Studioの情報流出のおそれ｜パスワード・APIキー・フォームの確認事項

Studioでサイトを運営している場合、管理者のログイン情報だけでなく、フォームに届いた情報や外部サービスとの接続設定も確認の対象です。自社で管理する部分と、制作会社へ依頼している部分を分けて見ていきます。

Studioの情報流出のおそれと対象情報

Studioは10月16日、一部機能の脆弱性を悪用した不正アクセスを公表しました。第三者がデータを取得できる状態は10月14日までに解消されています。実際の取得は確認できていないものの、同社は取得されたものとみなして対応しています。

対象の可能性があるのは、アカウント情報、CMSやフォームのデータ、ライブプレビューURL、連携用のAPIキーなどです。暗号化した一部の情報も、復号に必要な鍵が取得されたため内容を知られた可能性があると説明しています。

Studioに登録したすべての利用者が対象となる可能性があります。また、2022年12月〜2023年8月にStudio AIの先行利用へ申し込んだ人は、Studioアカウントがなくてもメールアドレス・ユーザー名・居住国の情報が流出した可能性があります。

メールアドレスとパスワードでログインする利用者は、公式画面からパスワードを変更します。Google・Facebookログインだけを使い、Studioのパスワードを設定していない場合、この変更は不要と案内されています。

発行済みのライブプレビューURLは削除し、共有が必要なら再発行します。API連携のキー、保護ページのパスワード、Webhook通知先などは、公式発表とプロジェクトオーナー向け案内で対応を確認してください。フォームとGoogleスプレッドシートの連携解除も案内されています。

フォームを設置したサイトでは、保存された回答にどんな情報が含まれるかを確認します。例えば採用応募のフォームと一般的な問い合わせでは、連絡すべき相手や説明する内容が異なります。制作担当だけに任せず、回答を扱う担当者と確認範囲を共有してください。

個別メールが届いていない場合も、Studioの公式発表に掲載された窓口へ確認できます。自社の連携設定を点検するときは、認証情報の保存先と権限を記録し、不要になった接続を整理します。アクセス制御の確認方法は当社の防御策の解説で扱っています。

この事例を踏まえ、自社の情報管理と初動を点検しましょう。以下は当社が企業の担当者へ提案する確認事項です。

不正アクセスへの対策を詳しく確認したい方は、こちらの解説もご覧ください。

対象や影響、必要な対応について、重要な疑問に答えます。

Studioの利用者全員に同じ対応が必要ですか？

ログイン方法と利用機能で異なります。公式案内を基に、パスワード、ライブプレビュー、外部連携、フォームを順に確認してください。

フォームから問い合わせただけの人も関係しますか？

フォーム送信内容も流出した可能性がある情報に含まれます。送信先サイトの案内を確認し、不明点はその運営者やStudioの公式窓口へ相談してください。