Tier表Studio／クラウド環境事案の概要と評価
Studioの全登録ユーザーのアカウント情報や制作内容、フォーム送信内容、APIキー等が流出したおそれがあります。復号鍵も読み出されており、実際のデータ取得の有無と件数は未確定です。
- 発生日
- 2026/09/30〜2026/10/01
- 公表日
- 登録ユーザー
- 全登録ユーザーに可能性・件数不明
事案の概要
- 企業・サービス
- Studio／クラウド環境
- 確認状況
- 流出のおそれ
- 発生日
- 2026/09/30〜2026/10/01現時点で確認できている不正アクセス期間。外部取得可能な状態は10月14日までに解消。 根拠資料
- 公表日
経緯
Studioは2026年10月16日、同社のクラウド環境に第三者が不正アクセスし、預かっている情報が流出した可能性があると公表しました。確認できている不正アクセスの期間は9月30日から10月1日で、10月13日に検知し、10月13日から14日に脆弱性修正と経路遮断を実施しました。
第三者による実際のデータ取得は確認できていませんが、取得されたものとみなして対応しています。外部から情報を取得できる状態は10月14日までに解消したとしています。
対象となった情報
すべてのStudio登録ユーザーが対象となる可能性があります。ユーザー名、メールアドレス、ハッシュ化パスワード、デザインエディタとCMSの内容、フォーム送信内容、reCAPTCHA v3の設定、Webhook URL、ライブプレビューURL等が対象です。件数は精査後に続報で知らせるとしています。
外部APIキー・トークン、パスワード保護ページのハッシュ化パスワード、Googleスプレッドシート連携認証情報、カスタムプロキシの認証キーも対象です。フォーム内容やAPIキー等の暗号化情報については、同じ不正アクセスで復号鍵が読み出されたため、内容を知られた可能性があります。
2022年12月から2023年8月のStudio AI／Autoの先行申込み情報も対象に含まれ、メールアドレス、ユーザー名、IPアドレスから判定した居住国が挙げられています。Studioアカウントを持たない申込者にも個別連絡するとしています。IPアドレスそのものの流出が公表されたわけではありません。
データの改変・削除の痕跡は確認されていません。二次被害の有無は引き続き調査中です。
対象情報
- メールアドレス流出のおそれ
Studioアカウントと先行申込みのメールアドレス。
- パスワード流出のおそれ
ハッシュ化されたアカウントパスワードとパスワード保護ページのパスワード。
- 認証トークン等流出のおそれ
外部サービス連携APIキー・トークン、Googleスプレッドシート連携認証情報、カスタムプロキシ認証キー等。復号鍵も読み出された。
被害に遭われた方、心当たりのある方向けの対処法
対象の方へ
メールアドレスとパスワードでログインする方はStudioのパスワードを変更してください。Google・Facebook認証のみを使い、Studioのパスワードを設定していない方は、この変更は不要と案内されています。 同じパスワードを他のサービスでも使っている場合は、そちらも変更してください。
プロジェクトの所有者・管理者は、発行済みライブプレビューURLを削除して無効化し、共有を続ける場合だけ再発行してください。外部APIキー・トークン、保護ページのパスワード、Googleスプレッドシート連携、カスタムプロキシ認証キー、Webhook URL等は公式の対象一覧を確認し、該当する再発行・変更・連携解除を行ってください。
Sとした理由（暫定）
外部連携APIキー・認証情報と復号鍵が侵害対象となり、キーの再発行等が必要と公表されたためS2の条件付きS暫定。実取得、有効性、権限の範囲は未確定。複数組織を支配する共通権限は未確認でH2を採らない。
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。