Studioで不正アクセス、情報流出の可能性｜利用者にパスワード変更などを呼びかけ

Web制作プラットフォーム「Studio」は、同社が利用するクラウド環境への第三者による不正アクセスが発生し、利用者の情報が外部に流出した可能性があることを発表しました。Studioによると、2026年9月30日から10月1日にかけて、第三者がStudioの一部機能の脆弱性を悪用して不正アクセスを行ったことを確認しています。

原因となった脆弱性についてはすでに修正され、不正アクセスに利用された経路も遮断されています。現時点で不正アクセスが継続している事実は確認されていません。

Studioの不正アクセスで流出した可能性がある情報

Studioでは、登録されているすべての利用者について、以下の情報が外部から取得できる状態になっていた可能性があるとしています。

• Studioアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワード等）
• デザインエディタ・CMSの内容
• フォームに送信された内容
• ライブプレビューのURL
• Google reCAPTCHA v3の設定情報
• Webhook通知のURL
• 外部サービスのAPIキー・トークン
• パスワード保護ページのパスワード
• Googleスプレッドシート連携の認証情報
• カスタムプロキシ機能のプロキシキー

特に、フォームの送信内容やAPIキー等については暗号化して保存されていましたが、復号に必要な鍵も読み出された可能性があるため、内容を知られた可能性があると案内されています。

なお、Studioでは実際に第三者がすべての対象データを取得した事実までは確認できていませんが、取得されたものとみなして対応を進めています。

Studio利用者が確認・対応したいこと

Studioでは、対象となるプロジェクトのオーナーに個別メールを送信するとともに、Studioへのログイン時にも対象者へ案内を表示しています。

Studioを利用している場合は、まず登録メールアドレスとStudio管理画面を確認してください。

Studioのパスワードを変更

Studioでは、メールアドレスとパスワードでログインしている利用者に対して、パスワードの変更を推奨しています。

パスワード自体はハッシュ化されていましたが、元のパスワードが解析される可能性を完全には否定できないためです。

また、Studioと同じパスワードを他のサービスでも利用している場合は、そちらについても変更することが推奨されています。

GoogleログインまたはFacebookログインのみを利用し、Studio独自のパスワードを設定していない場合は、パスワード変更は不要とされています。

APIキー・トークンを変更

Data Connect APIやAPI連携（Beta）などで、

• microCMS
• Notion
• その他の外部サービス

のAPIキーやトークンを登録している場合は、新しいキーを発行し、Studio側の設定を変更したうえで、古いキーを失効させることが推奨されています。

あわせて、2026年9月30日以降に外部サービスで心当たりのない利用履歴がないか確認しておくとよいでしょう。

ライブプレビューURLも再発行を推奨

公開前ページの確認に利用するライブプレビューURLについても、第三者に特定される可能性を完全には否定できないとして、既存URLの削除が推奨されています。

引き続き共有する必要がある場合は、削除後に新しいライブプレビューURLを発行します。

Studioの脆弱性はすでに修正済み

Studioでは2026年10月13日に不正アクセスを確認し、10月13日から14日にかけて原因となった脆弱性を修正しました。また、10月14日には安全対策として、Studioへログインしていたすべての利用者を一度ログアウトする対応も実施しています。

お客様情報を扱うためにStudio側で利用していた認証情報についても切り替えを進めており、フォーム送信内容等の暗号化に使用する鍵については10月17日に新しい鍵へ切り替えています。

Studioを利用しているWebサイトは個別案内を確認

現時点では、デザインエディタやCMSのデータが改ざん・削除された記録は確認されていません。一方で、不正ログインや情報悪用などの二次被害については引き続き調査が進められています。

StudioでWebサイトを制作・運用している企業や制作会社は、

• Studioから届いているメールを確認する
• Studio管理画面の案内を確認する
• Studioのパスワードを変更する
• 同じパスワードを使っている他サービスも変更する
• APIキー・トークンを再発行する
• ライブプレビューURLを再発行する
• 不審な変更や外部サービスの利用履歴を確認する

といった対応をおすすめします。

また、本件に便乗したフィッシングメール等にも注意が必要です。Studioは、本件に関するメールからパスワードや認証情報の入力を求めることはないと案内しています。今後、原因の詳細や再発防止策についても調査結果が公表される予定のため、Studioを利用している場合は続報を確認することをおすすめします。

公式情報

Studio「不正アクセスに関するご案内」
https://studio.design/ja/security/notice/2026-10-incident