a las 2:30 del 14 de octubre cerraron la sesión de todos los usuarios y enviaron notificaciones por correo individualizadas a los propietarios de los proyectos afectados según la funcionalidad. A los usuarios del servicio de formularios se les informó que pueden elegir entre una notificación conjunta o una notificación individual para reportar el incidente a la Comisión de Protección de la Información Personal.

La compañía afirma que hasta el momento no se ha confirmado alteración ni eliminación de datos, pero que la presencia de daños secundarios y el número exacto de afectados están bajo investigación, y que una entidad externa especializada está investigando las causas y proponiendo medidas para evitar recurrencias. Instan a los usuarios a cambiar contraseñas, reemitir o eliminar claves API y URLs de vista previa en vivo, y a revisar los historiales de uso de los servicios vinculados. Las actualizaciones futuras se publicarán en la página de avisos de la compañía.