Studioの不正アクセスは、何月何日に何が起きたのですか？
Webサイト制作ツールのStudioにおいて、具体的にいつ、どのような不正アクセスが発生したのでしょうか。Studioの公表では、第三者による不正アクセスが確認されている期間は、2026年9月30日から10月1日（日本時間）です。Studioの一部機能にあった脆弱性が悪用され、その後もデータを外部から取得できる状態が10月14日の対処まで残っていました。
| 日付（日本時間） | 出来事 |
|---|---|
| 9月30日〜10月1日 | 第三者による不正アクセス（確認されている期間） |
| 10月13日 | 社内調査で不正アクセスを確認 |
| 10月13日〜14日 | 脆弱性を修正し、侵入経路を塞いで外部から取得できる状態を解消 |
| 10月14日 | 安全のため、Studioにログインしていたすべての利用者を一度ログアウト |
| 10月16日 | 第一報を公表し、対象プロジェクトへ機能別の個別メールを送付 |
| 10月17日 | フォーム送信内容やAPIキーなどを暗号化する鍵を交換 |
| 10月18日 | 公式案内ポータルを公開し、改ざん・削除の記録がないという調査結果を反映 |
| 10月20日 | 個人情報保護委員会への報告方法（個別か連名か）を公表 |
| 10月28日 | Studioがフォーム利用者向けの案内に、個人情報保護委員会への連名報告の申込みの受付を11月上旬に始める予定と追記。受付期間内に申込みがない場合は連名報告の対象外となる |
Studioが確認している不正アクセスの期間は9月30日〜10月1日で、10月14日までというのは、外部からデータを取得できる状態が続いていた期間です。実際にデータが持ち出された事実も確認されていませんが、Studioは取得されたものとみなして対応しています（Studioの第一報）。加えて、10月14日のログアウトは安全のための措置で、アカウントが消されたわけではありません。Studioは、対象プロジェクトの確認方法として、10月16日に送付した機能別の個別メールを案内しています。
Studioの不正アクセスの原因は何だと公表されていますか？
Studioを使っていた自治体や企業のお知らせを読むと、「Studioへの不正アクセスにより、フォームに入力された個人情報が漏えいした可能性がある」と書かれたものが多く見られます。たとえばデジタル庁は、Studioへの不正アクセスによって保有する個人情報が外部へ漏えいした可能性があると公表しています。
システムの一部に存在していた脆弱性の悪用が、今回の不正アクセスを引き起こした直接の要因として公表されています。第三者がこの欠陥を突いてクラウド環境へ不正に侵入したことが事態の発端でした。公表内容によると、侵入に悪用された脆弱性は2026年10月14日までに修正が完了しており、外部からの侵入経路もすでに遮断されています。
一方で、原因の詳しい調査はまだ終わっていません。10月28日時点の案内でも、詳しい調査を外部の専門機関に依頼するため依頼先と調整している段階で、調査結果と再発防止策がまとまる時期は示されていません。最新の状況は、案内の更新履歴にある日時で確かめてください。外部の専門機関の調査結果が出ている段階ではない点に注意が必要です。
調査結果や今後の再発防止策は、確認が取れ次第、公式のお知らせを通じて順次公開される予定となっています。自社サイトの利用者へ説明する文面を作る場合も、現時点で言えるのは「一部機能の脆弱性が悪用された」というところまででしょう。
Studioの不正アクセスで影響を受けたのは誰ですか？
Studioでサイトを作っていないのに、Studio製サイトのフォームから連絡が来て驚いた人もいるかもしれません。今回の事態で影響を受けた対象は、サイトの管理者だけでなく、一般の送信者にも及んでいます。
Studioに登録している全利用者のアカウント情報や、デザインエディタおよびCMS内のデータ、設定していたAPIキーやWebhook通知のURLなどが外部流出した可能性のある対象に含まれます。
過去の施策も対象に含まれています。2022年12月から2023年8月にかけて募集された「Studio AI（旧名称Auto）」の先行利用に申し込んだ人についても、メールアドレスなどが流出した可能性があるとされているため、心当たりがある人は、後の「続報はどこで確認できますか？」で挙げる公式ポータルで対象かどうかを確かめてください。
実際、デジタル庁の公表資料では、2021年5月〜2023年3月に問い合わせフォームへ入力された内容が区分ごとの最大件数で示され（足すと13,323件ですが、合計は資料に書かれていません）、ほかにデジタル庁職員又は委託事業従事者のStudioアカウントの情報35件が挙げられています。フォームの回答については、対象にならないものもあります。
- Studioへの保存を無効にしていた間の回答
- 2026年9月30日より前に完全に削除した回答（ゴミ箱内にあって完全に削除していない回答は対象に含まれます）
- 添付ファイルの中身（ファイル名だけが対象で、中身は含まれません）
フォームの送信者が自分の送信内容や今後の対応を確かめたいときは、Studioの案内のとおり、通知元のサイト運営者に問い合わせます。運営者側でメールが見当たらない場合は、迷惑メールフォルダを確認し、それでもなければStudioの専用窓口へ連絡してください。
10月21日のStudioの緊急メンテナンスは不正アクセスと関係がありますか？
日付が近いので同じ件の続きに見えますが、10月21日の緊急メンテナンスは、PHPに見つかった重大な脆弱性への予防措置として行われたものです。このPHPの脆弱性を悪用された形跡や、それに伴う新たな情報漏えい被害は確認されていません。
これに対して、すでに公表されている不正アクセスは、9月30日から10月1日に一部機能の脆弱性を悪用されたもので、外部からデータを取得できる状態は10月14日の対処まで続いていました。緊急メンテナンスのお知らせによると、このメンテナンスは、PHPの開発チームが重大な脆弱性2件の修正版の公開を予告したことを受けた予防措置です。
緊急メンテナンスのお知らせによると、Studioの緊急メンテナンスは2026年10月21日から10月22日にかけて実施されました。このお知らせにあるとおり、ダッシュボードやデザインエディタの操作が全面的に停止したほか、公開サイト上のお問い合わせフォームも送信できない状態となりました。当初のアナウンスとは異なり、パスワード保護ページの閲覧など一部の公開機能にも影響が及んでいます。公開サイト全体が見られなくなったわけではありません。
Studio側は、メンテナンス時間中に問い合わせを送信できなかった訪問者がいた可能性があるため、必要に応じてサイト上で再送の案内を出すよう各サイト運営者に協力を求めています。問い合わせ件数が普段より少ない日があったなら、そこが原因かもしれませんね。
Studioの不正アクセスの続報はどこで確認できますか？
調査の進展や運営側が発表する最新の対処方針は、どの窓口を見れば迷わず追うことができるでしょうか。
最新の対応状況は、Studioの不正アクセスの公式ポータルにまとまっています。このポータルではFAQの改定履歴や全体の対応状況が随時更新されるので、読むときは最終更新の日時も確かめてください。前回読んだあとに何が変わったかは、変更履歴を見るとわかります。関連する発表は、Studioのお知らせ一覧にも並んでいます。
フォームを使っていた運営者は、フォーム利用者向けの案内も確認してください。このページは同じURLのまま追記されています。2026年10月20日には、個人情報保護委員会への報告手続きに関する続報が追記されました。当初案内されていた個別報告の保留要請が見直され、運営者自身による個別報告と、Studioが窓口を取りまとめる連名報告のいずれかを選択できる方針へと進展しています。10月17日の案内だけを読んで止まっている人は、追記まで読み直す必要があります。
なお、Studioが代行する連名報告は個人情報保護委員会に対する行政報告を対象としており、Webサイトの一般利用者本人への個別通知までは代行されません。来訪者への個別連絡が必要と判断される場合は、各サイトの運営者が独自に案内文の送付や告知掲載を検討する形となります。Studioのフォーム利用者向けの案内では、2026年10月28日時点で、連名報告の申込みの受付は11月上旬に始まる予定で、受付期間内に申込みがない場合は連名報告の対象外となるとされています。