Studioクラウド環境に不正アクセス、APIキー流出の可能性

Studio株式会社は2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあり、預かっている情報が外部に流出した可能性があると公表した（第一報）。

第三者がStudioの一部機能の脆弱性を悪用してクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていた。この状態は10月14日に同社が対処するまで続いた。実際に取得された事実は確認できていないが、取得されたものとみなして対応している（同）。

現時点で確認できている不正アクセスの期間は9月30日〜10月1日（日本時間）。10月13日に社内調査で確認し、13〜14日に脆弱性の修正と経路の遮断を終えた（同）。

対象は、Studioに登録しているすべての利用者。アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタ・CMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL、ライブプレビューのURL、API連携に登録された外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキーが流出した可能性がある。件数は精査中（同）。

フォーム送信内容、APIキー・トークン、スプレッドシート連携の認証情報、プロキシキー、reCAPTCHA v3の設定情報、Webhook URLは、暗号化して保存していたものも、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性がある（同）。

2022年12月〜2023年8月に「Studio AI」（当初は「Auto」）の先行利用を申し込んだ人のメールアドレス、ユーザー名、住んでいる国（接続元IPアドレスから判定）も対象。Studioのアカウントを持たない人も含まれる（同）。

データの改ざんや削除は確認されていない。二次被害の有無は調査中（同）。

【2026-10-17追記】Studioで作ったサイトの運営者による公表が続いている。Luupは10月16日、Studio製サイトのフォーム（ポート設置リクエスト、Unimoの問い合わせ、改正道路交通法の質問など4種）から送信された合計21,368件（同じ人の複数回送信を含む）の氏名・連絡先・住所・会社名などが流出した可能性があると発表した。LUUPアプリの登録情報は別システムで対象外（Luup）。

【2026-10-17追記】ラクスルは10月16日、サービス案内用サイトの問い合わせ・見積もり・資料請求・セミナー申込みなどのフォームに2024年6月3日〜2026年10月15日に入力された6,412件（氏名、所属先組織、電話番号、メールアドレス、相談内容・予算など）が漏えいした可能性があると発表した。印刷通販サイト「ラクスル」の会員・注文・支払い情報は対象外（ラクスル）。

【2026-10-17追記】自治体側でも公表が出ている。久留米市文化振興課が事務局を務める「音楽によるまちづくり推進実行委員会」は10月16日、音楽イベント「KURUME MUSIC FES」公式サイトの問い合わせフォームに入力された計75件の氏名・住所・電話番号などが漏えいした可能性があると発表した。サイトの制作にStudioを使っていた（読売新聞オンライン（Yahoo!ニュース））。

【2026-10-17追記】上場企業のLink-Uグループは10月16日の適時開示で、2021年3月からコーポレートサイトの制作・運用にStudioを使っており、問い合わせフォームで取得した個人情報7,663件（10月16日時点）について漏えいの可能性を否定できないと発表した。影響は同社と連結子会社のコーポレートサイトに限られ、グループが運営する各サービスには影響はない。問い合わせページは非表示にした（Link-Uグループ）。

【2026-10-17追記】報道各社でも公表が出ている。静岡新聞社は10月16日、静岡新聞への掲載申し込みフォーム（市民スポーツのグラウンドゴルフ掲載専用フォームなど）の氏名・電話番号・メールアドレスなど最大約3,000件が漏えいした可能性があると発表し、グループの伊豆新聞本社でも227件の流出の可能性があるとした（読売新聞オンライン）。デーリー東北新聞社は同日、企業などから受注してStudioで作ったウェブページに入力された氏名・電話番号・メールアドレスを含む423件が漏えいした可能性があると発表した。クレジットカード情報は含まれず、関係先には個別に連絡したとしている（デーリー東北）。

【2026-10-17追記】Studioは10月17日、フォーム機能の利用者向けの案内を公開した。個人情報保護委員会からの要請を受け、これから同委員会へ報告する予定の利用者には個別の報告をいったん保留するよう求めた。Studioが取りまとめて利用者と連名で報告できるか同委員会と協議する予定で、進め方や保留中の期限の扱いは改めて案内する。保留をお願いするのは同委員会への報告だけで、サイトの利用者（本人）への通知は引き続き各利用者で検討するよう求めている（Studio）。

【2026-10-18追記】自治体と企業の公表がさらに続いている。福岡市は10月16日、「Fukuoka Social Startup Acceleration」の事前エントリーフォームに登録した42人分の氏名とメールアドレスが漏えいした可能性があると発表した。同じ発表資料に載った官民共働型のスタートアップ支援施設「Fukuoka Growth Next」の第一報では、問い合わせ・入居申し込み・プログラム応募の6つのフォームで計629件（185件、87件、190件、3件、89件、75件）が対象で、Studio上のフォームのデータは消去した（福岡市・Fukuoka Growth Next）。京都市は同日、委託先の京都市芸術文化協会が運営する2つの事業サイトへの問い合わせ計33件（30件と3件）について漏えいの可能性を発表した（京都市）。

【2026-10-18追記】東北電力は10月17日、グループの東北電力フロンティアがイベント関連サイト5つの問い合わせフォームで受け付けた延べ182件（会社名・氏名・メールアドレス・電話番号・問い合わせ内容）について漏えいの可能性を発表した。電気契約や光回線の顧客情報は対象外（東北電力）。スマートラウンドは10月17日、問い合わせとSOC2報告書の開示申込のフォームに2023年3月28日〜2026年10月15日に送信された1,371件（約1,050人）について流出のおそれがあると発表し、個人情報保護委員会へ報告しているとした。同社サービス「smartround」の登録情報は対象外（スマートラウンド）。

【2026-10-18追記】鹿児島でも公表が出ている。南日本放送は10月16日、Studioで作ったイベント等の4サイトに送信された計38件について流出の可能性を発表した。内訳は「動き出す浮世絵展」（2024年）のワークショップ応募29件、「デジタルの日 2026 in 鹿児島 DAY2」の問い合わせ5件、「VISION GATE」の問い合わせ2件、「MBCラジオスペシャルウィーク2026」のメッセージ2件で、項目は氏名・メールアドレス・電話番号・メッセージ（サイトにより会社名などの企業情報やラジオネーム）。社内で管理するStudio関連のログイン情報や連携設定はすべて変更したとしている（南日本放送）。同じ「デジタルの日 2026 in 鹿児島 DAY2」の特設サイトについては、鹿児島市からイベントを受託したMBC開発も10月17日、問い合わせフォームの5件（氏名・メールアドレス）に漏えいの可能性があると発表し、特設サイトは委託先が非公開にした（MBC開発）。

【2026-10-19追記】アニメ制作会社MAPPAの15周年展覧会「MAPPA EXPO 15th Anniversary」の運営事務局は10月17日、公式サイト（expo.mappa.co.jp）の運営に使うStudioへの不正アクセスにより、「CONTACT」フォームに2026年6月19日〜10月15日に寄せられた名前・メールアドレス・問い合わせ内容が外部に流出した可能性を否定できないと発表した。対象の範囲と件数は確認中で、実際の取得や二次被害は確認されていない。不正アクセスの影響が確認されているのは同サイトだけで、MAPPA公式サイトとMAPPA ONLINE SHOPへの不正アクセスは確認されていない（MAPPA EXPOのお知らせ）。

【2026-10-19追記】Studioの対応状況をまとめた案内ページ（10月18日20時30分更新）によると、第三者が取得した認証情報にはデータを書き換えられる権限も含まれていた。その認証情報による操作の記録を調べ、デザインエディタやCMSの内容などを書き換えたり削除したりした記録はないことを確認したという。認証情報はすでに無効化している（Studioの案内ページ）。

【2026-10-19追記】同じ案内ページによると、フォーム送信内容や外部サービスのAPIキーなどを暗号化する鍵は10月17日に新しい鍵へ切り替え、以後に保存するデータは新しい鍵で暗号化している。古い鍵は切り替え前のデータを読み出すためだけに残しており、新しい鍵で暗号化し直して古い鍵を廃止する作業を進めている。原因の詳しい調査は外部の専門機関に依頼するため依頼先と調整中で、結果と再発防止策がまとまる時期は決まっていない。カスタムプロキシの古いキーは、利用者から差し替え完了の連絡を受けたプロジェクトから無効化する方式に改め、期日は10月16日のメールの受信から30日以内とした（同）。

【2026-10-19追記】ITmedia NEWS（10月19日）によると、Studioが10月16日に「利用者自身に報告が必要な場合がある」と案内したのを受け、17日までに個人情報保護委員会へ報告した利用者もいて、17日の保留の依頼に戸惑う声が出ている。すでに報告した利用者の今後の扱いは、Studioが同委員会に確認して改めて案内する（ITmedia NEWS、Studioの案内ページ）。

【2026-10-19追記】シェアサイクル「HELLO CYCLING」を運営するOpenStreetは10月17日、Studioで運営するWebサイトの広報・メディア関連の問い合わせ63件と、ポート設置・事業提携などの問い合わせ1,671件の計1,734件（10月16日時点の保存回答数）に流出の可能性があると発表した。氏名、会社名、メールアドレス、電話番号、住所・ポート設置希望場所などが含まれる。HELLO CYCLINGアプリの会員情報と利用履歴は別のシステムで管理しており対象外（OpenStreet）。

【2026-10-19追記】メンタルヘルスアプリ「Awarefy」を運営するAwarefyは10月19日、Studioで運営するWebサイトの4つのフォーム（コーポレートサイトとサービスページの問い合わせ、採用エントリー、研究・実践パートナーのエントリー）で受け付けた氏名・メールアドレス・電話番号・問い合わせ内容・添付ファイルのファイル名などに漏えいのおそれがあると発表した。件数は示していない。アプリのアカウント情報、利用データ、支払い情報は対象外。個人情報保護委員会への報告は、Studioと同委員会が協議中の方針に従うとした（Awarefy）。

【2026-10-20追記】新潟日報（10月19日21時40分）によると、新潟市・長岡市・見附市は10月19日、ポータルサイトの問い合わせフォームに入力された個人情報が漏えいした可能性があると発表した。サイトの制作に使うサービスが不正アクセスを受けたためで、情報の流出は確認されていない（新潟日報）。このうち見附市は、移住定住サイト「ハピネスみつけ」の問い合わせフォームに2025年7月16日〜2026年10月5日に寄せられた個人13件・企業57件の氏名・会社名・メールアドレス・電話番号・住所・問い合わせ内容が対象で、対象者にはメールで連絡したとしている（見附市）。

【2026-10-20追記】滋賀県草津市は10月20日、指定管理者が「草津川跡地公園」のホームページ作成に使うStudioへの不正アクセスで、同公園のホームページの「お問い合わせ」から取得した計108件（10月16日時点）の氏名・住所・電話番号・メールアドレスに流出の可能性があると発表した。2023年度以降に入力した人には指定管理者がメールで連絡する（草津市）。

【2026-10-20追記】10月19日にも企業の公表が相次いだ。Ubieは、コーポレートサイトの問い合わせ（2018年12月2日〜2026年9月29日、最大15,243件）とサービスに関する問い合わせ（2019年7月10日〜2026年4月24日、最大762件）の計最大16,005件（精査中）について流出の可能性を発表した。氏名・メールアドレス・電話番号・所属・問い合わせ内容などが対象で、「ユビー」「ユビー生成AI」「ユビーAI問診」のシステムは対象外（Ubie）。

【2026-10-20追記】ユーザベースは10月19日、Studioで運営していたWebサイトの問い合わせフォームの入力内容（氏名、生年月日、性別、住所、電話番号、メールアドレス、所属先・経歴・収入などフォームに入力された情報）に流出の可能性があると発表した。件数は示していない。Speeda・NewsPicksなどのアカウントやパスワードは対象外（ユーザベース）。

【2026-10-20追記】東証グロース上場のLiNKXは10月19日の適時開示で、2022年1月からコーポレートサイトにStudioを使っており、問い合わせフォームで取得した個人情報1,890件（10月19日時点）に漏えいの可能性があるとした（LiNKX）。TOKYO PRO Market上場のand USも同日、コーポレートサイトと採用サイトの問い合わせフォームの計1,024件（営業目的の送信などを含む）について漏えいの可能性を開示した（and US）。

【2026-10-20追記】TRUSTARTは10月19日、サービス紹介ページの問い合わせ・資料請求フォーム（2021年12月〜2026年5月）の約1,440件（氏名・会社名・役職・メールアドレス・電話番号など）に流出の可能性があると発表した。同社は現在Studioの利用を停止しており、保存されている情報の削除を進め、外部サービスに保存する個人情報の範囲や保存期間、利用をやめる際のデータ削除の手順を見直すとしている（TRUSTART）。

【2026-10-20追記】メディアリンクは10月19日、AIto、MediaVoiceオートコール、公開を終えたDXでんわ（宿泊施設向け・不動産向け）のサイトの問い合わせ延べ901件（2023年7月〜2026年10月）について流出の可能性を発表した（メディアリンク）。JIJも同日、日本語・英語の問い合わせフォームの送信内容（氏名・メールアドレス・会社名・問い合わせ内容など）について漏えいのおそれを発表した。件数と期間は未確定（JIJ）。

【2026-10-20追記】Studioは10月20日、フォーム機能の利用者向け案内を更新した。個人情報保護委員会と協議した結果、利用者は自分で個別に報告するか、Studioが取りまとめる利用者とStudioの連名の報告かを選べることになった。所定の方法で連名報告をした場合は、本件に限り速報の目安の期間を過ぎても報告遅延として扱わない。すでに個別に報告した利用者は受付済みで、連名報告に切り替えれば個別の確報は不要。申し込みの方法と受付期間は今後案内する。連名報告は委員会への報告だけで、サイト利用者本人への通知は含まない（Studio）。

【2026-10-20追記】TVerは10月20日、出稿者・出稿希望者向けのWebサイト「TVer広告」のフォームで取得し、Studio上で管理していた企業・法人の顧客情報（氏名、会社名、所属部署名、メールアドレス、問い合わせ内容など）が漏えいした可能性があると発表した。延べ件数は問い合わせフォーム734件、資料請求フォーム1,067件。動画配信サービス「TVer」の利用者の情報は含まれない。実際の取得や二次被害は確認されていないとし、対象者には同日から順次メールで連絡する（TVer）。

【2026-10-20追記】朝日新聞（10月20日）によると、新潟市が10月19日に発表した件数は計67件。受託事業者が利用者募集に使っていたStudioのサイトで、「業務効率専門家派遣事業」の問い合わせ8件（会社・団体名、担当者氏名、電話番号、メールアドレス、相談内容など）と、「在宅テレワーカー育成・就労支援事業」の問い合わせ59件（個人の氏名、勤務先企業名、電話番号、メールアドレス、問い合わせ内容など）が対象。該当者には連絡済みで、影響範囲は調査中としている（朝日新聞、新潟市の報道資料）。

【2026-10-20追記】香川県坂出市は10月20日、市の移住ポータルサイトの相談フォームに入力された氏名やメールアドレスなど28件が流出した可能性があると発表した。対象者に連絡して注意を呼びかけており、個人情報の不正利用は確認されていない（KSB瀬戸内海放送）。

【2026-10-21追記】10月20日にも企業の公表が続いた。オロは、applog（旧dxeco）・Preco・ハヤサブ・Perlunaのサービスサイトの問い合わせフォームに送信された1,074件（氏名・会社名・部署名・メールアドレス・電話番号など）について流出の可能性を発表した。ZACなど他サービスの情報は対象外（オロ）。Schooは、enpeer（Schoo for Business）など6サイトのフォームの延べ2,936件（約2,600名）について漏えいの可能性を発表し、学習者の会員情報はStudioで管理しておらず影響はないとした（Schoo）。スカパーJSATは、SATELLITE CRAYON PROJECTのサイトの問い合わせフォームの最大32件について発表し、フォームの運用を止めた（スカパーJSAT）。Relicは同日19時、Innovator’s101など19サービスのサイトのフォーム約8,538件（送信件数）について流出の可能性を発表し、Studioで作ったサイトの全量把握を続けているため対象が増える可能性があるとした（Relic）。

【2026-10-21追記】自治体では、青森市が10月19日、公民連携ポータルサイトに2023年7月〜2024年1月に寄せられた企業等からの提案11件（企業・団体名、担当者名、所在地、電話番号、メールアドレス、提案内容など）について流出の可能性を発表した（青森市）。広島県府中市は10月19日、すでに知らせていた「移住応援サイトふふふちゅう」（問い合わせ31件）に加え、「道の駅びんご府中」のサイトの問い合わせ123件（名前・メールアドレス）も漏えいのおそれがあると発表した（府中市）。和歌山市は、デジタル人材育成事業の受講申込52名分（氏名・生年月日・住所・電話番号・メールアドレス）と、移住サイトで資料をダウンロードした23名分について流出の可能性を発表した（和歌山市）。

【2026-10-23追記】デジタル庁は10月22日、Studioで作ったWebサイトのフォームに入力された情報が流出した可能性があると発表した。10月16日にStudioから報告を受けた。対象は2021年5月〜2023年3月のフォームで、一般的なご意見（最大8,833件）、採用の問い合わせ（最大250件）、接種証明書アプリの問い合わせ（最大3,661件）、マイナちゃん着ぐるみの借用（最大117件）、ワークショップなど（最大462件）。ほかに、Studioアカウント35件（職員・委託事業の従事者の氏名とメールアドレス）も対象。二次被害は確認されていない（デジタル庁）。

【2026-10-23追記】自治体の公表も続いた。千葉県は10月20日、委託事業4事業（若者の仲間づくり支援「ちば部」のサポーター78事業者と問い合わせ15名・18件、在宅医療アドバイザー派遣を申し込んだ29医療機関、DX人材育成研修の参加者11名、外国人観光客向け体験観光の問い合わせ4事業者・5件）で漏えいの可能性があると発表した（千葉県）。北九州市は10月21日、「北九州イノベーションゲート2026」の応募フォームに入力された企業情報5社・延べ9件（運営受託はトーマツ）について流出の可能性を発表した（北九州市）。長野県は10月22日、受託事業者が使っていた3事業のフォームの計341件（デジタル化一貫支援152件、賃上げ・業務改善支援センター177件、スカウト型マッチングの説明会申込12件）を公表した（長野県）。福島民友（10月23日）によると、福島県田村市も22日、委託事業者が管理するサイトのフォームに入力された465件（地域おこし協力隊やお試し移住の問い合わせ、市民大学の講座申し込みなど）に漏えいの可能性があると発表した（福島民友）。

【2026-10-17】Studio製サイトの運営者側の公表で、フォーム送信内容の件数が出始めた（Luup 21,368件、ラクスル6,412件、【2026-10-17追記】KURUME MUSIC FES 75件、【2026-10-17追記】Link-Uグループ7,663件、静岡新聞社 最大約3,000件、伊豆新聞本社227件、デーリー東北新聞社423件、【2026-10-18追記】スマートラウンド1,371件、Fukuoka Growth Next 計629件、東北電力フロンティア延べ182件、福岡市42人分、京都市33件、南日本放送 計38件（うち「デジタルの日 2026 in 鹿児島 DAY2」の5件はMBC開発も同じサイト分として公表）、【2026-10-19追記】OpenStreet 計1,734件、【2026-10-20追記】見附市 個人13件・企業57件、草津川跡地公園（草津市）108件、【2026-10-20追記】TVer広告 延べ1,801件、新潟市67件、坂出市28件）。いずれも、実際に第三者に取得された事実は確認されていないとしている（Luup、ラクスル）。Studio全体の件数は第一報のまま「精査中」。

【2026-10-17】フォームで個人情報を集めていた利用者による個人情報保護委員会への報告は、同委員会の要請で個別報告をいったん保留し、Studioが連名での取りまとめ報告を同委員会と協議する方針になった（Studio）。

【2026-10-19】書き換え権限のある認証情報も取られていたが、データを書き換え・削除した記録はない。暗号化の鍵は10月17日に切り替え済みで、古い鍵を廃止する作業中（Studioの案内ページ）。

【2026-10-20】個人情報保護委員会への報告は、利用者が個別報告と、Studioが取りまとめる連名報告のどちらかを選べることになった。連名報告なら速報の期限超過を遅延として扱わない。申し込み方法と受付期間は未定（Studio）。

【2026-10-28】連名報告の申し込み受付は11月上旬に始める予定で、日程は改めて案内する。受付期間を設け、期間内に申し込みがなければ連名報告の対象外になる（その場合は個別に報告）。すでに問い合わせ窓口などで希望を伝えた利用者も、受付開始後にフォームから申し込む必要がある。案内はログイン時のお知らせと、10月28日から順次送るメールでも行う（Studio）