事案の概要データ
| 公表日 | 2026年10月16日 |
|---|---|
| 確認済みのアクセス期間 | 2026年9月30日〜10月1日 |
| 社内調査で確認 | 2026年10月13日 |
| 脆弱性修正・経路遮断 | 2026年10月13日〜14日 |
| 流出の可能性がある情報 | 全登録顧客のアカウント情報（ハッシュ化パスワード等）、CMS・フォームの内容、APIキー・トークン等 |
| 重要 | 暗号化データの復号鍵も読み出されており、内容を知られた可能性がある |
| 対象の広がり | 2022年12月〜2023年8月のStudio AI先行利用申込者（アカウント未保有者を含む）も対象 |
| 件数 | 精査中 |
| 第三者による実際の取得 | 未確認（二次被害は調査中） |
| 利用組織への波及（10月16〜17日〜） | 東北電力フロンティア（延べ182件）、Luup、ラクスル、Link-U、静岡新聞社、諫早市、デーリー東北 ほかが個別に公表 |
| 利用組織への波及（10月18〜19日） | 福岡コンベンションセンター 計2,239件（施設利用288件・落とし物1,185件・身障者駐車スペース予約766件）、秋田県里親支援センターTOMONY 19名 |
| 利用組織への波及（10月20日） | TVer 問い合わせ734件・資料請求1,067件の延べ1,801件／Schoo 延べ2,936件（対象約2,600名） |
| 利用組織への波及（10月21日） | 長岡市 計212件（和島オートキャンプ場179件・うまみち森林公園33件）。一意の人数ではない |
図解：この事故の構造
何が起きたのか
STUDIOは2026年10月16日、Web制作プラットフォーム「Studio」において、一部機能の脆弱性を悪用されてクラウド環境に不正アクセスされ、データを外部から取得できる状態にされていたことを公表しました。
確認されているアクセス期間は2026年9月30日から10月1日。社内調査で確認したのは10月13日で、13日から14日にかけて脆弱性の修正と経路の遮断を行っています。
流出の可能性がある情報は、全登録顧客のアカウント情報（ハッシュ化パスワード等）、CMSやフォームの内容、APIキーやトークンなどです。件数は精査中とされています。
「暗号化していた」が通用しなかった
この事案で最も重いのは、暗号化していたデータの復号鍵まで読み出されたという点です。
通常、重要なデータは暗号化して保存します。万一盗まれても、鍵がなければ読めないからです。2026年10月の事案でも、ブックオフやスカイチケットは「パスワードはハッシュ化している」と説明していました。
しかし、データと鍵が同じ環境に置かれていれば、両方まとめて盗まれます。金庫を買っても、鍵を金庫の上に置いていれば意味がないのと同じです。
対策の基本は、鍵をデータとは別の場所で管理することです。クラウドの鍵管理サービス（KMS）や、専用の装置に保管する方法があります。中小企業の規模でも、「暗号化しています」と言うときに『その鍵はどこにありますか』と自問する価値があります。
APIキーとトークンが流出する意味
流出の可能性がある情報に「APIキー・トークン」が含まれている点も見逃せません。
APIキーは、外部サービスに接続するための鍵です。Studioで作ったサイトが、決済サービスやメール配信サービス、分析ツールなどと連携していれば、その接続用の鍵が保存されています。
これが流出すると、攻撃者はその鍵を使って連携先のサービスを操作できる可能性があります。つまり、被害がStudioの中だけで終わらず、利用者が連携していた他のサービスへ広がりうるということです。
Studioを使っている方は、(1)Studioのパスワード変更、(2)連携しているサービスのAPIキー・トークンの再発行、(3)連携先サービスの操作履歴の確認、を行ってください。特に(2)は見落とされがちですが、最も重要です。
アカウントを持っていない人も対象
対象には、2022年12月から2023年8月の「Studio AI」先行利用申込者が含まれます。アカウントを持っていない人も対象です。
3年以上前に一度だけ申し込んだ、という人の情報が残っていたことになります。サービスを使わなかった人のデータが、なぜ残り続けていたのか。これは多くの企業に当てはまる問題です。
キャンペーンの応募者、資料請求者、先行登録者——「見込み客リスト」として残しているデータが、事故のときにそのまま件数に乗ってきます。保存期間を決めて削除することが、最も確実なリスク低減策です。
利用組織へ次々と波及している
Studioは、企業や自治体が自社サイトを作るために使うプラットフォームです。そのため、この事案は利用していた組織へ次々と波及しました。
2026年10月17日には、東北電力フロンティアが、イベント関連Webサイト5件の問い合わせフォーム入力情報 延べ182件（会社名・氏名・メールアドレス・電話番号・問い合わせ内容）に漏えいの可能性があると公表しています。同社によれば、2026年9月30日から10月1日にアクセスが確認され、10月14日の対処完了まで外部からデータを取得できる状態にあったとのことです。
ほかにも、Luup、ラクスル、Link-U、静岡新聞社、諫早市、デーリー東北などが個別に公表しています。
注意したいのは、各組織の件数を合算できないことです。Studio本体の件数には、各利用組織の分が含まれている可能性があります。
自社サイトをノーコードのサービスで作っている場合、そのサービスが破られれば、サイトの問い合わせフォームに入力された情報が流出します。「自社サーバーを持っていないから安全」ではありません。
フォームの暗号化も「鍵ごと」読まれた
2026年10月19日、福岡コンベンションセンターが公表しました。施設利用の問い合わせ288件、落とし物の問い合わせ1,185件、身障者駐車スペースの予約766件、計2,239件に漏えいの可能性があるとのことです（対象期間は2026年3月10日〜10月14日）。
重要なのは、同センターがフォームの送信内容を暗号化していたにもかかわらず、復号鍵も読み出されたため閲覧の可能性があると説明している点です。
利用する側が正しく暗号化していても、プラットフォーム側で鍵ごと持っていかれれば意味がありません。委託先・利用サービスのセキュリティは、自社の努力ではどうにもならない領域があります。
同じ10月19日には、秋田県里親支援センターTOMONYも19名への影響を公表しています。件数は小さくても、里親支援という性質上、極めて機微な情報です。
時系列で見る経過
- 2026年9月30日〜10月1日一部機能の脆弱性を悪用され、クラウド環境に不正アクセスされる
- 2026年10月13日社内調査で不正アクセスを確認
- 2026年10月13日〜14日脆弱性を修正し、侵入経路を遮断
- 2026年10月16日全登録顧客のアカウント情報等に流出の可能性があると公表。件数は精査中
- 2026年10月16日Studioから利用組織へ連絡が行われる
- 2026年10月17日東北電力フロンティアが、イベント関連Webサイト5件の問い合わせフォーム入力情報 延べ182件に漏えいの可能性があると公表
- 2026年10月17日以降Luup、ラクスル、Link-U、静岡新聞社、諫早市、デーリー東北など、利用組織が順次公表
- 2026年10月19日福岡コンベンションセンターが3フォーム計2,239件、秋田県里親支援センターTOMONYが19名への影響を公表
- 2026年10月20日TVerが延べ1,801件、Schooが延べ2,936件（対象約2,600名）への影響を公表
- 2026年10月21日長岡市が、指定管理者経由で和島オートキャンプ場179件・うまみち森林公園33件の計212件への影響を公表
中小企業が学ぶべきポイント
- 暗号化の鍵は、データとは別の場所で管理する。同じ環境にあれば一緒に盗まれる。
- APIキー・トークンが流出すると、被害が連携先のサービスへ広がる。即座に再発行する。
- 「暗号化しています」と言うときは、鍵がどこにあるかを必ず確認する。
- 申し込んだだけでサービスを使わなかった人のデータも、保存期間を決めて削除する。
- Webサイト制作サービスを使っている企業は、自社サイトのフォーム内容も対象になりうる。
- ノーコードのサイト作成サービスを使っていても、フォーム入力情報の管理責任は自社にある。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。