暗号化していたデータも読まれた。鍵が同じ場所にあった

• 暗号化していた情報も、復号鍵が一緒に読み出された
• 流出した可能性があるのは登録している全ユーザー
• 制作者は自分が被害者であると同時に、説明する側になる

ノーコードのWeb制作ツール「Studio」を提供するStudio株式会社が10月16日、不正アクセスによる情報流出について第一報を公表した。

この秋はずっと漏えいの発表を読んできたが、今回は中身がかなり重い。とくにWeb制作をしている人には直接関わる。

暗号化が守りにならなかった

いちばん重要な一文から引く。

フォームに送信された内容、外部サービスのAPIキーやトークン、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー、Google reCAPTCHA v3の設定情報、Webhook通知のURLは、暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があります。

つまり暗号化はしていた。鍵が同じ場所にあった。

これは設計の話になる

暗号化は「保存した先を見られても読めない」ための仕組みだ。ところが鍵が同じ環境に置いてあれば、両方まとめて持っていかれる。

前日に書いたACCESSの件でも、メール送信サービスの鍵が盗まれていた。サーバーに置いてあるのはデータだけではないという話を書いたが、今回はさらに踏み込んでいる。データを読むための鍵まで同じ場所にあった。

作る側として持ち帰る項目はこうなる。

• 鍵はデータと別の場所にあるか — 同じ環境なら、暗号化の効果は限定される
• 鍵を取り出せるのは誰か — アプリから常時読めるなら、アプリが破られれば読める
• 鍵を替えられるか — 替えられない設計だと、漏れた時点で詰む

公式も、自社の認証情報は新しいものに切り替えたとしている。替えられる設計だったということになる。

流出した可能性のある情報

対象はStudioに登録している全ユーザーとされている。件数は精査のうえ続報で知らせるとのこと。

加えて、2022年12月から2023年8月に「Studio AI」（当時の名称はAuto）の先行利用を申し込んだ人のメールアドレス、ユーザー名、お住まいの国も対象になりうるとされている。Studioのアカウントを持っていない人も含まれる。

制作者は、説明する側にもなる

ここが、このサイトの読者にとって一番大きい。

流出した可能性のある項目に「フォームに送信された内容」が入っている。つまり自分が作ったサイトに、お客さんが送った問い合わせの中身だ。

制作を請けている立場なら、関係者は3層になる。

1. 自分 — Studioのアカウント所有者として、被害者
2. クライアント — サイトの運営者。自分から説明する相手
3. サイトの訪問者 — フォームを送った人。クライアントから案内が行く

公式も、こう書いている。

Studioで作成されたサイトのフォームから情報を送信された方には、送信先のサイトの運営者からご案内がある場合があります。

つまり訪問者への説明は、Studioからではなく運営者から行う形になる。制作者は、クライアントがその説明をできるように材料を渡す役になる。

今日クライアントに伝えること

• Studioで作ったサイトか — まずこれを特定する
• フォームを使っているか — 使っていれば送信内容が対象になりうる
• いつからの分か — 保存されている範囲が対象になる
• スプレッドシート連携をしているか — 公式は連携の解除を案内している
• パスワード保護ページがあるか — パスワードの変更対象になる

先に調べてから連絡したほうが、相手は動きやすい。「対象かどうか分かりません」とだけ伝えるのが一番困らせる。

全ユーザーがやること

公式が挙げているのは3つになる。

1. Studioのパスワードを変更する
   他のサービスで同じパスワードを使っている場合は、そちらも変更を強く推奨。GoogleログインまたはFacebookログインのみで、パスワードを設定していない場合は不要
2. ライブプレビューのURLを削除して再発行する
   URLが特定された事実は確認されていないが、安全のため
3. Studioを装った連絡に注意する
   公式はパスワードや認証情報をメールや電話で聞くことはないと明記している

3番目の補足として、公式はもう一段書いている。本件に関して同社が送るメールに、パスワードや認証情報の入力を求めるリンクが含まれることもないとのことだ。「本物のメールにも入力リンクは無い」と言い切っているので、判定が楽になる。

一部の機能を使っている人へは個別連絡

API連携、パスワード保護ページ、フォーム、カスタムプロキシ、Webhook通知を使っているプロジェクトのオーナーには、個別メールで案内されている。キーの切り替えや連携の解除が含まれる。

届いていない場合は問い合わせるように、とも書かれている。

経緯の読み方

不正アクセスから確認まで約2週間。確認から対処完了までは1〜2日になる。この秋の他社と同じく、止める速さより気づく速さが課題になっている形だ。

姿勢は評価したい

経緯に、こう書かれている。

実際に第三者に取得された事実は確認できておりませんが、取得されたものとみなして対応を進めております。

確認できていないことを理由に小さく書くこともできた場面で、安全側に倒している。

さらに、第一報の時点で「今後お知らせする事項」として、対象の範囲と件数・二次被害の有無・原因と再発防止策を明示している。第一報の読み方に書いたが、何が未確定かを先に書いてある発表は読みやすい。

ハッシュ化されたパスワードについても、割り出すことは困難だが可能性を完全には否定できないため変更をお願いしているという書き方だ。イエローハットの最終報は「不正利用の恐れはありません」と言い切っていた。同じハッシュ化でも、書き方に幅がある。

まとめ

• 暗号化していた情報も、復号鍵が同じ侵入で読み出された
• 対象は登録している全ユーザー。件数は続報
• 認証情報（APIキー、トークン、プロキシキー、連携の認証情報）が広く含まれる
• フォームに送信された内容も対象。制作者はクライアントに説明する側になる
• 全員の対応はパスワード変更・ライブプレビューURLの削除と再発行・偽メールへの注意
• 公式は本物のメールにも入力リンクは含まれないと明記している
• 不正アクセスから確認まで約2週間。対処は確認後1〜2日
• 取得された事実は未確認だが、取得されたものとみなして対応している

出典

• Studio株式会社「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）（経緯と日付、流出した可能性のある情報、暗号化と復号鍵に関する記載、全利用者への依頼、一部機能利用者への個別連絡、対応状況、今後お知らせする事項）

本記事は2026年10月16日時点で公表されている第一報に基づく。対象の範囲と件数は未確定とされており、続報で変わる可能性がある。手順の詳細は必ず公式のお知らせとヘルプを確認すること。本記事は法的な助言ではない。