2026.10.18 セキュリティ

STUDIOで不正アクセスが発生｜Web制作サービスを利用する企業が確認したいセキュリティ対策

STUDIOでの不正アクセス発生を受け、盾と鍵を表示したノートパソコンでWebサービスのセキュリティ対策を表現したイラスト

Webサイトの制作や運用に、外部のWeb制作サービスやCMSを利用している企業は少なくありません。専門知識がなくてもサイトを構築・更新できる一方で、サービス側のシステムに問題が発生した場合、自社だけでは防ぎきれないリスクもあります。

2026年10月16日、Webサイト制作サービス「STUDIO」を提供するStudio株式会社は、同社が利用するクラウド環境への不正アクセスにより、顧客情報が外部に流出した可能性があると公表しました。

今回の事案は、Webサイトを自社で管理している企業だけでなく、制作会社や外部サービスにWeb業務を委託している企業にとっても、管理体制を見直すきっかけになります。

この記事では、公式発表で明らかになっている内容を整理し、Web担当者が確認しておきたいポイントを解説します。

1. STUDIOの不正アクセスで何が起きたのか

Studio株式会社の公式発表によると、第三者がSTUDIOの一部機能の脆弱性を悪用し、同社のクラウド環境に不正アクセスしたことが確認されています。

同社は2026年10月13日に不正アクセスを確認し、10月13日から14日にかけて脆弱性の修正と不正アクセス経路を塞ぐ対応を実施。10月16日に事案を公表しました。

公式発表では、第三者が対象データを実際に取得した事実は確認できていないものの、取得されたものとみなして対応を進めていると説明されています。

流出した可能性がある情報

公式発表では、次のような情報が外部に流出した可能性があるとされています。

STUDIOアカウントのユーザー名、メールアドレス、ハッシュ化されたパスワード
デザインエディタやCMSで管理しているデータ
フォームに送信された内容
外部サービス連携に登録したAPIキーやトークン
Webhook通知のURLや一部の連携設定情報
公開前のページを確認するライブプレビューのURL

暗号化して保存していた一部の情報についても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があると説明されています。

ただし、これは「すべての情報が実際に流出した」と確認されたという意味ではありません。流出の可能性がある情報と、実際の取得が確認された情報は区別して理解する必要があります。

最新の状況や対象となる情報については、Studio株式会社の公式発表を確認してください。

2. なぜWeb制作サービスの不正アクセスが企業にも影響するのか

Webサイトのセキュリティというと、自社サーバーやWordPressの脆弱性を思い浮かべる方もいるでしょう。しかし、実際のWebサイト運用では、さまざまな外部サービスが組み合わされています。

例えば、次のようなものです。

Webサイト制作サービスやCMS
問い合わせフォーム
顧客情報を管理するクラウドサービス
Googleスプレッドシートなどの外部連携先
アクセス解析やマーケティングツール
APIやWebhookによるシステム連携

自社のパソコンやサーバーが直接攻撃されていなくても、利用しているサービスに保存された情報や、連携のために登録した認証情報が影響を受けることがあります。

特に注意したいのが、問い合わせフォームと外部サービスの連携です。

フォームには、氏名、メールアドレス、電話番号、問い合わせ内容など、顧客の個人情報が入力されることがあります。こうした情報を外部サービスで管理している場合、サービス側の事案が自社の顧客対応にも関係する可能性があります。

また、APIキーやアクセストークンが影響を受けると、連携先のサービスにも確認や対処が必要になる場合があります。

Webサイトを安全に運用するには、自社サイトだけでなく、サイトに関係する外部サービスも管理対象として考えることが大切です。

3. Web担当者がまず確認したい5つのポイント

今回の事案をきっかけに、外部サービスの利用状況を確認してみましょう。

① 利用している外部サービスを洗い出す

まずは、自社サイトの制作・運用に何を利用しているか整理します。

サービス名だけでなく、用途、管理者、保存している情報、連携先も記録しておくと、トラブル発生時に確認しやすくなります。

確認項目	記録しておきたい内容
サービス名	CMS、フォーム、解析ツールなど
管理者	社内担当者、制作会社など
保存データ	問い合わせ情報、顧客情報など
外部連携	API、Webhook、スプレッドシートなど
問い合わせ先	サポート窓口、契約担当者など

担当者が変わった際にも引き継げるよう、情報を一か所にまとめておくことが重要です。

② サービス提供元の公式発表を確認する

セキュリティ事案が報道された場合は、SNSやニュース記事だけで判断せず、サービス提供元の公式発表を確認しましょう。

確認したいのは、主に次の点です。

影響を受けるサービスや機能
対象となる期間
流出した可能性がある情報
利用者が実施すべき対応
問い合わせ先と続報の掲載場所

今回のSTUDIOの事案でも、アカウントのパスワード変更だけでなく、利用している機能によってAPIキーやWebhookのURLなどの切り替えが案内されています。

サービスによって必要な対応は異なるため、一般的な対策だけで済ませず、公式発表の指示を優先してください。

③ アカウントとパスワードを見直す

外部サービスのアカウントは、被害が発生した場合の影響範囲を左右する重要な要素です。

普段から、次の点を確認しておきましょう。

サービスごとに異なるパスワードを使用する
多要素認証が利用できる場合は有効にする
退職者や担当変更後の不要なアカウントを整理する
管理者権限を必要な人に限定する
不審なログイン通知やメールに注意する

同じパスワードを複数のサービスで使い回していると、一つのサービスで情報が漏れた際に、別のサービスへの不正ログインにもつながるおそれがあります。

ただし、インシデント発生時は、サービス提供元が案内する変更手順や優先順位を確認したうえで対応してください。

④ フォームや外部連携に登録した情報を確認する

問い合わせフォームやAPI連携を利用している場合、サイト本体とは別に確認が必要になることがあります。

例えば、次のような情報です。

フォームから送信された個人情報
外部サービスと接続するためのAPIキーやトークン
Webhookの送信先URL
パスワード保護ページの認証情報
外部ストレージや表計算サービスとの連携設定

これらは、設定画面に登録したまま普段は意識していないことも少なくありません。

情報流出の可能性が公表された場合には、公式案内に従って対象の認証情報を無効化・再発行し、連携先のアクセス履歴なども確認しましょう。変更しただけで終わらせず、連携が正常に動作しているかも確認することが大切です。

⑤ 問い合わせ情報の保存期間と管理方法を見直す

フォームに届いた問い合わせ情報を、必要以上に長く保存していないでしょうか。

個人情報を保管する期間が長くなるほど、管理しなければならないデータも増えます。業務上必要な保存期間を決め、不要になった情報を適切に削除することは、情報漏えい時の影響を抑えるためにも重要です。

あわせて、問い合わせ内容を社内の表計算ファイルや別の顧客管理システムへ転記している場合は、複製されたデータの保存先やアクセス権限も確認しましょう。

データの保管場所が複数あると、どこに何が保存されているか分からなくなり、事案発生時の影響範囲の特定に時間がかかることがあります。

4. WordPressを利用している企業も無関係ではない

今回の事案はSTUDIOで発生したものですが、特定のサービスだけに当てはまる問題ではありません。

WordPressを利用している場合も、次のような点を確認しておくとよいでしょう。

WordPress本体、テーマ、プラグインを適切に更新する
管理者アカウントを必要最小限にする
多要素認証など、利用可能な認証対策を導入する
定期的にバックアップを取得し、復元できるか確認する
問い合わせフォームや外部サービスとの連携を把握する
APIキーやパスワードなどの認証情報を適切に管理する

WordPress本体を最新に保っていても、連携している外部サービスの問題まで自動的に解決するわけではありません。

反対に、外部サービスを利用しているからといって、利用者側で何もする必要がないとも限りません。提供元の案内を確認し、自社で管理しているアカウント、データ、連携設定に必要な対応を行うことが大切です。

5. 外部サービスの安全性を100％保証することはできない

セキュリティ対策を徹底していても、外部サービス側で脆弱性が悪用される可能性を完全になくすことはできません。

そのため、サービスを選ぶ際には、機能や料金だけでなく、セキュリティに関する情報の公開状況、問い合わせ窓口、障害やインシデント発生時の連絡体制なども確認しておくとよいでしょう。

また、外部サービスに任せる範囲と、自社で管理する範囲を明確にしておくことも重要です。

例えば、次のような役割分担が考えられます。

サービス提供元： サービス基盤の維持、脆弱性への対応、公式情報の提供
制作会社・運用担当者： 利用機能や連携設定の把握、更新・権限管理、必要な確認作業
サイト運営企業： 取り扱う情報の整理、利用者への対応判断、社内外の連絡体制の整備

実際の責任範囲は契約やサービス仕様によって異なりますが、誰が何を確認するのかを事前に決めておけば、緊急時にも対応を進めやすくなります。

まとめ｜Webサイトの管理は外部サービスまで目を向ける

STUDIOで公表された不正アクセス事案は、Webサイトのセキュリティを考える際に、サイト本体だけでなく外部サービスや連携先も含めて管理する必要があることを示しています。

Web担当者がまず取り組みたいのは、利用中のサービスを洗い出し、保存している情報や連携設定、管理者を把握することです。

すべてを一度に見直す必要はありません。まずは問い合わせフォーム、顧客情報、管理者アカウント、API連携など、影響の大きい部分から確認してみましょう。

公式発表や続報を確認しながら、必要な対策を一つずつ進めることが、継続的なWebサイト運用につながります。

North Riverでは、Webサイトの制作だけでなく、公開後の運用・保守やセキュリティ面の確認も支援しています。サイトの管理状況に不安がある場合は、現在の運用体制を整理するところから始めてみてはいかがでしょうか。

参考情報

※本記事は2026年10月18日時点で確認できる公式発表をもとに作成しています。対象範囲や調査結果は更新される可能性があるため、公開時には最新情報をご確認ください。