初動対応更新日
#制作会社に作ってもらったサイトですが、対応するのは誰ですか？
サイトを作ったのが制作会社でも、フォームに届いた内容を持ち、その扱いを決めるのはサイトの運営者です。
Studioの管理画面で作業できる範囲は、保守契約の有無ではなくアカウントの権限設定によって決まります。プロジェクト全体の設定や外部連携のApps設定を変更できるのはオーナーと支払いオーナーに限られ、編集者権限では操作できません。保守を任されていても編集者のままなら、連携の設定には手が届きません。
納品後に管理を引き継ぐ際は、運営者をオーナー権限で招待するか、既存の編集者をオーナーへ変更する手続きが必要です。制作会社側は作業完了後にプロジェクトから退出することも、メンバーとしてそのまま残ることも選べます。
カスタムプロキシを使っている案件では、作業が利用者側とStudio側に分かれますね。利用者側は、自社のサーバーでキーを差し替えて表示を確かめ、対象プロジェクトのStudioサブドメインを添えて無効化を依頼します。古いキーを止めるのはStudio側で、依頼にキーそのものは要りません。差し替えと完了連絡の期限は、2026年10月16日に送られたメールを受け取ってから30日以内です。
なお、法律上の義務は、これとは別に考えます。個人データの扱いまで任されていれば、制作会社にも報告の義務がかかる場合があります。契約書で任されている範囲を確かめてから役割を決めるのがよいでしょう。
#制作会社として、クライアントに何をどう説明すればいいですか？
「結局、うちのお客さんの情報は漏れたんですか」と聞かれて、言葉に詰まるかもしれません。Studioは、第三者がデータを取得した事実は確認できていないものの、取得されたものとみなして対応しています。漏れたとも被害はないとも言い切らず、この状態をそのまま伝えてください。
時期は2つに分けて説明します。不正アクセスが確認された期間は2026年9月30日から10月1日で、外部から取得できる状態は10月14日の対処まで続きました。第一報は10月16日に公開されています。
流出の可能性があるのは、Studioに登録しているすべての利用者の情報です。アカウント情報、Studio上のデータ、フォームの回答、外部サービスのAPIキーなどが含まれます。フォーム回答で対象となるのはStudioに保存されていた分です。ゴミ箱の中の回答、テスト送信、プランの上限を超えて保存された回答も含まれます。
対象外になるのは、保存を無効にしていた間の回答、9月30日より前に完全に削除した回答、外部フォームの回答です。添付ファイルはファイル名だけが対象になります（フォーム回答の対象範囲）。クライアントのサイトで使っている機能に当てはめて伝えれば、相手も自分のこととして受け止めやすいですね。
Studio側が認証情報を切り替えても、すでに持ち出された恐れのあるデータは保護できません。外部サービスのAPIキーはStudioでは止められないため、利用者側の作業が残ります。原因の詳しい調査は外部の専門機関に依頼する調整中で、結果が出る時期はまだ決まっていません。
Studioの10月20日の報告方法の案内では、委員会への報告は、個別報告とStudioとの連名報告を選べます。ただし、連名の報告にはサイト利用者本人への通知は含まれません。申し込み方法や受付期間は、決まり次第案内されることになっています。
#制作会社がStudioの不正アクセスで最初の日にやるべきことは何ですか？
連絡を受け取った当日は、社内で何から手をつけるべきでしょうか。初日にやることは、どのクライアントのどのプロジェクトで何をする必要があるかを洗い出すことです。Studioは、対象のプロジェクト名と必要な対応を機能ごとのメールで送っています。送り先は原則としてオーナーで、オーナーがいなければメンバーです。そのため、制作会社に届いていなくても、クライアント側には届いていることがあります。
初日に手をつける作業は次の4つです。
- 担当している全プロジェクトについて、Studioからのメールの有無と案内された対応を一覧にする
- 外部サービスのAPIキーを、新しいキーの発行、Studioの設定更新、古いキーの失効の順に切り替える
- 連携先でキーを作れる権限を、誰が持っているか確かめる
- クライアントに第一報を送り、不審な連絡への注意を添える
ただし、先に旧キーを消してしまうと、公開中の画面で連携が止まってしまうため手順に注意してください。連携先ごとに権限の条件も違い、たとえばmicroCMSのAPIキーは、管理者権限を持つ人しか作成・編集・削除できません。
制作会社の初動実例として、Webサイト制作サービスを手がけるYappeの対応事例があります。同社は自社サイトと、制作・運用保守を担当するサイトの影響確認を始め、YappeWebの利用顧客へ第一報を送りました。一部の顧客には個別の利用状況を確かめて報告しています。あわせてYappeは、事故に便乗して企業や団体を名乗る不審なメール、SMS、電話への注意を呼びかけました。心当たりのない連絡にあるURLや添付ファイルは開かず、個人情報も入力しないように、という内容です。
#クライアントからの「移行すべきか」という質問にはどう答えればよいですか？
急いで他社ツールへ乗り換える前に、現在のサイト設定で必要な防衛策を済ませ、移行に伴う費用と作業量を冷静に見極める必要があります。別のプラットフォームへ移転したとしても、過去の不正アクセスの時点で取得された恐れのあるデータを取り戻せるわけではありません。移行するかしないかに関係なく、キーの切り替えや利用者への連絡は必要です。
制作面での負担も考慮しなければなりません。StudioにはHTMLコードを一括で書き出すエクスポート仕様が備わっていません。そのため、別のCMSへ引っ越す場合はデザインやページを一から作り直す作業に近くなり、相応の期間と費用が発生します。今回の対応と同じ時期に進めると、どちらの作業も手が回りにくくなるでしょう。
一方で、この機会にフォームで集めている項目を見直す話は進めやすいはずです。個人データの扱いを任せる場合、任せる業務に必要のない個人データは渡さないのが前提です。情報の種類や量に合わせた対策も求められます。返信や対応に使っていない項目が残っていれば、移行の前に削る候補になりますね。
移行先の会社やサービスを選ぶときにも、確認が必要です。個人データの扱いを任せるなら、相手が業務に合った安全管理をとれることを前もって確かめなければなりません。
こんな聞き方も
- 制作会社に作ってもらったサイトですが、対応するのは誰ですか？
- 制作会社として、クライアントに何をどう説明すればいいですか？
- 制作会社はクライアントにStudioの不正アクセスをどう説明すればよいですか？
- Studio 不正アクセス 制作会社 対応
- Studio 制作会社 クライアント 説明
- Studio 制作会社 責任 誰
- Studio 不正アクセス 保守契約 対応範囲
あわせて知りたい（関連する疑問）
Q制作会社が退いた案件の通知はどこに届きますか？
すでに納品を終えてプロジェクトを離れた過去の案件について、公式からの重要なお知らせは誰のもとへ送られるのでしょうか。通知は原則として、プロジェクトのオーナー権限を持つアカウントのメールアドレスやアプリ内通知に届きます。制作会社のアカウントがオーナーのまま残っていれば、制作会社側に届いていることもありますね。
なお、過去の退会手順の影響などでオーナーが存在しない状態になっている案件では、プロジェクトやワークスペースに参加している別のメンバー宛てに案内が届く場合があります。ただ、制作会社が抜けた案件がすべてこの扱いになるわけではありません。
ここで混同しやすいのが、契約の終了とStudio上での退出です。ワークスペースから退出すると、そのワークスペースで管理しているすべてのプロジェクトに入れなくなります。契約が終わっただけでStudio上の参加は残っている、という案件もあるでしょう。
メールが見当たらないときは、まず迷惑メールのフォルダを確認します。それでも見つからなければ、Studioの不正アクセスに関する問い合わせ窓口へ連絡してください。メールが届いていないことは、対象外の証拠になりません。
もうひとつ、クライアントの登録メールアドレスが、前の担当者のものになっていることもあります。通知先のアドレスはアカウント設定から変更可能です。変更するときは、新しいアドレスに届く認証メールを開き、確認のボタンを押します。メールアドレスの変更手順では、変更手続きは1日に3回までという制限が設けられているため、設定時は送信先を間違えないよう確かめながら進めましょう。
Q制作会社が個人情報保護委員会へ代わりに報告できますか？
たとえば、クライアントの問い合わせフォームをStudioで作り、回答の管理は契約上クライアントが行っている場合を考えます。この場合、報告の名義はクライアントになり、制作会社は事実関係の整理や入力を手伝う立場です。公式の報告フォームに入力する際、「報告者の氏名又は名称」の欄には実務担当者の個人名ではなく、事業者としての正式な名称を記入する規則となっています。
代行の仕組みとしては、クラウドサービスの事業者による代行が認められています。個人データを取り扱わないクラウド事業者のサービスで報告対象の漏えいなどが起きた場合、報告義務を負うのはサービスを利用する事業者です。その事業者は、報告をクラウド事業者に代行させることができます（クラウド事業者による報告代行）。これはクラウド事業者についての決まりで、制作会社に一般的に広げられる話ではありません。
制作会社が個人データの扱いまで任されている場合は、また事情が違いますね。報告対象にあたるなら、原則として委託元と委託先の両方が報告義務を負い、連名で報告できます。委託先である制作会社が、把握した事故の状況や発生事項を委託元へ速やかに通知したときは、制作会社側の報告義務や本人通知義務が免除されます。
Qクライアントに送る説明文のひな形はありますか？
制作会社からクライアントへ状況を報告したり、クライアントが自社サイトで告知を出したりする際に使える文面の雛形はあるのでしょうか。公表に使う文面なら、Studioが公式ポータルで、自社サイトなどでのお知らせに使える事業者向けのリリース用雛形を公開しています。対象の情報や自社の対応状況に合わせて書き換えて使うものです。
ただし、これは運営者が外へ向けて公表するための文面で、制作会社がクライアントへ説明するためのものではありません。文面を用意する際に区別したいのが、Webサイト上での公表と対象者本人への個別通知の違いです。公表を行ったからといって本人通知が自動的に不要になるわけではありません。
公表そのものは、本人への通知の代わりに行う場合を除けば義務ではありません。事案の内容に応じて行うのが望ましい、という位置づけです。
デジタル庁やヤマト インターナショナルは、対象の情報や二次被害の確認状況を含めた公表文を出しています。書き方の参考にはなりますが、各社の対象情報や被害の状況は自社の案件には当てはまらないので、そのまま使わないでください。
クライアントへの説明文は、制作会社が自分で書くことになります。次の項目を入れておけば、クライアントが読んで次の対応を決められます。
- 確認できている事実と、まだ確認できていない事実
- そのサイトで対象になる情報（使っている機能と、回答の保存状況）
- 制作会社が済ませた作業と、クライアントにお願いする作業
- 利用者本人への通知と、委員会への報告の選択肢
- 次に連絡する予定の時期
Qフォームは一時停止すべきですか？
「止めたほうがいいのはわかるけれど、問い合わせが途切れるのは困る」とためらうクライアントもいます。実際、LuupはStudio上で設置していたフォームを停止し、シンワショップもメンテナンスを理由にお問い合わせ受付を一時停止しました。ただし、シンワショップの停止が今回の件によるものかは確認できていません。いずれの事例でも、Web受付を止める代わりに電話窓口などの代替手段を掲示して利用者の不便を抑えています。
止めると決めた場合も、ページを隠すだけで済ませないでください。ポケットサインの事例では、通常の画面には表示されていなかったフォームがコード内に残存しており、外部から送信できる状態になっていました。
Studioでページを隠すときは、ページ設定で「ページを非公開にする」をオンにします。設定しただけでは公開サイトは変わらず、サイトを公開するか更新したときに反映されます（ページの非公開設定）。更新すると、ほかのページで編集中だった内容も一緒に公開されます。更新後は実際の公開URLを開き、非公開にしたページの代わりに何が表示されるかを確かめてください。
なお、非公開設定にしても制作画面のライブプレビューからは確認できます。そのため、ページを非公開にしただけで、フォームの送信経路まで完全に止まったとは言えません。
この内容をChatGPTで相談
