Studioが不正アクセスを公表、最大で顧客データ流出の可能性

Studioは、同社が利用するクラウド環境に対する第三者の不正アクセスを確認したと発表しました。確認されている不正アクセスの期間は日本時間で2026年9月30日〜10月1日で、同社は実際に取得された事実は確認できていないものの「取得されたものとみなして」対応を進めるとしています。脆弱性の修正と経路の封鎖は2026年10月13日から14日にかけて完了したとしています。

同社は、Studioアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワード）、デザインやCMSの内容、フォーム送信内容、ライブプレビューURL、各種設定に含まれる認証情報（外部サービスのAPIキーやトークン、WebhookのURLなど）が流出した可能性があると説明しています。暗号化したデータについても、復号に必要な鍵が読み出されたため内容を知られた可能性があるとしています。

対応として、Studio側は決済やログインに使う認証情報や暗号化鍵を新しいものに切り替え済みで、2026年10月17日に暗号化鍵を更新したとしています。また、10月14日午前2時30分に全ユーザーを一括ログアウトし、影響を受けるプロジェクトのオーナーには機能別に個別メールで案内を送付しました。フォーム機能利用者に対しては個人情報保護委員会への報告について、連名報告と個別報告を選べる旨の案内を行っています。

同社はデータ改ざんや削除は現時点で確認されていないとしつつ、二次被害の有無や詳細な影響件数は調査中で、外部専門機関により原因調査と再発防止策を進めるとしています。ユーザーにはパスワード変更、APIキーやライブプレビューURLの再発行・削除、連携先サービスの利用履歴確認など具体的な対応を促しています。今後の続報は同社のお知らせページで公表するとしています。