Q.SmartHRなどStudioを使っていた企業は、不正アクセスについて何を公表しましたか？

Schooは2026年10月20日にプレスリリースを出し、同社グループがStudioで運営していたWebサイトの問い合わせ、資料請求、イベント参加申し込みなどのフォームから入力された顧客情報が、外部へ漏えいした可能性があると公表しました。対象となったのは2026年10月14日以前に該当サイトから送信された情報で、件数としては延べ2,936件、対象となる利用者の人数は約2,600名と発表されています。Schooの発表では、Studioから報告を受けた日は10月16日とされています。Studioは、第三者が一部機能の脆弱性を突いてクラウド環境に入り込み、データを外から取得できる状態にしていたと説明しています。

漏えいした可能性のある項目は、氏名とメールアドレスがすべての対象フォームで共通しており、勤務先や電話番号などはフォームの種類によって異なっていました。一方で、クレジットカード情報や銀行口座情報、各種パスワードなどは入力項目に含まれていません。もっとも、利用者が自由記述の問い合わせ欄に自ら口座情報などを書き込んでいた場合は、その内容も対象に含まれるため注意が必要です。

また、自社の学習システムへの不正アクセスは確認されておらず、受講生のアカウント情報や受講履歴などはStudio上で管理していないため、影響はないと説明されました。

Schooは、対象者への個別メールでの通知を10月20日から順に始めています（Schooの発表）。個人情報保護委員会への速報も済ませたとしています。不審な連絡が届いたら、リンクや添付ファイルには触れずに削除してください。外部サービスに保存する個人情報の最小化や委託先管理の見直しを進めることも表明されました。

「公表」と「本人への通知」は、法律の上では別の対応です。この2つを分けて考えると、公表がないこと自体の評価が変わってきます。公表については、個人情報保護委員会のQ&Aで、本人への通知の代わりとして行う場合を除き、一律の義務ではないとされています。そのうえで、事案の内容によっては公表するほうが望ましいという立場です。

本人への通知は扱いが変わります。通知が必要な場面で、連絡先が残っていない、または古くて届かないといった事情があれば、公表したり、対象者が自分で確かめられる問い合わせ窓口を設けたりする方法が代わりに認められています。もちろん、自社のサイトでお知らせを出しているからといって、本人への直接通知を省略できるわけでもありません。

Studio側も、通知の要否や公表の方法については各社のご利用状況や法令を踏まえて自身で判断し、専門家へ相談するよう促しています。SmartHRのように自主的に公表した例はありますが、それを根拠に他社にも同じ義務があるとは言えません。読者として気にしたいのは、公表の有無よりも、自分が送った情報について通知や問い合わせ先が用意されているかのほうでしょう。

公表しています。piyologの集計では、数えられた組織のうち、19組織が「個人事業主と小規模事業者」に分類されています。この19は独自の分類による数で、中小企業全体の件数ではありません。この集計は、制作会社が顧客向けに出した告知や、報道だけで知られている組織、自分のサイトへの影響が確認できない組織を数えていないので、公表した事業者の全体数ではありません。

公表された内容を見ても、流出が決定したと断定するものばかりではありません。影響を受けた可能性があることや、現在状況を調べている最中であることを誠実に伝える告知が目立ちます。たとえばMCATは2026年10月22日のお知らせで、「コワーキングスペースarica」の会員登録フォームについて、流出した可能性を否定できないと公表しています。個人会員分は侵入前にStudioから削除済みで可能性は極めて低いとし、法人会員5件は調査中としています。

Amazing Dayのお知らせ（2026年10月20日）は、郵送DM無料体験キャンペーンのお問い合わせフォームと、紙のDM自動発送アプリ「DM Booster」の資料請求・お問い合わせフォームが対象で、クレジットカード情報やパスワードは含まれていないとし、Studioの管理アカウントのパスワード変更と外部連携の認証情報の無効化・再発行を済ませたと説明しています。リヴァのお知らせ（10月20日）は、Google広告のランディングページの問い合わせフォームに送られた情報が対象で、同社が提供するサービスへの不正アクセスは確認されていないとしています。

サイトの運営者から通知を受け取った場合、自分が送った内容やそのサイトの対応は、通知をくれた運営者に問い合わせるようStudioは案内しています。小さな事業者のサイトであっても、相談先はStudioではなくその事業者です。

TVerのサイトから問い合わせや資料請求をした人なら、自分が送った分が何件の中に入っているのか知りたいところです。ただ、個別サイトの件数はStudio側の発表に載っていません。TVerの件数は、TVer自身のお知らせで出される数字を見てください。

TVerを含め、Studioで作られたサイトのフォームから情報を送った人には、送り先のサイトの運営者から案内が届く場合があります。TVerからのメールや公式サイトのお知らせが、件数や対象期間を知る一番の手がかりになります。

TVerのフォームについて、実際に持ち出されたのか、二次被害が出ているのかは、Studioの説明だけでは分かりません。自分が送った内容がどう扱われるかを知りたいときや、TVerを名乗る見慣れない連絡が来たときは、TVerの問い合わせ窓口に確認するのが近道です。

「無料のFreeプランで作った小さなサイトだから、関係ないのでは」と考えたくなるかもしれません。しかし、利用しているプランの種別によって公表や対応の要否が変わるわけではありません。Studio公式の案内においても、情報が外部に流出した可能性がある対象として「Studioに登録しているすべてのお客様」が挙げられており、Freeプランだからといって対象外になるような区別は設けられていないからです。

法的なルールを確認すると、Webサイト上での事案の公表は、本人への通知がどうしても難しい場合にとる代替措置を除けば、法律で一律に義務付けられているわけではありません。報告義務に関する解説にあるとおり、個人の権利や利益を害するおそれがある場合には、個人情報保護委員会への報告と本人への通知を行う義務が発生します。

Studioの不正アクセスに関するご案内は、本人への通知を考える前に、次の3点を見るよう利用者に求めています。

1. フォームを事業や団体の活動のために使っていましたか？
2. フォームの回答に個人データは入っていましたか？
3. 今回の件で影響を受けた可能性はありますか？

このStudioの案内によれば、不正アクセスの時点（2026年9月30日〜10月1日）にStudioへ回答が1件でも保存されていたフォームは対象に含まれます。Studioは、本人への通知の要否を確かめる最初の点、つまり事業や団体の活動のためにフォームを使っていたかについて、個人事業主や非営利団体も対象となり得るとしています。Freeプランのサイトでも、お問い合わせ・予約・採用応募など、事業や団体の活動のためにフォームを使っていたなら、1つ目に当てはまらないかを確かめてください。回答に個人データがあったか、影響の可能性があるかを自分のサイトで確かめ、そのうえで通知が必要かを決めます。