Studioで情報漏えいの可能性｜LUUPなどにも影響、対象者・漏れた情報を整理

Webサイト制作サービス「Studio（スタジオ）」を運営するStudio株式会社は、2026年10月16日、第三者による不正アクセスで顧客情報が外部に流出した可能性があると発表しました。

対象となるのはStudioの登録ユーザーだけではありません。Studioで制作された企業や自治体のWebサイトで、問い合わせフォームなどに入力した個人情報も流出した可能性があります。

実際にLUUPやラクスル、Link-Uグループなどが影響を公表しており、自治体にも広がっています。一方、現時点では実際に第三者が情報を取得した事実は確認されておらず、Studio全体の影響人数も調査中です。この記事では、不正アクセスの経緯、対象者、漏れた可能性のある情報、LUUPなどへの影響と必要な対応を整理します。

Studioの情報漏えいで分かっていること

Studioの情報漏えいで分かっていること

項目	2026年10月17日時点の状況
対象サービス	Webサイト制作サービス「Studio」
運営会社	Studio株式会社
不正アクセス	9月30日〜10月1日（確認済み期間）
不正アクセスの確認	10月13日
侵入経路の遮断	10月14日までに完了
公表日	10月16日
対象情報	アカウント情報、フォーム送信内容、連携認証情報など
Studio全体の対象件数	調査中・未公表
実際のデータ取得	確認されていない
二次被害	調査中

Studioが確認したのは、クラウド環境内のデータを外部から取得できる状態になっていたことです。

実際にデータが持ち出されたかは確認されていませんが、同社は第三者が取得したものとみなして対応を進めています。ここで示す件数はいずれも「流出の可能性があるデータの件数」であり、確定した被害人数ではありません。

Studioで不正アクセスが発生｜9月30日からの経緯

Studioは、プログラミングの専門知識がなくてもWebサイトを制作・公開できるサービスです。企業の公式サイト、採用ページ、イベント案内、自治体関連のWebサイトなどでも利用されています。

今回の不正アクセスでは、Studioの一部機能の脆弱性が悪用され、同社が利用するクラウド環境に第三者が侵入しました。

9月30日〜10月1日：第三者による不正アクセス（現時点で確認されている期間）
10月13日：Studioが社内調査で不正アクセスを確認
10月13〜14日：脆弱性を修正し、侵入経路を遮断
10月16日：情報流出の可能性を公表

Studioによると、外部からデータを取得できる状態は、10月14日に対処するまで続いていました。

現時点でデータの改ざんや削除は確認されておらず、同社は影響範囲と詳しい原因を調査しています。

情報漏えいの対象者は？Studioの全登録ユーザーに可能性

Studioの公式発表では、Studioに登録しているすべての顧客について、アカウント情報などが流出した可能性があると説明されています。特定の料金プランや一部の登録者に限定された問題ではありません。

また、Studioで制作されたWebサイトのフォームに情報を送信した人も対象になり得るため、Studioに会員登録したことのない人にも関係する可能性があります。

利用状況	影響の可能性
Studioにアカウントを登録	アカウント情報などが対象
Studioでサイトを運営	管理データや認証情報も対象になり得る
Studio製サイトのフォームを送信	送信した内容が対象になり得る
Studio AIの先行利用に申し込んだ	該当期間の申込者に影響の可能性
Studio製サイトを閲覧しただけ	閲覧のみで個人情報が流出したとの発表は現時点で確認されていない

さらに、2022年12月〜2023年8月にAIによるサイト作成機能「Studio AI」（当初の名称は「Auto」）の先行利用を申し込んだ人についても、メールアドレス、ユーザー名、接続元IPアドレスから判定された居住国の情報が流出した可能性があります。

Studioのアカウントを持っていない人も含まれており、該当者には個別に連絡するとしています。Studio全体の対象人数は現時点では公表されていません。

漏れた可能性のある情報｜パスワードやフォームの内容も対象

対象となるのは名前やメールアドレスだけではありません。Webサイトの管理情報や外部サービスと連携するための認証情報も含まれます。Studioが公表した主な情報は以下のとおりです。

アカウント情報：ユーザー名、メールアドレス、ハッシュ化されたパスワードなど
Webサイトの管理情報：デザインエディタ・CMSの内容、フォームに送信された情報
公開前のページ情報：ライブプレビューURL
外部サービスとの連携情報：APIキー、アクセストークン、Googleスプレッドシート連携情報
その他：パスワード保護ページのパスワード、Webhook通知URL、カスタムプロキシキー、reCAPTCHA設定など

注意したいのが、暗号化されて保存されていた一部の情報についても、復号に必要な鍵が同じ不正アクセスで読み出されたことです。フォームの内容や外部サービスの認証情報は、暗号化されていても内容を知られた可能性があります。

一方、Studioのログインパスワードなどはハッシュ化して保存されていました。元のパスワードを割り出すことは困難ですが、その可能性を完全には否定できないため変更が求められています。

Studioを使ったサイトの問い合わせフォームも影響を受けるのか？

今回、一般の人に特に関係するのが、Studioで制作されたWebサイトのフォームです。企業への問い合わせ、資料請求、イベント申し込みなどで入力した氏名、電話番号、メールアドレス、自由記述欄の内容などがStudio上に保存されていた場合、対象に含まれる可能性があります。

Studioを直接利用したことがなくても、過去に問い合わせた企業や自治体のWebサイトがStudioを使っていれば、影響を受ける場合があります。

実際に、2020年〜2021年に送信されたフォームのデータを対象として公表している企業もあります。最近問い合わせをしていないからといって、必ずしも対象外とはいえません。

ただし、すべての過去の送信内容が保存されていたという意味ではなく、対象となる期間やフォームの種類は各サイトで異なります。送信先のサイト運営者から通知が届く場合があります。

LUUP・ラクスルなど影響を公表した企業と自治体

Studioへの不正アクセスを受け、同サービスを利用していた複数の企業や自治体が影響を公表しています。10月17日時点で確認できた主な件数は次のとおりです。

企業・自治体など	対象情報の件数
LUUP（Luup）	21,368件
Link-Uグループ	7,663件
ラクスル	6,412件
フラー	6,029件
Fukuoka Growth Next	629件
埼玉県・さいたま緑の森博物館	162件
新潟県糸魚川市	82件
南日本放送	38件
京都市の委託事業	33件

※各組織が公表したフォーム送信情報などの件数であり、漏えい確定件数や被害人数ではありません。同一人物による複数回の送信を含む場合があります。Studio全体の影響範囲を網羅したものでもないため、これらを合計して被害人数とすることはできません。

LUUP：21,368件
ポート設置リクエスト、Unimoへの問い合わせ、改正道路交通法に関する質問など、過去のWebフォームが対象です。氏名、メールアドレス、電話番号、住所、会社名などが含まれる可能性があります。

LUUPアプリに登録した情報は別のシステムで管理され、今回の対象ではないと公式発表に明記されています。単にLUUPアプリを使っていたというだけで、今回の対象になったわけではありません。

ラクスル：6,412件
2024年6月3日〜2026年10月15日の問い合わせ、見積もり、資料請求、セミナー申し込みなどで送信された情報が対象です。氏名や所属先、連絡先、相談内容などが含まれます。

印刷通販サイト「ラクスル」の会員情報・注文情報・支払い情報は対象外と説明しています。

Link-Uグループ：7,663件
同社や連結子会社のコーポレートサイトの問い合わせフォームで取得した個人情報が対象となる可能性があります。問い合わせページを非表示にし、影響範囲を調査しています。グループが運営する各サービスの利用者情報が一律に対象となったという発表ではありません。

フラー：6,029件
コーポレートサイトの日本語版5,948件、英語版20件、高専キャラバン公式サイト61件が対象です。高専キャラバンでは2020年12月〜2021年2月に送信された情報も対象に含まれています。

自治体やその他の施設
京都市では「アート×ビジネス推進事業」の問い合わせ30件と「京の伝統文化体験事業」の3件が対象です。埼玉県のさいたま緑の森博物館はイベント申し込み・問い合わせ162件、新潟県糸魚川市は82件、福岡市のスタートアップ支援施設Fukuoka Growth Nextは629件、南日本放送はイベント応募や問い合わせなど38件について、情報流出の可能性を公表しています。

クレジットカード情報やLUUPアプリの登録情報は大丈夫なのか？

10月16日のStudioの第一報では、クレジットカード番号は流出可能性のある情報の一覧に具体的には挙げられていません。ただし、Studio全体の調査が続いており、あらゆる決済情報について影響がないと断定できる段階ではありません。

企業によっては、対象外の情報を明示しています。

LUUP：LUUPアプリの登録情報は対象外
ラクスル：印刷通販サービスの会員情報、注文情報、支払い情報は対象外
Fukuoka Growth Next：対象フォームにパスワードやクレジットカード番号の入力項目はなく、これらは対象外

Studioを利用した企業のすべてのサービス情報が流出したわけではありません。例えばLUUPの対象は特定のWebフォームであり、アプリの通常利用に伴う登録情報とは区別されています。自分が使ったサービスについては、各社の公式発表で対象フォームと期間を確認してください。

不正アクセスの原因とStudioの対応

公表された原因は、Studioの一部機能に存在した脆弱性を悪用されたことです。これによってクラウド環境内のデータを外部から取得できる状態となりました。

どの機能にどのような技術的問題があったのか、攻撃者が実際にどのデータを取得したのかといった詳細は、現時点で公表されていません。

Studioは10月14日までに脆弱性を修正し、侵入経路を遮断しました。自社システムで使用していた決済やログインなどの認証情報も切り替え、その他の認証情報についても無効化・変更を進めています。

個人情報保護委員会をはじめ関係機関への報告・対応を進め、外部専門家の助言を受けて原因究明と再発防止に取り組む方針です。

Studioの利用者が変更・確認しておきたいこと

Studioは、メールアドレスとパスワードでログインしているユーザーにパスワード変更を求めています。他のサービスで同じパスワードを使っている場合は、そちらの変更も推奨しています。

一方、GoogleまたはFacebookログインだけを利用し、Studio用のパスワードを設定していない場合、Studioのパスワード変更は不要としています。

ログインパスワード：メールアドレスとパスワードでログインしている場合は変更する
ライブプレビューURL：不要なURLを削除し、必要なら再発行する
API連携：外部サービスのAPIキーやトークンを切り替える
パスワード保護ページ：設定したパスワードを変更する
Googleスプレッドシート連携：フォーム回答の連携を解除する
カスタムプロキシ・Webhook：プロキシキーや通知先URLを切り替える

すべての利用者が全項目を変更する必要があるわけではなく、利用機能によって対応は異なります。Studioは該当するプロジェクトのオーナーに個別の案内も送っています。操作の詳細はStudioの公式発表で確認してください。

自分の個人情報が対象か確認するには？

Studioに登録していない人は、過去に利用したWebサイトの公式発表を確認するのが基本です。例えばLUUPのポート設置リクエストやラクスルの資料請求など、今回対象とされたフォームに送信したことがあれば影響を受ける可能性があります。

同じ企業のサービスを使っていても、フォームの種類や利用時期によって対象は異なります。

利用した企業や自治体の公式サイトで、不正アクセスに関する案内を確認する
対象フォームの種類と送信時期を確認する
企業やStudioから個別の案内メールが届いていないか確認する
分からない場合は公式サイトに掲載された問い合わせ窓口で確認する

今回の事案に便乗したフィッシングメールや不審な電話にも注意が必要です。

情報漏えいの通知を受け取っても、メールのリンクから安易にパスワードやクレジットカード番号を入力しないでください。Studioは、メールや電話でパスワード・認証情報を聞くことはなく、今回の案内メールにも認証情報の入力を求めるリンクは含めないとしています。公式サイトを直接開いて確認するのが安全です。

Studioへの問い合わせは、ログインできる場合はサポートセンターから、ログインできない場合は専用フォームから行えます。いずれも24時間受け付け、平日10〜18時に順次回答するとしています。

Studioの情報漏えいは今後どうなるのか？

2026年10月17日時点ではStudioの第一報が公表された段階で、影響人数や実際のデータ取得の有無は確定していません。Studioは今後、対象となる顧客の範囲と件数、二次被害の有無、詳しい原因と再発防止策について、確認できたものから発表する方針です。

Studioを利用している企業・自治体からも追加の情報が公表される可能性があります。

今回の問題は、Webサイト制作サービスへの不正アクセスが、そのサービスを利用する多数の組織に波及した事例です。特に一般の人が過去に送信した問い合わせフォームの内容も対象になり得る点には注意が必要です。

ただし、現時点で情報の持ち出しや悪用が確定したわけではありません。Studioの利用者は必要な設定変更を進め、フォームを利用したことのある人は送信先の企業・自治体の案内を確認してください。

なお、2026年9月末から10月にかけて公表されたほかの不正アクセスや情報漏えいについては、関連記事「2026年9月末～10月の情報漏えいまとめ」でも整理しています。

主な参考資料と確認日

情報確認日：2026年10月17日。Studioの10月16日付第一報と各企業・自治体の発表を確認しました。全体の影響件数、実際に情報が持ち出されたかどうか、二次被害の有無は調査中で、今後の発表によって更新される可能性があります。