ノーコードWeb制作「Studio」に不正アクセス｜CMS・フォーム情報や外部連携APIキーが流出した可能性

Studio株式会社が公表した内容

2026年10月16日、ノーコードWeb制作プラットフォーム「Studio（スタジオ）」を提供するStudio株式会社は、一部機能の脆弱性を悪用した第三者による不正アクセスを受け、クラウド環境内の全登録利用者のアカウント情報、CMS・フォームデータ、外部サービス連携のAPIキーなどが流出した可能性があると公表しました。

多くの企業や自治体、団体がコーポレートサイトやキャンペーンサイト、問い合わせフォームの構築にStudioを利用しているため、導入企業各社でも自社サイトの利用者へ向けた注意喚起や調査発表が相次いでいます。

公表されている事案の概要は次のとおりです。

項目	公表内容
対象サービス	ノーコードWeb制作プラットフォーム「Studio」
運営会社	Studio株式会社
不正アクセスの発生期間	2026年9月30日〜10月1日
社内調査での判明日	2026年10月13日
脆弱性の修正・経路遮断完了日	2026年10月14日
第1報の公表日	2026年10月16日
データの持ち出し状況	実際にデータが外部へ持ち出された事実は確認されていないが、取得されたものとみなして対応を実施

10月14日までに脆弱性の修正と不正アクセス経路の遮断は完了しており、現在は外部からデータを取得できる状態は解消されています。

流出した可能性がある情報

Studioの公式発表によると、一部機能の脆弱性が悪用されたことでクラウド環境内のデータにアクセス可能な状態となっており、暗号化されていたデータについても復号に必要な鍵が同時に読み出された可能性があるため、以下の幅広い情報が対象とされています。

区分	対象となる情報の内容
アカウント情報	ユーザー名、メールアドレス、ハッシュ化されたパスワードなど
サイト・CMS・フォームデータ	デザインエディタやCMSのコンテンツ、フォームに送信された内容（問い合わせ者・応募者の個人情報など）、Webhook通知先URL、Google reCAPTCHA v3設定
公開前・限定公開の情報	ライブプレビューのURL、パスワード保護ページに設定されたパスワード
外部連携の認証情報・キー	外部サービスとのAPI連携に登録されたAPIキーやトークン、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー

Studioを利用してWebサイトを制作・運用している企業だけでなく、そのサイト上の「お問い合わせフォーム」や「資料請求・応募フォーム」から情報を送信したエンドユーザーの個人情報も含まれる点が大きな特徴です。

不正アクセスの発生から修正・公表までの経緯

不正アクセスの発生から脆弱性の修正、公表までの経緯は以下のとおりです。

日付	公表内容
2026年9月30日〜10月1日	第三者が一部機能の脆弱性を悪用し、クラウド環境へ不正アクセス
2026年10月13日	社内調査により不正アクセスの事実が判明
2026年10月14日	該当する脆弱性の修正および不正アクセス経路の遮断を完了
2026年10月16日	全登録利用者の情報が流出した可能性があるとして第1報を公表。利用者へパスワード変更やAPIキー再発行を要請

同社は、ログの調査上では第三者によってデータが外部へ持ち出された確定的な事実は確認されていないとしつつも、安全を期して「取得されたものとみなして」利用者への案内と対策を進めています。

Studioを導入・利用している企業が今すぐ確認したい対応

Studioで自社のWebサイトやLP（ランディングページ）を構築・運用している企業や制作担当者は、公式発表で案内されている以下の実務対応を速やかに実施する必要があります。

1. 外部連携のAPIキー・トークン・認証情報の無効化と再発行

Studioの管理画面上で外部CMS、CRM、マーケティングツール、Googleスプレッドシートなどと連携するために設定していたAPIキーやトークン、カスタムプロキシキーは、復号鍵とともに読み出された可能性があります。連携先サービス側で既存のAPIキーやトークンを無効化（ローテーション）し、新しく発行したキーへ差し替えてください。

2. アカウントのパスワード変更とプレビューURLの再発行

Studioアカウントのログインパスワードを変更するとともに、公開前の確認用に使用していた「ライブプレビューURL」を削除・再発行し、パスワード保護ページのパスワードも変更してください。

3. フォーム機能で取得していた個人情報の確認

Studio標準のフォーム機能を使って問い合わせや採用応募、キャンペーン申し込み等を受け付けていた場合、フォームの送信履歴にどのような個人情報が含まれているかを確認し、Studio社からの続報・個別案内に従って対応を検討してください。

4. Studioや導入企業を装うフィッシング連絡への注意

登録メールアドレスやフォーム送信者の連絡先が流出した可能性があるため、Studio運営や導入企業を装った不審なメール・SMSへの注意が必要です。

SaaS・ノーコード基盤を利用する企業が確認したい5つの項目

以下は、今回のStudio側の脆弱性を推測するものではありません。Web制作プラットフォームやクラウドサービス（SaaS）を活用する企業が、サプライチェーンリスクを抑えるために確認したい項目です。

1. 外部SaaSに預けているデータとAPIキーを把握しているか

ノーコードツールや外部CMSを利用する際、どのサイトでどのフォーム機能を使い、どの外部サービス（CRMやスプレッドシート等）のAPIキーを登録しているかを台帳等で一元管理します。把握できていないと、プラットフォーム側でインシデントが起きた際にどのキーを失効させるべきか即座に判断できません。

2. 連携用APIキーの権限を最小限（最小権限の原則）にしているか

外部プラットフォームに登録するAPIキーに、全データの読み書き・削除ができる管理者権限（フルアクセス権限）を付与していると、キー漏えい時の被害が拡大します。連携に必要な特定のリソース・操作のみに絞ったスコープ（読み取り専用や特定テーブルのみ等）で発行することが重要です。

3. フォームで収集した個人情報の保存期間を最小化しているか

Webサイト側のフォーム機能に過去の問い合わせデータや応募者データを長期間ため込まず、社内のセキュアな顧客管理システムへ連携した後はプラットフォーム上のデータを定期的に削除する運用を整えることで、万一の漏えい件数を最小限に抑えられます。

4. 公開前情報やテスト環境のアクセス管理を徹底しているか

プレビューURLや簡易パスワード保護機能だけで機密性の高い未公開情報（決算情報、新サービス発表資料、社内限定情報など）を置かないよう運用ルールを定めます。

5. 自社開発環境・クラウド環境における鍵管理を検証しているか

自社でクラウド環境やWebアプリケーションを構築・運用する場合、暗号化データと復号鍵が同じ権限で読み出せてしまわないよう、クラウドの設定不備やIAM権限、アプリケーションの脆弱性を定期的に診断することが不可欠です。

クラウド環境・Webシステムの安全性を確認したい企業へ

SaaSやクラウド基盤の活用が広がるなか、外部連携APIの権限設計やクラウド環境の設定、Webアプリケーションの脆弱性を攻撃者視点で点検することは、サプライチェーン全体の被害を抑えるうえで非常に重要です。

• クラウドセキュリティ診断 — AWS・Azure・Google Cloud等の設定不備、IAM権限、鍵管理のリスクを診断
• Webアプリセキュリティ診断 — Webサイト、CMS、フォーム、API連携の脆弱性と認可制御を確認
• ペネトレーションテスト — 一部の機能やAPIキーが侵害された場合に重要データへ到達できるかを検証
• セキュリティマネジメント支援 — 利用SaaS・委託先の棚卸しやインシデント発生時の初動手順整備を支援

自社サイトやクラウド環境のどこから点検すべきか迷われている場合でも、構成に合わせて最適な診断プランをご提案します。

よくある疑問

Q. Studioの不正アクセスではどのような情報が流出した可能性がありますか？

A. 全登録利用者のアカウント情報（ユーザー名、メールアドレス、ハッシュ化パスワード等）のほか、CMSデータ、フォームに送信された内容、ライブプレビューURL、パスワード保護ページのパスワード、外部連携用のAPIキー・トークン、Googleスプレッドシート連携の認証情報などが対象です。

Q. Studioで作られたWebサイトの問い合わせフォームに入力した情報も対象ですか？

A. はい。Studioのフォーム機能を利用して送信・保存されていた内容も流出した可能性がある情報に含まれています。ただし、外部の別フォームサービスを埋め込んでいた場合など、サイトの実装方法によって影響の有無は異なります。

Q. なぜ暗号化されていたAPIキーなども流出した可能性があるのですか？

A. 一部機能の脆弱性が悪用された際、暗号化されたデータだけでなく、復号に必要な鍵も同時に読み出された可能性があるためと説明されています。

Q. 現在もStudioの脆弱性は残っていますか？

A. いいえ。Studio株式会社は2026年10月14日までに脆弱性の修正と不正アクセス経路の遮断を完了しており、現在は外部からデータを取得できる状態は解消されています。

Q. Studioを利用している企業・制作者は何をすべきですか？

A. ログインパスワードの変更、外部連携に登録していたAPIキー・トークン・スプレッドシート連携認証情報の無効化と再発行、ライブプレビューURLの再発行、パスワード保護ページのパスワード変更を速やかに実施してください。

まとめ

ノーコードWeb制作プラットフォーム「Studio」において一部機能の脆弱性を突いた不正アクセスが発生し、アカウント情報やCMS・フォームの送信データ、外部連携APIキーなどが流出した可能性が公表されました。

10月14日までに脆弱性は修正されていますが、Studioを導入している企業はAPIキーや認証情報の再発行、パスワード変更などの対応が求められます。また、フォームから問い合わせを行った利用者も、導入企業やStudioを装った不審な連絡に注意してください。

参考情報

• Studio株式会社「不正アクセスによる情報流出の可能性に関するお詫びとお知らせ」

関連ページ

• クラウドセキュリティ診断 — クラウド環境の設定不備や権限・鍵管理のリスクを診断
• Webアプリセキュリティ診断 — Webシステム・API・フォーム機能の脆弱性を診断
• ペネトレーションテスト — 攻撃者の視点でクラウド・Web環境への侵入可能性を検証
• セキュリティマネジメント支援 — SaaS利用管理やインシデント対応体制の整備を支援