Studio(ノーコードWeb制作サービス「Studio」。利用企業・団体のサイトのフォームに波及) — Incident report
Published:
studio.design
Original source text (not a translation)
Web制作サービスの脆弱性を悪用され、全登録顧客のアカウント情報やフォームの送信内容が外部から取得できる状態に 第三者がStudioの一部機能の脆弱性を悪用して、同社が利用するクラウド環境に不正アクセスし、環境内のデータを外部から取得できる状態にしていた(会社の発表)。暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出された。原因の詳しい調査は外部の専門機関に依頼する調整中 不正アクセスは2026-09-30〜10-01(確認できている期間)。10-13に社内調査で確認し、10-13〜10-14に脆弱性の修正と経路の遮断を完了、10-16に公表した。取得された事実は確認できていないが、取得されたものとみなして対応している。対象はStudioのすべての登録顧客で、アカウント情報(ユーザー名・メールアドレス・ハッシュ化パスワードなど)、デザインエディタやCMSの内容、フォームに送信された内容、ライブプレビューのURL、API連携に登録された外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報など。件数は精査中。認証情報と暗号化の鍵は切り替えた(鍵は10-17)。データの改ざん・削除の記録は確認されていない(2026-10-18時点)。フォームを使う利用企業は自らが個人情報保護委員会への報告や本人への通知の主体になりうるため、同社は10-17に報告の保留を案内し、10-20に委員会との協議の結果として、利用企業が個別に報告するか同社との連名で報告するかを選べると案内した。 利用企業・団体の個別の公表が続いている(例: 埼玉県は「さいたま緑の森博物館」のイベント申込・問い合わせの162件が漏えいした可能性(10-16)、TVerは「TVer広告」のフォームで取得した企業・法人の情報(10-20)、ユーザベースは問い合わせフォームの情報(10-19))。 Studio(第一報) ↗ Studio(不正アクセスに関するご案内) ↗ Studio(個人情報保護委員会への報告のご案内) ↗ 埼玉県 ↗ TVer ↗ ユーザベース ↗