Studio
Studio／Studio AI先行利用申込
クラウド環境のデータが外部取得可能な状態になった。実際の取得は未確認だが、取得されたものとみなして対応。フォーム情報のほかAPIキー等にも影響する可能性。
漏れた情報が悪用された場合の影響
危険度：高
ハッシュ化パスワードのほか、外部APIキー・トークン等も対象となる可能性。暗号化したデータの復号鍵も読み出されたため、暗号化だけで安全とはしない。
利用機能ごとの公式案内に従い、パスワード・APIキー等の切替、連携解除、プレビューURLの再発行などを行う。実際の取得・悪用の有無は調査中。
この事案は漏えいの可能性が公表された段階です。実際の流出や個別の被害を断定するものではありません。
危険度の判定基準当サイトの編集上の分類。発生確率や企業全体の安全性の評価ではありません。対象人数の大小では判定していません。
利用者が今できること
対象確認と二次被害への対策
- メール・パスワードでStudioへログインする人はパスワードと使い回し先を変更する。Google/Facebookログインのみで未設定ならこの変更は不要。
- 発行済みライブプレビューURLを削除し、必要なら再発行する。
- 不審な連絡のURL・添付ファイルを開かず、個人情報や認証情報を伝えない。問い合わせは公式窓口で確認する。
- フォーム運営者は10月17日の公式案内を確認する。Studioは委員会への個別報告をいったん保留し、連名報告の可否・期限の扱いを確認すると説明。本人通知は保留の対象外で、引き続き検討を依頼。
- APIキー・トークン、保護ページのパスワード、Webhook URLは対象機能の個別案内に従って切り替える。
- スプレッドシート連携はStudioで解除、Googleアカウント側でStudioのアクセス権削除、再連携の順を推奨。既に解除した人も後の2手順を確認する。
- カスタムプロキシは新キーへ差し替えた後に完了をStudioへ知らせる。旧キーはその通知後に無効化される。期限は10月16日のメール受信から30日以内。
- Google reCAPTCHA v3のシークレットキーは一律の差し替え依頼ではない。公式Q&Aを確認する。
- Google側でStudioのアクセス権を削除すると、同じアカウントの他プロジェクトも書き込みが停止するため再連携を確認する。連携し直す間の回答の保存先・通知先も先に確認する。
企業の公式案内をもとに整理。個別の対象判定は当サイトでは行いません。
どの情報が対象か
対象外・補足
- Studioと保護ページのパスワードはハッシュ化して保存し、平文保存ではない。
- 暗号化したフォーム等も復号鍵を同時に読み出され、内容を知られた可能性がある。暗号化だけで安全とはしない。
- 保存を無効にしていた回答、9月30日より前に完全削除した回答、外部フォームの回答、添付ファイルの中身は対象外。
- 発生時期
- 不正アクセス確認期間：2026-09-30〜10-01。外部取得可能な状態は10月14日の対処まで。
- 判明・検知
- 2026-10-13
- 二次被害の公表状況
- 不正ログイン・悪用の有無は調査中。データ改ざん・削除は現時点で未確認。
企業の対応を記録
対象機能のプロジェクトオーナーへ必要な対応を個別メールで案内。Studio AI先行申込者にも個別連絡予定。フォーム送信者には各サイト運営者から案内される場合がある。 10月17日はフォーム利用企業向けに、委員会への個別報告の保留と本人通知の検討をメール・ログイン時のお知らせでも案内。 10月28日更新で、個人情報保護委員会への連名報告の受付開始は11月上旬予定と案内。開始・完了とは扱わない。
確認した公式資料に記載なし。
10月13〜14日に脆弱性修正・侵入経路遮断。10月14日にスプレッドシート連携の鍵を更新し、旧認証情報は利用できない状態。暗号化鍵は17日に切替済みで、以前の保存データの再暗号化は作業中。書換え権限を含む認証情報を無効化し、その操作記録にデータ改ざん・削除がないことを確認。内容の調査は継続。
「発表に記載なし」は、対応が行われていないことの断定ではありません。続報の公表を追跡します。
経緯と公表の履歴
公式発表。対象範囲と対応を公表。
フォーム利用企業向けに委員会報告の保留を依頼。本人通知の検討は継続するよう案内。
10月18日の公式本文更新を反映。フォーム回答の対象外、スプレッドシートの再連携、プロキシ旧キーの無効化手順、暗号化鍵の切替と再暗号化中を区別。
個人情報保護委員会への連名報告の受付開始を11月上旬予定と案内。