初動対応更新日
#Studioのアカウントのパスワードを変更する手順は？
Studioのアカウントパスワードは、ログイン後の画面からどのような操作で切り替えればよいのでしょうか。メールアドレスとパスワードでStudioにログインしているなら、アカウント設定の画面から変更できます。画面右上のアイコンから［設定］→［アカウント］→［パスワードを変更］を開き、現在のパスワードと新しいパスワードを入れて保存します（アカウントのパスワード変更手順）。
現在のパスワードを忘れてログインできないときは、ログイン画面の再設定の案内から、登録済みのメールアドレスに再設定メールを送ります。メール内の［パスワードを再設定する］ボタンを押すとStudioの画面に移るので、そこで新しいパスワードを設定します（パスワードの再設定手順）。自分で再設定を申し込んだ直後に届いたメールでも、リンクを開く前にリンク先のURLを確かめてください。
ただ、事件のあとは、Studioを名乗る偽のメールが届くことも考えておきたいところです。ログインするときは、画面のURLが app.studio.design になっているかを毎回見てください。事件に関するメールやメッセージのリンクを開いた先でIDやパスワードを求められたら、入力せずにStudioへ問い合わせます。
ちなみに、事件の後にStudioから一度ログアウトされた人もいるはずです。ログアウトされただけで、パスワードが新しくなったわけではありません。ログインし直したあとに、上の手順で自分で変更する必要があります。
#GoogleやFacebookのログインだけで使っている場合もパスワード変更は必要ですか？
日頃からGoogleやFacebookの外部連携だけでログインしている人と、メールアドレスとパスワードで登録した人とでは、必要な対応がはっきりと分かれます。最初からGoogleやFacebookの認証だけを使い、Studio独自のパスワードを一度も登録したことがない方であれば、アカウントのパスワード変更手続きは不要です。
これに対して、過去に一度でもメールアドレスとパスワードの組み合わせでStudioへ登録したりログインしたりした経験がある場合は、外部連携へ切り替えた後もシステム内に以前のパスワード情報が残っている可能性があります。
その場合は、アカウント設定の画面からパスワードを変更してください。パスワードが設定されていなければ、変更しようとするとエラーが出ますが、追加の対応は要りません。今のパスワードが分からないときは、ログイン画面の「パスワードをお忘れですか？」から再設定します（Studioの不正アクセスのお知らせ）。再設定を終えた後でも、これまでどおりGoogleやFacebookのアカウントを使ったログインはそのまま使い続けられますよ。
ただ、パスワード変更が要らない人も、ユーザー名やメールアドレスは流出した可能性がある情報に入っています。パスワード変更が不要な人も、Studioを名乗るメールには注意が必要です。
#Studioと同じパスワードを他のサービスでも使っていたらどうしますか？
Studioに登録していたものと同じパスワードを、通販サイトや社内ツールなど別の場所でも使い回していたらどう対処すべきでしょうか。同じパスワードを使っているサービスは、Studioと合わせてすべて変更します。変更のやり方はサービスごとに違うので、それぞれのヘルプを開いて進めてください。
Studioのデータベースに保管されていたパスワードはハッシュ化されていましたが、元の文字列を割り出される懸念は完全には払拭されていません。流出したIDやメールアドレスとパスワードの組み合わせが悪意ある第三者の手に渡ると、他の主要なWebサービスに対して手当たり次第にログインを試みるリスト型攻撃に悪用される危険が生じます。
どこから手をつけるか迷ったら、メールアカウントを先にしてください。メールが乗っ取られると、そこを足がかりにほかのアカウントにも被害が広がりやすくなります。
切り替える際には、辞書に載っている平易な単語や推測しやすい文字列を避け、サービスごとに独立した文字列を割り当てます。全部を同じ新しいパスワードにそろえてしまうと、次にどこかで漏れたときに同じ心配がまた起きますね。IPAのパスワード対策の呼びかけでは、できるだけ長く、複雑で、使い回さないパスワードが勧められています。
さらに、スマートフォンを用いた認証アプリやSMSによる本人確認など、多要素認証に対応しているサービスであれば必ず設定を有効にしておきましょう。名前や設定場所はサービスごとに違い、「2段階認証」と呼ぶところもあります。
#パスワード保護ページのパスワードはどう変えればよいですか？
取引先や社内向けに、パスワードを入れないと見られないサイトをStudioで公開している人は、そのパスワードも変える対象です。保護に使うパスワードもハッシュ化して保存されていましたが、元の値を割り出される可能性を完全には打ち消せないため、念のため変更が求められています。
Studioが提供している保護機能は、特定の固定ページや投稿だけを個別に隠すものではなく、サイト全体を一括して覆う仕組みになっています。変更するのは、サイト全体で1つのパスワードです。
変更はプロジェクトダッシュボードから、次の順に進めます（Studioヘルプのサイト保護の手順）。
- プロジェクトダッシュボードで［設定］→［一般］を開く
- ［パスワード保護］の［設定］を押す
- ［サイト保護の設定］の［設定］を押す
- ［パスワードの編集］に新しいパスワードを入れて保存する
- サイトを更新して変更を反映する
ここで注意したいのが、新しいパスワードは画面上で保存したあと、サイトを更新するとWeb上に反映される点です。編集画面の右上にある「更新」ボタンを押し、サイト全体を再公開することで初めて新しいパスワードが有効になります。使える文字数や文字の種類には決まりがあるので、入力する前に上の手順のページで条件を確かめてください。アカウントのログイン用とは決まりが別なので、同じものを流用しないようにしましょう。
もうひとつ、今回の不正アクセスでは、設定されていた保護パスワードのハッシュ値だけでなく、非公開にしていたページに書かれたテキストや画像などの管理データそのものも外部から読み出された可能性に含まれています。念のため速やかに新しい値へ更新を済ませてください。
#Studioのパスワード保護ページは移行先でどう再現しますか？
セキュリティ対策や機能の見直しを機に他社ツールへ引っ越す場合、限定公開していたページをどうやって作り直せばよいのか迷う声は少なくありません。Studioの保護はサイト全体に1つのパスワードをかける仕組みでした。移行先によっては保護の単位や条件が変わるので、次の表で見比べてみてください。
| 移行先 | 保護のかけ方 | 気をつけたい点 |
|---|
| WordPress | 投稿や固定ページごとに、公開設定で「パスワード保護」を選んでパスワードを入れる | サイト全体を守るにはプラグインが必要 |
|---|
| Webflow | ページ設定でパスワード保護を有効にし、保存してサイトを公開する | ページやフォルダーの保護にはSite planが必要 |
|---|
| Cloudflare Access | ログイン方法にワンタイムPINを追加し、見てよい人のメールアドレスをポリシーに登録する | 許可したアドレスに届くPINで本人を確認する |
|---|
WordPressやWebflowはページごとに守れるため、Studioのときと同じ「サイト全体に1つのパスワード」にしたいなら設定の仕方を変える必要があります。ただしWebflowでは、ページ自体を隠せても、サーバーにアップロードした画像やPDFなどのファイル自体のURLは保護されず、直リンクを知っている人なら閲覧できてしまう点に留意してください。
Cloudflare Accessのように、決まったメールアドレスの人だけを通す方式なら、全員で同じパスワードを共有せずに済みます。閲覧者が少なく、相手のメールアドレスがわかっているサイトには合いそうですね。
こんな聞き方も
- Studioのパスワードはどうやって変更しますか？
- GoogleやFacebookでログインしている場合もパスワード変更は必要ですか？
- Googleログインだけで使っている場合もパスワード変更は必要ですか？
- チームのメンバー全員にパスワードを変えてもらう必要がありますか？
- Studioと同じパスワードを使っている他のサービスも変えるべきですか？
- 使い回していた他サービスのパスワードはどの順で変えればよいですか？
- Studioと同じパスワードを他で使い回していたら被害はありますか？
- パスワード保護ページのパスワードはどう変えればよいですか？
- パスワード保護ページのパスワードも漏えいしたのですか？
- 閲覧者に新しいパスワードをどう知らせればよいですか？
- パスワード保護していたポートフォリオの中身を見られた可能性はありますか？
- Studioのパスワード保護ページは移行先でどう再現しますか？
- Studioアカウントのメールアドレスやパスワードも漏れたのですか？
- ハッシュ化されたパスワードが漏れると解読される危険はありますか？
- 漏えい通知が届いた人はパスワードを変える必要がありますか？
あわせて知りたい（関連する疑問）
QStudioアカウントのメールアドレスやパスワードも対象ですか？
Studioへ登録していた自分のメールアドレスやログインパスワードは、今回の不正アクセスで本当に漏洩の対象に含まれているのでしょうか。対象です。Studioに登録しているすべての人について、ユーザー名、メールアドレス、ハッシュ化されたパスワードといったアカウントの情報が外部に流出した可能性があります。流出したと確定したわけではありませんが、自分のアカウントは関係ないと考えずに対応してください。
パスワードそのものは平文のテキストではなく、数学的な処理を施したハッシュ値として保存されていました。そのため文字列がそのままの形で抜き取られたわけではありませんが、計算処理によって元のパスワードを特定される危険性を完全には排除できない状態です。
GoogleやFacebookのログインだけを使い、Studioのパスワードを設定していない人は、パスワードの変更は要りません。ただ、これは「変更作業が不要」というだけで、ユーザー名やメールアドレスが流出した可能性のある範囲から外れるわけではないです。
メールアドレスについては、変更が必須とはされていません。もし登録中のメールアドレス自体も別の連絡先に切り替えておきたいときは、右上のアイコンから［設定］を選び、［アカウント］内の［メールアドレスを変更］から手続きを進めます。変更には、現在のパスワードと、変更前のアドレスに届く6桁の認証コードが必要です（メールアドレスの変更手順）。そのあと新しいアドレスに届くメールの［今すぐ確認する］を押すと切り替わります。GoogleやFacebookだけで登録したアカウントは、メールアドレスを変更できません。メールアドレスの変更は1日3回までで、上限を超えるとエラーになり、確認メールも届きません。
Qハッシュ化されたパスワードが漏れると解読される危険はありますか？
暗号化とハッシュ化は、似ているようで性質が違います。暗号化は鍵があれば元に戻せますが、ハッシュ化は一方向の変換で、出来上がった値から元の文字を逆算することは想定されていません。しかし攻撃者は、逆算するのではなく、ありとあらゆる単語や文字列の候補を同じ方法でハッシュ化し、漏洩したデータと突き合わせる照合攻撃を仕掛けてきます。
短いパスワードや、辞書に載っている一般的な単語、名前や生年月日を組み合わせただけの単純な文字列ほど、辞書攻撃や総当たり攻撃で割り出されやすくなります。逆に、長くて推測しにくいパスワードほど、当てるまでに手間がかかりますね。どのくらい難しいかは、保存のやり方にも左右されます。
Studioも、アカウントとパスワード保護ページのどちらのパスワードもハッシュ化して保存していました。元の値を割り出すのは難しいとしつつ、可能性を否定できないので変更を求めている、という立場です。実際に解読されたことが確認されたわけではありません。短いパスワードや単語だけのパスワードを使っていた人ほど、早めに変えたほうがよいでしょう。
Qチームのメンバー全員にパスワードを変えてもらう必要がありますか？
複数人でひとつのWebサイトを管理している場合、管理者だけでなく一般の参加メンバー全員にパスワードの変更をお願いすべきでしょうか。メールアドレスとパスワードでStudioにログインしているメンバーは、全員が変更の対象です。オーナーや管理者だけでなく、編集だけを担当している人も含まれ、役割によって対象が変わることはありません。たとえ権限が限定的なメンバーであっても、アカウントに不正侵入されればサイトの改ざんや非公開コンテンツの閲覧につながりかねません。
例外となるのは、登録当初からGoogleまたはFacebookのアカウント認証だけを使い、Studioのパスワードを設定したことがないメンバーだけです。ただし「ログインだけを使っている」と「パスワードを設定していない」の両方が当てはまる場合に限ります。また、以前にメールアドレスで登録したことがあるメンバーは、パスワードが設定されている可能性があります。上の「GoogleやFacebookのログインだけで使っている場合もパスワード変更は必要ですか？」で書いた手順で、変更か再設定をしてもらいます。
本人に確認するときは、アカウント設定の画面だけで判断しないように伝えてください。「最初に登録したとき、メールアドレスで登録しましたか」と聞くほうが早いですね。
チームで動くなら、誰が変更を終えたかを一覧にして、終わった人から印を付けていくと抜けが出にくくなります。メンバーが多いほど、一人ずつ口頭で確かめるより記録が残るやり方が向いています。
Q漏えい通知が届いた人（サイトの訪問者）もパスワードを変える必要がありますか？
たとえば、Studioで作られた会社のサイトから問い合わせフォームを送った人に、その会社から漏えいの通知が届いたとします。Studioで構築されたWebサイトのフォームから問い合わせや資料請求を行った訪問者について、入力した氏名や連絡先、相談内容などの送信データが外部から読み出された可能性が浮上しています。暗号化して保存されていたデータについても、復号に必要な鍵が同じ不正アクセスで抜き取られたためです。
通知には、事故の概要や、対象になった個人データの項目、原因などが書かれます。パスワードを変えるべきかは、まずこの項目を読んで、自分が何を送ったかと照らし合わせてください。
なお、Studio AIの先行利用に申し込んだ人には、Studioからこれとは別のお知らせが届いています。当てはまる人は、そのお知らせの内容に沿って対応してください。ただしこれはその申込者に限った話で、一般のサイトのフォームを送った人すべてに当てはまるわけではありません。
自分でStudioのアカウントを作っている人は、訪問者であっても先に書いたアカウントの手順で変更します。一度漏れた可能性があるパスワードは、今後も使わないようにしましょう。
あわせて、流出した氏名やメールアドレスの情報を悪用し、正規の問い合わせ窓口や銀行などを装った詐欺メールが送りつけられる二次被害には十分に気を配る必要があります。フィッシングへの注意喚起のとおり、メールやメッセージのリンク先でパスワードや認証コードを求められても、安易に入力しないでください。万が一、不審な偽サイトへうっかり普段使っているパスワードを入力してしまった場合は、ただちに該当サービスの管理画面を開いてパスワードを変更し、不審な利用履歴がないか確認してください。
Q閲覧者に新しいパスワードをどう知らせればよいですか？
サイト保護のパスワードを安全な文字列へ更新した後、限定公開のページを案内している取引先や閲覧者へはどうやって連絡を届ければよいでしょうか。パスワード保護のサイトを変更したら、見てもらう相手には自分から新しいパスワードを伝える必要があります。
伝え方の基本は、サイトのURLとパスワードを別々の経路で送ることです。パスワード共有の注意点でも、URLの連絡とは別の経路でパスワードを共有する方法が勧められています。WebサイトのURLと新しいパスワードを同じメール本文にまとめて記載して送信したり、1通目にURLを送り2通目にパスワードを送るような同一経路での分割送信を行ったりするのは避けてください。通信経路が第三者に盗聴されていた場合、メールを2通に分けたところで両方とも盗み見られてしまうため、セキュリティ上の意味をなしません。
別の経路として使われやすいのは、対面、電話、Faxなどです。相手が少なければ、電話で直接伝えるのがいちばん手間がかかりません。社内の閲覧者なら、ふだんから使っている連絡手段のうち、メールとは別のものを選ぶとよいでしょう。連絡を受け取った閲覧者がスムーズにログインできるよう、切り替えの日時と合わせて丁寧に案内してください。
閲覧者が多く、毎回一人ずつ伝えるのが大変なら、メールアドレスで見られる人を決める方式に移る手もあります。全員で同じパスワードを共有しない方式なら、次に変更が必要になったときも閲覧者への連絡が要りません。
この内容をChatGPTで相談
