マネーフォワードの問い合わせフォームも。ノーコードの「Studio」に不正アクセス、暗号化していた中身も鍵ごと読まれた

• マネーフォワードが10月26日、グループの一部のサイトで使っていたサイト制作サービス「Studio」への不正アクセスにより、5社のお問い合わせフォームの入力（合計8,109件）が流出した可能性があると発表した。『マネーフォワード クラウド』などのサービス本体への影響はない
• Studioの発表によると、Studioに登録しているすべての利用者について、フォームに送信された内容、外部サービスのAPIキー、パスワード保護ページのパスワードなどが流出した可能性がある。暗号化していたものも、復号の鍵が同じ不正アクセスで読み出された
• Studioでサイトを作っている会社は、マネーフォワードと同じように、自社のフォームに送られた情報の扱いを決める必要がある。お問い合わせを送った人には、サイトの運営者から連絡が来ることがある

マネーフォワードの発表

マネーフォワードは10月16日、Studio社から不正アクセスの報告を受けた。対象は、Studioで作ったサイトに置いていたお問い合わせフォームに入力された情報だ。

対象の項目は、氏名、企業名、メールアドレス、電話番号、お問い合わせ内容など、フォームに入力したもの。採用選考の応募情報（履歴書など）は対象外としている。マネーフォワードは、Studio上のフォームをすべて止めて別のシステムに切り替えた。対象者には10月26日から順次メールで知らせている。

Studioで何が起きたのか

Studioは、コードを書かずにWebサイトを作れるサービスで、企業のコーポレートサイトや採用サイト、サービスサイトに広く使われている。Studio社の第一報（10月16日）によると、経緯はこうだ。

• 9月30日〜10月1日：第三者が一部機能の脆弱性を悪用して、Studioのクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にした
• 10月13日：社内の調査で確認
• 10月13日〜14日：脆弱性を修正し、経路を塞いだ

実際に取得された事実は確認できていないが、取得されたものとみなして対応している。データの改ざんや削除は確認されていない。

流出した可能性のある情報（すべての利用者）

• Studioのアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）
• デザインエディタやCMSの内容、フォームに送信された内容、reCAPTCHAの設定、Webhookの通知先URL
• 公開前のページを見るためのライブプレビューのURL
• 外部サービスのAPIキーやトークン、パスワード保護ページのパスワード（ハッシュ化）、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー

重要なのはここだ。フォームの送信内容やAPIキーなどは暗号化して保存していたが、復号に必要な鍵も同じ不正アクセスで読み出されたため、内容を知られた可能性がある、とStudioは書いている。

フォームの回答は、ゴミ箱に移しただけのもの、ライブプレビューでのテスト送信、プランの上限を超えて表示されなかった回答も含まれる。一方、「フォームの結果をStudioに保存」を無効にしていた間の回答、9月30日より前に完全に削除した回答、Googleフォームなど外部のフォームを埋め込んでいる場合は含まれない。

Studioでサイトを持つ会社がやること

Studioの案内をもとに、運営者がやることをまとめる。

1. Studioのパスワードを変える。ほかで同じパスワードを使っているなら、そちらも。GoogleやFacebookのログインだけなら不要
2. ライブプレビューのURLを削除し、必要なら発行し直す
3. API連携のキーやトークンを切り替える。Studioに登録していた外部サービスの側で、古いキーを無効にする
4. パスワード保護ページのパスワードを変える
5. Googleスプレッドシート連携をやり直す（Studioで解除→Googleの「リンク済みアプリ」でStudioのアクセス権を削除→連携し直す）
6. Webhookの通知先URLを切り替える。URLそのものが鍵の役目をしている通知先は特に
7. フォームの送信内容について、自社のお客さまへの連絡と、個人情報保護委員会への報告を決める。Studioは、フォーム利用者向けに報告の案内を出している

機能ごとの必要な対応は、プロジェクトのオーナーに個別のメールで届いている。届いていなければ、Studioの窓口に確かめたい。

フォームを送った人が気をつけること

• どこかの会社のお問い合わせフォームや採用サイトのフォームに送った名前や電話番号、相談の中身が対象になっているかもしれない。運営者から連絡が来たら、内容を確かめる
• 相談した中身を知っている「本物らしい」連絡に注意する。「先日のお問い合わせの件で」と始まるメールでも、リンクからログインやカード情報の入力を求められたら疑う

この件から考えたいこと

ここは筆者の見方だ。

• 暗号化は、鍵と一緒に盗まれたら意味がない。データと鍵を同じ場所から読める状態だと、入られたときにまとめて読まれる。鍵は別の仕組み（鍵の管理サービスなど）で守り、取り出す権限を絞る
• フォームの回答を、サービスの中にためない。メールや自社のシステムに送っているなら、「Studioに保存」をオフにする選択肢がある。ゴミ箱も完全に削除しないと残る。持っていなければ漏れない
• 便利な連携ほど、鍵が増える。APIキー、スプレッドシート連携、Webhook。連携先ごとに、どのキーをどこに預けているかを一覧にしておくと、今回のようなときにすぐ切り替えられる

ノーコードのサービスは、作る手間を大きく減らしてくれる。その代わり、サービスが入られると、その上の全サイトのフォームが一度に対象になる。今週のユミルリンクと同じ構図だ。なお、Studio社の発表は、対象の範囲と運営者がやることを具体的に書いていて、受け取った側がすぐ動ける内容になっている。

まとめ

• マネーフォワードの5社のお問い合わせフォーム（8,109件）が、Studioへの不正アクセスで流出の可能性。サービス本体は無事
• Studioではすべての利用者のフォームの送信内容やAPIキーなどが対象。暗号化していたものも鍵ごと読まれた
• 運営者は、パスワード・APIキー・プレビューURL・連携の切り替えと、フォームの送信者への対応を
• フォームの回答はためない、鍵はデータと別に守る

出典

• マネーフォワード「外部サービス『Studio』への不正アクセスに伴う、お問い合わせフォームにおける個人データ流出の可能性に関して」（2026年10月26日）
• Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日、10月18日更新。経緯、対象の情報、利用者へのお願い）

本記事は2026年10月27日時点の公式発表に基づく。件数や原因は調査中で、続報で変わる可能性がある。「この件から考えたいこと」は筆者の見方である。