公表されている経緯

日付（日本時間）内容
9月30日〜10月1日第三者が一部機能の脆弱性を悪用してクラウド環境に入った（今の時点で確認されている期間）
10月13日社内調査で不正アクセスを確認
10月14日脆弱性を修正し、侵入経路を遮断。全ユーザーを一括ログアウト
10月16日公表
10月17日暗号化鍵を切り替え

流出した可能性がある情報には、アカウント情報、デザインエディタと CMS の内容、フォームの送信内容、外部 API キーなどが挙がっています。暗号化していた項目も、復号鍵が読まれたため読み取れる可能性があるとされています。Studio は、実際に取得された事実は確認できていないとしつつ、取得されたものとみなして対応しています[1]。影響を受けたサイト数・件数は公表されていません。

自分で使っていなくても影響を受けた

デジタル庁は、2021年5月〜2023年3月に問い合わせフォームなどへ入力された内容が対象になったと公表しました[4]。自治体では、埼玉県・青森県・岐阜県・江戸川区などが公表しています[5][6][7][8]。このうち青森県・岐阜県・江戸川区は、事業を受託した会社が Studio でイベントや応募のサイトを作っていたケースです。発注した側が自分で Studio を使っていなくても、委託先のサイトを通じて影響を受けています。

サイト運営者がすること

Studio の案内では、利用者に次の対応を求めています[1][2]。

  • Studio のパスワードの変更（使い回していれば他のサービスも）
  • ライブプレビュー URL の削除と再発行、外部 API キー・トークンの切り替え
  • パスワード保護ページのパスワード、Google スプレッドシート連携、Webhook URL の切り替え
  • フォームで個人データを扱っていた場合は、個人情報保護委員会への報告と、フォームを送った本人への通知

個人情報保護委員会への報告は、Studio が取りまとめる連名報告か、個別の報告かを選べます。本人への通知は、サイト運営者が自分で行います[3]。個人情報保護委員会のガイドラインでは、不正の目的による漏えいのおそれがある場合、確報は事態を知ってから 60 日以内とされています[9]。

問い合わせの内容が SaaS 側に保存されていると、その SaaS が侵入を受けたとき、報告と本人への通知はサイト運営者（委託元）が行うことになります。

問い合わせを「預けない」サイトの作り

私たちは、フォームの送信内容を CMS や SaaS に溜めない作りを提案しています。これは個人情報保護委員会が勧めているものではなく、預ける場所を減らすための当社の考え方です。

項目作り
フォーム送信内容はメールや社内のシステムへ直接届け、CMS には保存しない
スパム対策Cloudflare Turnstile で送信を確かめる
CMSmicroCMS、または Cloudflare＋Astro（Markdown）。記事と画像だけを扱う
配信静的に書き出したページを配信する。公開サーバーに PHP やデータベースを置かない

STUDIO から移すときの進め方

  • 今のサイトの URL・ページ数・フォームの送信先を調べる
  • 移行先（microCMS か Cloudflare＋Astro か）を、更新する人と頻度で決める
  • 今の見た目を再現し、URL を変えずに移す。変える URL は 301 の対応表を作る
  • タイトル・説明・構造化データをページごとに設定し、移行前のサイトと自動で突き合わせる
  • 公開後は Search Console で、切り替え前と比べる

STUDIO で困っていた SEO の制約（ページごとのタイトル・説明の出し分け、robots.txt など）も、移行で解消できます。費用と進め方はサービス概要をご覧ください。