Studioに不正アクセス、フォーム送信情報などが流出の可能性。利用企業にも広がる「委託先リスク」と確認すべきポイント

ノーコードでWebサイトを制作できるサービス「Studio」のサーバー環境が不正アクセスを受け、サイトの問い合わせフォームなどから送られた内容や、外部サービスとの連携に使う認証情報が流出した可能性があることがわかりました。Studioを使って自社サイトを運営していたLuupやラクスルも、フォームに送信された個人情報が対象になると公表しています。

この事案のポイントは、自社のシステムが直接攻撃されていなくても、外部サービスに預けていた顧客情報が漏れれば、利用企業として対応が必要になるという点です。本記事では、公表された情報をもとに事案の経緯と影響を整理したうえで、外部サービスや委託先に情報を預けている企業が確認すべきポイントを解説します。

何が起きたのか：Studioへの不正アクセスの経緯

Studio株式会社は2026年10月16日、同社が利用するクラウド上のサーバー環境に第三者が不正にアクセスしていたと公表しました。同社によると、サービスの一部機能に存在したセキュリティ上の欠陥（脆弱性）が悪用され、環境内のデータを外部から取得できる状態になっていたということです。

公表されている経緯は次のとおりです。

不正アクセスの発生から把握まで、約2週間かかっている点にも注意が必要です。この間、データは外部から取得できる状態にありました。

なお、第三者が実際にデータを持ち出したという事実は、現時点では確認されていません。 ただしStudioは「取得されたもの」とみなして対応を進めています。10月18日時点で、影響を受けた情報の総件数や、悪用などの二次被害の有無については調査が続いています。

流出の可能性がある情報：フォームの内容から連携先の「鍵」まで

流出の可能性があるのは、大きく分けて「Studioのアカウント情報」と「利用していた機能に応じたデータ」です。

パスワードは「ハッシュ化」されていても変更が望ましい

ハッシュ化とは、パスワードを元に戻せない文字列に変換して保存する仕組みです。そのまま読まれるわけではありませんが、推測されやすい短いパスワードは解読される場合があります。同じパスワードを他のサービスでも使い回している場合は、そちらも含めて変更しておくと安心です。

暗号化されていた連携情報も、内容を知られた可能性

特に注意したいのが、外部サービスとの連携情報です。APIキーやトークンは、いわば外部サービスの扉を開けるための「合鍵」にあたります。Studioはこれらを暗号化して保存していましたが、暗号を解くための鍵も同じ不正アクセスで読み出されたと説明しています。つまり、暗号化されていたからといって安全とは言い切れない状況です。

合鍵が第三者の手に渡ると、Studio以外の連携先サービス（スプレッドシートや顧客管理ツールなど）にまで不正にアクセスされるおそれがあります。Studioは該当する機能の利用者に対し、キーやパスワードの再発行、連携設定の見直しを呼びかけています。

「削除したつもり」の回答も対象に

もう一つ見落としがちなのが、フォーム回答の保存範囲です。Studioの説明によると、管理画面上でゴミ箱へ移したものの完全には削除していない回答や、一部のテスト送信も対象に含まれます。画面に表示されている情報だけでなく、過去に預けた情報がどこまで残っているかを把握しておくことが重要です。

Studioを利用する企業にも影響が拡大

Studioの発表後、同サービスで自社サイトを運営していた企業からも、個人情報が流出した可能性があるとの発表が相次ぎました。

いずれの件数もフォームの送信回数で数えており、同じ人が複数回送信した分も含まれます。そのため、実際の人数とは一致しない可能性があります。

これらは別々の事故ではなく、Studioという一つのサービスへの不正アクセスに起因するものです。一つの外部サービスで問題が起きると、それを使うすべての企業に影響が連鎖します。こうした取引先やサービスを経由したリスクは「サプライチェーンリスク」と呼ばれます。

攻撃されたのが委託先でも、対応の責任は利用企業に

「攻撃を受けたのはStudioなのに、なぜ利用企業が公表するのか」と疑問に思う方もいるかもしれません。個人情報保護法では、顧客から個人情報を受け取った企業（今回であればフォームを設置した各社）が、その情報の管理に責任を持つと考えます。外部サービスに保管を任せていても、その責任はなくなりません。

不正アクセスによって個人データが漏洩した可能性がある場合、原則として企業は個人情報保護委員会への報告と、本人への通知が求められます。報告は、把握後おおむね3〜5日以内の「速報」と、原則30日以内（不正アクセスなど悪意によるおそれがある場合は60日以内）の「確報」の2段階です。Studioがフォーム利用企業向けに個人情報保護委員会への報告に関する案内を出しているのも、このためです。

つまり、委託先で事故が起きた場合でも、利用企業は限られた期間のうちに、影響範囲の把握・報告・顧客への連絡を進めなければなりません。

外部サービスに預けた情報は「見えにくい」

Webサイトの制作や運用を外部に任せると、情報の保管場所は自社の外へ広がります。制作会社だけでなく、その制作会社や自社が選んだCMS、フォーム作成ツール、クラウドサービスなど、複数の事業者に情報が保存されていることも珍しくありません。

しかも、次のような情報は自社の管理画面からは見えにくく、担当者も把握していないケースがあります。

• キャンペーン終了後も残っている特設サイトのフォーム回答
• 動作確認のために送ったテストデータ
• 担当者が過去に設定した外部サービスとの連携
• 管理画面で削除したつもりでも、サービス側に残っているデータ

今回の事案は、こうした「見えにくい情報」が流出の対象になり得ることを示しています。

企業が今すぐ確認したい4つのポイント

外部サービスや委託先を経由した情報漏洩に備え、企業が優先して確認したいのは次の4点です。

1. 利用しているサービスと、預けている情報を洗い出す

コーポレートサイトの問い合わせフォームだけでなく、採用ページやキャンペーンサイトなども含めて、「どの事業者に」「どんな情報を」「いつから」保存しているかを一覧にまとめます。すでに公開を終えたサイトや、削除予定のまま残っている回答も確認の対象です。保存しておく必要のない情報は、この機会に削除しましょう。

2. 外部サービスとの連携情報を再設定し、権限を見直す

APIキー、トークン、パスワード、Webhookの送信先URLなど、外部サービスとつながるための情報を洗い出します。Studioのように提供元から案内が出ている場合は、その手順に従って無効化・再発行してください。あわせて、使っていない連携は停止し、必要以上に広い権限が与えられていないかも確認します。

3. 委託先との連絡体制と、社内の役割分担を決めておく

事故が起きたときの委託先の連絡窓口、影響範囲の確認方法、顧客への通知、個人情報保護委員会への報告を、それぞれ誰が担当するのかを整理しておきます。前述のとおり報告には期限があるため、事前の取り決めが対応のスピードを左右します。今回の対象企業は、Studioが随時更新している最新の案内も確認してください。

4. 情報が外部に出回っていないかを調べる

委託先からの報告を待つだけでなく、自社の視点で確認することも有効です。自社名やドメイン名、顧客情報に含まれる固有の文字列などを手掛かりに、犯罪者が情報を売買する「ダークウェブ」などに漏洩情報が出回っていないかを調べる方法があります。

ただし、これは原因調査や委託先への確認を補う手段です。外部で痕跡が見つからなかったとしても、漏洩が起きていないと言い切れるわけではない点に注意してください。

まとめ：委託先に任せきりにしない情報管理を

今回のStudioの事案は、外部サービスを利用する多くの企業にとって他人事ではありません。自社で守っているつもりの情報も、実際には委託先や外部サービスの安全性に左右されています。

まずは、外部に預けている情報と連携の権限を整理し、万が一の際に対象者をすぐ特定して連絡できる状態を整えましょう。保存し続ける必要のない情報を減らしておくことも、事故が起きたときの影響を小さくする有効な対策です。

そして流出が懸念されるときは、内部調査や委託先への確認に加えて、ダークウェブアイ／ディスカバリーによる外部の漏洩情報調査も選択肢になります。委託先に預けた自社情報が外部に出回っていないかを確認することで、顧客への説明や追加対策を判断する材料にできます。

参考にした記事・公表資料

• Studio株式会社「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日公表、18日更新）
• Studio株式会社「Studioにおける不正アクセスに関するご案内」（2026年10月18日更新）
• Studio株式会社「フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内」（2026年10月17日）
• Luup「Webサイト制作サービス『Studio』への不正アクセスに伴うお知らせ」（2026年10月16日）
• ラクスル「当社が利用するクラウドサービスにおける不正アクセスに関するお知らせ」（2026年10月16日）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」