侵入から発覚まで 2 週間近く空いたのはなぜですか？ その間に何が起きていたのですか？
なぜ攻撃を受けてから事態の把握までに、およそ2週間もの期間が空いてしまったのでしょうか。
日付を並べると、Studioが現時点で確認している第三者による不正アクセスの期間は、2026年9月30日〜10月1日（日本時間）です。Studioが社内調査で不正アクセスを確認したのは10月13日でした。侵入から発見まで実に12日間が経過しており、この間に何が起きていたのかは利用者の誰もが不安を覚える部分ですね。
その間に何が起きていたかというと、侵入そのものは2日間でした。ただし、第三者は一部の機能の脆弱性（仕組みの弱点）を悪用し、データを外部から取り出せる状態を作っていました。この状態は10月14日の対処まで続いています。Studioは10月13〜14日に脆弱性を直し、侵入に使われた経路を塞ぎました。経緯はStudioの不正アクセスの案内にまとめられています。
では、なぜ発見までに2週間近くを要したのかという経緯については、公表資料の中で具体的な理由は明かされていません。詳しい原因は外部の専門機関への依頼に向けて調整中とされており、再発防止策とともに確認が取れ次第、公式の続報として知らせる方針です。理由を推測で埋めず、続報で確かめるほうがよさそうですね。
Studioの不正アクセスは、発覚から公表まで数日かかったのはなぜですか？
10月13日から16日までの3日間に、Studioが何をしていたかを順に追うと、公表の前に「塞ぐ」作業を済ませていたことがわかります。
まず確認当日の10月13日から翌14日にかけて、不正アクセスに悪用された脆弱性を修正し、侵入経路を塞いで外部からのデータ取得をブロックしました。さらにStudioの不正アクセスの案内によると、Studioは2026年10月14日、安全のため、ログインしていたすべての利用者を一度ログアウトさせています。同日にはGoogleスプレッドシート連携の接続用鍵も更新され、流出した恐れのある認証情報を使えない状態へ無力化しました。これとは別に、10月17日にはフォームの送信内容や外部サービスのAPIキーなどを暗号化する鍵を新しいものに切り替えています。
10月16日にStudioの第一報が公開されました。同日には影響を受ける機能を使っていたプロジェクトのオーナー宛てに個別メールが送られ、具体的なプロジェクト名と求められる対応が通知されています。オーナー未設定のプロジェクトではメンバーへ送信されました。デジタル庁の発表によると、同庁は2026年10月16日に、不正アクセスでデータを外部から取得できる状態になっていたとの報告をStudioから受けています。
公表までに3日を要した理由は、公表資料に書かれていません。日付から分かるのは、10月13〜14日に経路を塞いで鍵を更新し、10月16日に第一報と対象プロジェクトへの個別メールを出したという順番までです。
サイト運営者の対応が遅れてしまった場合はどうなりますか？
個人情報保護委員会への速報が目安の期限を過ぎてしまっても、Studioとの連名報告を選べば今回の事案に限って報告遅延として扱われません。条件は、委員会と協議して決めた方法で連名報告をすることです。Studioの連名報告の案内ページでは、2026年10月28日時点で、連名報告の申込みの受付は11月上旬に開始する予定とされ、受付期間内に申込みがない場合は連名報告の対象外となると案内されています。自動で連名報告に入るわけではなく、希望する運営者が案内に従って申し込みます。
ところが、この扱いは委員会への報告だけの話です。同じ案内ページでは、連名報告は個人情報保護委員会への報告を対象とし、サイト利用者本人への通知は含まれないとされています。10月17日に出された報告保留のお願いも、委員会への報告についてのものです。連名報告を申し込む場合であっても、自社の利用者に個別で連絡を入れる必要があるかどうかは、運営者自身が引き続き検討して対応を決める必要があります。
連名報告を使わずに自社で報告するなら、通常の目安で考えることになるでしょう。漏えい等が起きた時の対応では、速報は事態を知ってから概ね3〜5日以内が目安です。確報は30日以内で、不正な目的によるおそれがある場合は60日以内とされています。
本人への通知は、この3〜5日とは別のルールです。個人データの漏えいによって個人の権利や利益を害するおそれがある場合、事業者は状況に応じて速やかに本人へ通知しなければなりません。通知の時期は、判明している事実や本人の権利保護、通知に伴う弊害などを考慮して判断します。
漏えいを伏せていて後で発覚すると、信用にどう響きますか？
自分から先に知らせた運営者と、黙っていて後から知られた運営者では、受け取られ方がかなり違ってきますね。
そもそも、情報漏えいの事故は、それまで積み上げた信頼や社会的な立場を失う原因になりかねません。この点はIPAの情報漏えい対策の解説でも触れられています。そのうえで黙っていた事実が加われば、事故への対応の姿勢まで問われることになるでしょう。
しかも、伏せるかどうかを自由に選べる場面は多くありません。Studioの件でも、通知が必要な場合の対応はサイト運営者に求められています。
実際に、Studioを使っていたデジタル庁は2026年10月22日、個人情報が漏れた可能性を公表しました。対象となり得るフォームの期間と件数、情報の項目、注意してほしいこと、問い合わせ先まで示しています。範囲を精査している途中でも、わかった分から出すという対応でした。
通知を行う際は、事態の概要、漏えいした可能性のある個人データの項目、発生原因、二次被害防止のための呼びかけなどを分かりやすく伝える必要があります。もしサイト利用者の連絡先が手元にないなど本人への直接通知が難しい場合でも、ホームページでの公表や問い合わせ窓口の設置といった代替措置を講じることが認められています。