Studio の不正アクセス（2026年10月）

メールアドレスとパスワードでログインしているなら、Studio のパスワードを変える

ハッシュ化したパスワードから元のパスワードを割り出される可能性を、会社が完全には否定できないとしているため

Google か Facebook でログインしていても、前にメールアドレスとパスワードで登録やログインをしたことがあるなら、ログイン画面のパスワードを忘れたときの入口から、パスワードを設定し直す

その場合は、Studio のパスワードが設定されている可能性があるため（設定し直した後も、Google や Facebook でログインできる）

同じパスワードをほかのサービスでも使っているなら、そちらのパスワードも変える

もしパスワードを割り出されたときに、同じパスワードのほかのサービスにログインされるのを防ぐため

ライブプレビューのURLを発行しているなら消し、共有を続けるときは新しいURLを発行し直す

URLを知られて、公開前のページを見られる可能性を、会社が完全には否定できないとしているため

Studio を名乗るメールやメッセージにある、心当たりのないリンクや添付ファイルを開かない

この件に便乗して Studio を装うにせのメールが送られる可能性があり、Studio がメールや電話でパスワードや認証情報を聞くことはなく、電話でクレジットカードの情報を聞くこともないため

Studio を名乗るメールは、送り主が @studio.design か @studio.site などの Studio のアドレスかを確かめる

Studio は、これらのアドレスなどからメールを送るとしているため

ほかのアドレスから Studio を名乗るメッセージが届いたら、Studio の問い合わせ窓口に知らせる

Studio にログインするときは、ログイン画面のURLが app.studio.design であることを確かめる

メールなどのリンクから開いた画面でパスワードや認証情報を求められたら、入れずに Studio の問い合わせ窓口に知らせる

Studio がこの件で送るメールに、パスワードや認証情報を入れさせるリンクが入ることはないため

自分のデータに心当たりのない変更を見つけたら、Studio の問い合わせ窓口に知らせる

データの書き換えや削除は今のところ確認されていないが、会社が引き続き確かめているため

API連携（Data Connect API・API連携（Beta））に外部サービスのキーやトークンを登録しているなら、各サービスで新しいキーを発行し、Studio の設定を新しいキーに変える

漏れた可能性があるキーは発行元のサービスが管理していて、Studio では無効にできないため

Studio の設定を変えた後で、各サービスの古いキーを失効させる

先に古いキーを失効させると、サイトでの連携が止まることがあるため

今は使っていない外部サービスのキーが登録されているなら、そのキーも各サービスで失効させる

会社が、使っていないキーも失効させるようすすめているため

各サービスの利用の履歴で、2026年9月30日以降に心当たりのない利用がないかを確かめ、見つけたらそのサービスの提供元と Studio の問い合わせ窓口に知らせる

パスワード保護ページを使っているなら、そのページのパスワードを変え、見る人に新しいパスワードを知らせる

フォームを使っているなら、2026年10月16日に会社から届いた、送信内容についてのメールを確かめる

どのプロジェクトが対象かが、このメールに書いてあるため

フォームを使っていて個人情報保護委員会へ報告するなら、自分で個別に報告するか、Studio がまとめてお客様と Studio の両方の名前で報告するかを選ぶ

Studio が委員会と話し合った結果、どちらも選べることになったため（2026年10月20日の続報。10月17日に頼んでいた保留にかかわらず、自分で報告してよい）

両方の名前での報告を選ぶなら、Studio が申し込みの方法と受付の期間を知らせたときに申し込む

申し込めば個別に報告しなくてよくなり、方法と期間は決まりしだい Studio が知らせるとしているため

フォームを使っているなら、フォームから送ってきたサイトの利用者本人への対応を、引き続き自分で検討する

両方の名前での報告は委員会への報告だけで、本人への通知は含まれず、Studio が引き続き自分で検討するよう案内しているため（法律のことは、詳しくは専門家へ）

フォームの回答を Googleスプレッドシートにつないでいるなら、Studio でつなぎを外し、Googleアカウントの「リンク済みアプリ」のページで Studio のアクセス権を消してから、改めてつなぐ（外す前に、回答を Studio に保存しない設定なら通知先のメールアドレスが設定されているかを確かめ、アクセス権を消すと同じ Googleアカウントでつないだほかのプロジェクトも止まるので、使い続けるものも同じようにつなぎ直す）

漏れた可能性のある認証情報は Studio が鍵を新しくしたので今は使えず、つなぎはそのままでも使えるが、より確実にするため会社がすすめているため（2026年10月16日のメールの頼みでつなぎを外した人は、アクセス権を消すところから）

つないでいたシートの変更履歴で、2026年9月30日から10月14日までに、フォームの回答の追加のほかに心当たりのない編集がないかを確かめる（つないでいないシートでも、つないでいたシートの中にURLを書いていたものや、公開リンク（URLを知っていればだれでも開けるリンク）などでURLを共有していたものは、同じように確かめる）

その間に、第三者がシートを見たり編集したりできた可能性を否定できないため（見ただけでは、変更履歴に残らない）

カスタムプロキシを使っているなら、Studio が発行した新しいプロキシキーに、自分のサーバーの設定を差し替える

差し替えが終わったら、プロジェクト名とサイトのURLを添えて、Studio の問い合わせ窓口に知らせる（すでに差し替えた人も知らせる）

古いキーは知らせを受けてから Studio が無効にし、期日は2026年10月16日のメールを受け取ってから30日以内のため

Webhook 通知を使っているなら、通知先のサービスで新しいURLを発行し、Studio を新しいURLに変えてから、古いURLを無効にする

URLを知った第三者が通知先にメッセージを送れる場合があり、会社が切り替えをすすめているため

Webhook 通知を今は使っていないなら、Studio で通知先のURLを空にして保存し、通知先のサービスで古いURLを無効にする

2026年9月30日以降に、Webhook の通知先へ心当たりのない通知が届いていないかを確かめ、そうした通知のリンクは開かない

Google reCAPTCHA v3 を使っていて、フォームを送れなくなったときや、reCAPTCHA の管理画面で心当たりのない利用の増加が見えるときは、新しいキーに切り替える

会社は一律の差し替えは頼んでいないが、キーを使われると利用の枠が減り、フォームを送れなくなる可能性は否定できないとしているため

外部サービスのフォームを埋め込んでいて、埋め込みのコードに APIキーやトークンなど外に知られてはいけない値を書いているなら、外部サービスの側でその値を新しいものに切り替える

Studio に貼った埋め込みのコードも、漏れた可能性のある情報に含まれるため

個別のメールが見当たらないときは、迷惑メールのフォルダも確かめる

個別のメールが届いていないときや、分からない点があるときは、Studio の問い合わせ窓口に連絡する

送り先のサイトの運営者から知らせが届いたら、内容を確かめる

フォームに送られた内容も漏れた可能性があり、送り先のサイトの運営者から知らせが来ることがあるため

自分が送った内容や、そのサイトの対応について聞きたいときは、知らせをくれたサイトの運営者に問い合わせる

フォームの内容は各サイトの運営者が集めて管理しているもので、Studio は預かっている立場のため、個別の送信内容には答えられないとしているため

Studio が公表した内容について分からない点は、まず Studio の案内ページのよくある質問を見て、それでも分からなければ、Studio の不正アクセスに関する問い合わせ窓口のフォームから聞く

この件に便乗した不審な連絡に気をつける

件名が「【重要】不正アクセスによる、先行利用のお申し込み情報の流出に関するお詫び」の、Studio からのメールを確かめる

該当する人には、Studio がこの件名で連絡を送っているため

Studio を装った不審な連絡に気をつける