Studioの不正アクセスで全顧客のAPIキーやフォーム内容が流出の恐れ

「Studioで作ったサイトの問い合わせフォーム、うちも漏れているの？」
「APIキーまで対象と聞いたけど、何から手を付ければいいの？」

チップス

ボス、ノーコードでサイトを作れる「Studio」が不正アクセスを受けたって聞いたでしゅ！

ボス

そうだ。しかも対象は一部の顧客ではない。登録しているすべての顧客の情報が流出した可能性があると公表された。

チップス

うちの会社のサイトもStudioで作ってましゅ……。

ボス

なら他人事ではないな。何が対象になったのかを知れば、やるべきことは自然と決まる。

Web制作を外部のプラットフォームに任せている企業は多く、問い合わせフォームの中身までは意識していなかった方も多いはずです。
この記事では、Studioの公表内容と、利用企業がすぐに確認すべきポイントを整理します。

読み終えるころには、自社がStudioを使っている場合に何を点検すべきかがはっきりするはずです。

Studioへの不正アクセスの概要

被害はStudio社だけでなく、Studioでサイトを作ったすべての企業に及ぶ可能性があります。

全顧客が対象になった不正アクセス

Studioの公表によると、第三者がStudioの一部機能の脆弱性を悪用し、同社のクラウド環境に不正にアクセスしました。
不正アクセスが確認された期間は2026年9月30日から10月1日（日本時間）です。
同社が社内調査で不正アクセスに気づいたのは10月13日で、侵入から検知まで2週間近くかかっています。
経緯は以下の通りです。

Studioは、第三者が実際にデータを取得した事実は確認できていないものの、取得されたものとみなして対応するとしています。
対象件数は精査のうえで続報として公表する予定です。

復号鍵まで読み出された対象情報

今回の事案で深刻なのは、対象範囲の広さです。
Studioが挙げている主な対象情報は以下の通りです。

一部のデータは暗号化されていましたが、復号に使う鍵も同じ不正アクセスで読み出されていました。
つまり暗号化は、今回は守りとして十分に機能しなかった可能性があります。
利用企業の側でも影響の公表が続いています。
ラクスルは、問い合わせや見積もり、資料請求などのフォームから受け付けた6412件について、氏名や電話番号、メールアドレスなどが漏えいした可能性があると発表しました。

原因と教訓

外部のプラットフォームに預けた情報は、自社の管理外で漏れることがあります。

預けたデータが自社の外で漏れるリスク

今回のポイントは、利用企業自身には落ち度がなくても情報が漏れうるという点です。
フォームに入力された個人情報は、利用企業のサーバーではなくStudioのクラウドに保存されていました。
そのため、Studio側の脆弱性ひとつで、多数の企業の問い合わせ情報が一度に危険にさらされました。
さらに、APIキーやトークンが漏れると、連携先の外部サービスに不正にアクセスされる恐れもあります。
フォームの情報漏えいだけで終わらず、別のサービスに被害が広がりうる点に注意が必要です。
委託先の事故であっても、個人情報を集めた企業は顧客への説明責任を負います。
ラクスルのように、利用企業が自ら件数を調べて公表する対応が求められるのはそのためです。

利用企業がすぐにやるべき対応

Studioは利用者に対して、以下の対応を呼びかけています。

このうち最優先なのは、APIキーとトークンの切り替えです。
連携先のサービス側でキーを無効化しない限り、漏れたキーは使えてしまいます。
あわせて、自社のフォームでどんな情報を集めていたかを洗い出し、顧客への連絡が必要かを判断しましょう。
フォームで受け付けた件数は、顧客への連絡や個人情報保護委員会への報告を判断する材料になります。

まとめ

Studioへの不正アクセスは、全顧客のフォーム内容やAPIキーに影響が及ぶ可能性がある事案です。
復号鍵まで読み出されていたため、暗号化されていたから安心とはいえません。
Studioを使っている企業は、まずAPIキーとトークンを切り替え、そのうえでフォームの受付件数を確認して顧客対応を検討しましょう。
外部サービスに預けたデータがどこに保存され、漏れたら何が起きるのかを、平時から把握しておくことが大切です。

ボス

自社のサーバーが無事でも、預け先が破られれば同じことだ。どこに何を預けているかを把握しておけ。

チップス

まずはAPIキーの切り替えからやりましゅ！