Studio株式会社は10月16日、同社が利用するクラウド環境への不正アクセスについて発表した。
これは2026年9月30日から10月1日の期間、第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたというもの。
同社では10月13日に、社内調査で不正アクセスを確認し、同日から14日にかけて脆弱性を修正し、不正アクセスに利用された経路を塞ぐ対応を完了し、外部から取得できる状態を解消している。
現時点で流出した可能性があるのは、Studioに登録のあったすべての顧客の下記情報。対象件数については、精査のうえ続報で公表するという。
・Studioアカウントの情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）
・顧客がStudio上で管理しているデータ（デザインエディタ・CMSの内容、フォームに送信した内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL）
・公開前のページを確認するためのライブプレビューのURL
・各種設定に含まれる認証情報（API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー）
同社では、フォームに送信された内容、外部サービスのAPIキーやトークン、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー、Google reCAPTCHA v3の設定情報、Webhook通知のURL等の暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとしている。
同社では、API連携・パスワード保護ページ・フォーム・カスタムプロキシなど一部の機能を利用する顧客に対し、個別のメールで案内を行っている。
同社では現在、原因の調査と影響範囲の特定を進めており、原因の詳しい調査は、外部の専門機関に依頼すべく調整を進めている。
同社では外部の専門家の助言を得ながら、再発防止に取り組むとのこと。
