「報告をいったん保留してほしい」。制作者が負う義務の話

• 委員会への報告はいったん保留してほしいと案内されている
• ただし本人への通知は保留の対象ではない
• 盗まれた認証情報には書き換えの権限も含まれていた

10月16日にStudioの第一報を書いた。その後、専用のポータルが公開され、中身がかなり増えている。

制作を請けている人にとっていちばん重いのは、報告の話になる。そこを中心に読む。

「保留してほしい」という案内

フォーム機能を使っているプロジェクトの持ち主に向けて、こう書かれている。

個人情報保護委員会からの要請を受け、これから同委員会への報告をご予定のお客様には、個別のご報告をいったん保留いただくようお願いしております。

理由も続けて書かれている。Studioが取りまとめて、顧客との連名で報告できるかを委員会と協議する予定だという。

これは珍しい案内になる

漏えいが起きたとき、個人情報を預かっていた側が報告する義務を負う。フォームで問い合わせを受けていたなら、サイトの運営者が義務を負う側になりうる。

今回は同じ原因で、非常に多くの事業者が同時に報告対象になる。それぞれが個別に出すより、まとめたほうが整理がつく、という判断だと読める。

報告の仕組みそのものは漏えいしたら、いつまでに何を報告するのかに書いた。速報と確報の2段階があり、速報は確定を待たない。

保留の対象ではないもの

ここを読み違えると危ない。ポータルには、はっきり書かれている。

保留をお願いしているのは、個人情報保護委員会への報告のみです。フォームを送信したサイト利用者（ご本人）への通知が必要となる場合がありますので、引き続きご対応をご検討ください。

つまり役所への報告は待ってよいが、本人への通知は別ということになる。

通知が要るかの判断材料

ポータルには、確認すべき3点が根拠つきで示されている。

1. 事業や団体の活動のためにフォームを使っていたか — 問い合わせ、予約、採用応募など。個人事業主や非営利団体も対象になりうる
2. 回答に個人データが含まれていたか — 自由記述欄も含めて確認する。ダッシュボードに保存されていれば、一覧を自分で作っていなくても該当すると考えられる
3. その情報が今回の影響を受けるか — 個別メールに書かれた対象プロジェクトと照らす

3番目に添えられた一文が重い。

不正目的の行為による漏えい等の類型には人数の下限がないため、不正アクセスによる漏えいのおそれがある場合、対象者が1人でも通知が必要となる場合があります。

「数件だから関係ない」が通らない。ここは押さえておきたい。

なお、判断そのものは各自で行うこととされ、必要なら弁護士等への相談を勧めている。雛形は用意されているが、決めるのは本人という線が引かれている。

どの回答が対象か

フォームの回答について、範囲が細かく示されている。ここは実務で効く。

ゴミ箱に入れただけでは消えていない。ここを勘違いしていると、対象の数を見誤る。

添付ファイルはファイル名のみが対象で、中身は含まれないとされている。

外部のフォームを埋め込んでいた場合は、回答はStudioを経由していないので対象外。ただし埋め込みコード自体は対象になるので、そこに鍵を書いていたら切り替えが要る。

書き換えもできる権限だった

第一報には無かった事実が、ポータルで明かされている。

第三者が取得した認証情報には、データを書き換えることができる権限も含まれていました。

そのうえで、操作の記録を調べ、データを書き換えたり削除したりした記録がないことを確認したとしている。

読み方

できる状態だったが、やられた記録は無い。この2つは別の話で、両方書いているのが誠実だと思う。

「権限は限定的でした」と書くこともできた場面で、書き換えも可能だったと先に認めている。

心当たりのない変更を見つけたら連絡してほしい、とも添えられている。

Studio側で済んだことと、済まないこと

右側の1行目が要点になる。ポータルにこう書かれている。

外部サービスのAPIキーやトークンは発行元のサービスで管理されているため、弊社では無効化できません。

Studioが何をしても、他社のキーは止められない。ここは自分でやるしかない。

切り替えの順番に注意する

ポータルは順番まで指定している。

1. 各サービスで新しいキーを発行する
2. Studioの設定を新しいキーに更新する
3. 各サービスで古いキーを失効させる

古いキーを先に失効させると、サイトの連携が止まる。順番を守る理由がこれになる。

あわせて9月30日以降に心当たりのない利用が無いか、各サービスの履歴を見ることも勧められている。

偽物の見分け方も書かれている

実務で使えるので引いておく。

• メールの送信元は @studio.design または @studio.site
• 本件のメールに、パスワードや認証情報の入力を求めるリンクは含まれない
• ログイン画面のURLは app.studio.design

本物にも入力リンクは無いと言い切っているので、判定が楽になる。他社の件でも同じ判定を書いたが、ここまで具体的に示している例は少ない。

まだ出ていないもの

• 機能ごとの対象件数 — 精査中
• 原因の調査結果と再発防止策 — 外部機関への依頼を調整中。時期は未定
• 二次被害の有無 — 調査中

第一報から2日でポータルを立てて一元化したのは速い。ただし肝心の件数と原因は、まだ先になる。

まとめ

• 委員会への報告は保留。連名での報告を協議する予定
• 本人への通知は保留の対象ではない。別途判断が要る
• 人数の下限が無い。対象者が1人でも通知が必要になる場合がある
• ゴミ箱に移しただけの回答も対象。完全に削除していなければ残っている
• 盗まれた認証情報には書き換え権限も含まれていた（書き換えの記録は無し）
• 外部サービスのキーはStudioでは止められない。自分で切り替える
• 切り替えは新規発行 → 設定更新 → 旧キー失効の順で
• 件数と原因は、まだ公表されていない

出典

• Studio株式会社「Studioにおける不正アクセスに関するご案内」（2026年10月18日20:30 最終更新）（経緯、流出した可能性のある情報、委員会への報告の保留と本人への通知、通知の要否の確認項目、フォーム回答の対象範囲、書き換え権限に関する説明、鍵と認証情報の切り替え状況、機能別の対応手順、偽物の見分け方）

本記事は2026年10月18日時点で公表されている内容に基づく。件数と原因の調査結果は未公表であり、今後の案内で内容が変わる可能性がある。通知や報告の要否は各事業者が自ら判断するものとされている。本記事は法的な助言ではなく、必要に応じて専門家に相談すること。