Studioの不正アクセス共通基盤と各サイト運営者の確認範囲を分ける

資料で確認できること

Studioは脆弱性を悪用した不正アクセスを確認した

Studio株式会社は2026年10月16日、第三者がStudioの一部機能の脆弱性を悪用し、同社のクラウド環境へ不正アクセスしたと公表しました。確認できている不正アクセス期間は9月30日から10月1日で、10月13日に社内調査で確認し、10月13日から14日に脆弱性の修正とアクセス経路の遮断を完了したとしています。

同社は、環境内のデータを外部から取得できる状態だった一方、第三者が実際に取得した事実は確認できていないと説明し、取得されたものとみなして対応を進めています。『取得可能な状態』と『取得を確認』を入れ替えてはいけません。

• 資料 01Studio株式会社：【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）

当事者の説明

対象候補はアカウント情報、サイト管理データ、認証情報に及ぶ

Studioは、登録しているすべての顧客について、ユーザー名・メールアドレス・ハッシュ化されたパスワードなどのアカウント情報、デザインエディタやCMSの内容、Studioに保存されたフォーム回答、ライブプレビューURL、各種設定に含まれる認証情報などが流出した可能性があると説明しています。件数は精査後に続報するとしています。

暗号化して保存していたフォーム回答やAPIキーなども、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとしています。他方、フォーム回答はStudioに保存されていたものが対象で、保存を無効にしていた間の回答や、9月30日より前に完全削除した回答、添付ファイルの中身は対象に含まれないという区分も示されています。

• 資料 01Studio株式会社：【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）

当事者の説明

RECAMPは『ハックの隠れ家』について45件と公表した

株式会社Recampは10月16日、運営施設『ハックの隠れ家』のサイトで、問い合わせフォームに入力された名前、メールアドレス、予約番号、問い合わせ内容の計45件が流出した可能性があると公表しました。対象者へ個別にメールで連絡すると説明しています。

この45件はRECAMPが確認した同施設の範囲です。Studioを利用する別のサイトや施設の件数ではありません。反対に、Studio全体の対象候補がこの45件だけだと読むこともできません。基盤側と運営者側の公表単位を保つ必要があります。

• 資料 03株式会社Recamp：当社運営施設『ハックの隠れ家』利用のウェブサイト構築サービス『STUDIO』における不正アクセスおよび個人情報漏洩の可能性に関するお知らせ

当事者の説明

フォーム利用者への報告手順は、10月17日に追加案内された

Studioは10月17日、フォームを使うサイト運営者に対し、個人情報保護委員会への個別報告をいったん保留するよう案内しました。同社が利用者と連名で報告できるかを同委員会と協議し、期限の扱いを含めて改めて案内するとしています。

保留対象は同委員会への報告であり、フォームに情報を送った本人への通知が必要となる場合の検討まで止める案内ではありません。サイト運営者は、Studioから届いた対象プロジェクトの通知と最新ページを確認する必要があります。

• 資料 02Studio株式会社：【重要】フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内（第一報）

未確認の点

対象件数、実際の取得、二次被害、詳しい原因は調査中

10月19日の確認時点で、Studio全体の対象範囲と件数、第三者が実際に取得したデータの範囲、二次被害の有無、原因の詳しい調査結果、再発防止策は確定していません。Studioはこれらを続報するとしています。

個別のサイトについても、公式発表や個別通知がないまま、利用者名、問い合わせ内容、取引内容が流出したと断定することはできません。基盤の利用だけを理由に、サイト運営者や職員の責任を決めつけたり、別サイトの件数を転用したりしないことが重要です。

• 資料 01Studio株式会社：【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）

確認の範囲

このコラムの確認範囲

本稿は2026年10月19日に取得したStudio株式会社の10月16日付第一報（10月18日更新）、10月17日付フォーム利用者向け案内、株式会社Recampの10月16日付公表を照合したものです。JBJは各社、サイト運営者、利用者、個人情報保護委員会、外部専門機関、攻撃者への直接取材や、システム・ログ・取得データの独立調査を行っていません。掲載画像は共通基盤と個別運営者の範囲を照合する説明用イメージで、実在の職員・利用者・設備・画面・記録ではありません。

• 資料 01Studio株式会社：【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）
• 資料 02Studio株式会社：【重要】フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内（第一報）
• 資料 03株式会社Recamp：当社運営施設『ハックの隠れ家』利用のウェブサイト構築サービス『STUDIO』における不正アクセスおよび個人情報漏洩の可能性に関するお知らせ

JBJの見解

共通基盤の発表だけでは、個々のサイトの対象は決まらない

共通のWeb制作基盤で不正アクセスが公表されると、その基盤を使う全サイトで同じ情報が同じ件数だけ流出したかのような受け止め方が広がりやすくなります。しかし、フォームの設問、保存設定、利用機能、完全削除の時期はサイトごとに異なります。

基盤側が示す最大の可能性と、個別運営者が確認した具体的な対象を分けることが必要です。利用者は、基盤名だけで自分が対象だと断定せず、実際に情報を送ったサイトからの案内と、Studioの最新説明を照合してください。

JBJの見解

利用したサイト、送信内容、届いた通知を分けて残す

フォーム送信者は、利用したサイトのURL、送信したおおよその日付、入力した情報の種類、運営者から届いた案内、Studioや運営者を名乗る不審な連絡を保存してください。パスワードや認証コード、問い合わせ内容そのものをSNSへ公開する必要はありません。

サイト運営者は、対象プロジェクト、フォームの項目、回答の保存設定、完全削除の記録、Studioからの個別通知、本人通知の判断と実施記録を一つの時系列に整理すると、説明の取り違えを減らせます。

• 資料 01Studio株式会社：【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）
• 資料 03株式会社Recamp：当社運営施設『ハックの隠れ家』利用のウェブサイト構築サービス『STUDIO』における不正アクセスおよび個人情報漏洩の可能性に関するお知らせ

JBJの見解

責任の検証と、範囲を超えた断定を同時に避ける

脆弱性、認証情報、暗号化鍵の管理、検知までの経緯、利用者への通知には検証されるべき論点があります。影響を受けた利用者や運営者が、原因、対象、再発防止について具体的な説明を求めることは正当です。

一方で、共通基盤の事案を理由に、確認されていない個別サイトの被害や二次利用まで事実として広げることはできません。JBJはStudioを無条件に擁護せず、同社が認めた不正アクセス、各運営者が確認した範囲、なお未確認の事項を分けて追います。