ノーコードWeb制作プラットフォーム「Studio」は、2026年10月16日、クラウド環境への不正アクセスによって、利用者の情報が外部に流出した可能性があると発表しました。
現時点で、第三者が実際にデータを取得した事実は確認されていません。ただし、Studioは情報を取得されたものとみなして対応を進めています。脆弱性の修正と侵入経路の遮断は完了しました。
Webサイトを運営する企業はもちろん、クライアントのサイトを制作・管理している事業者にとっても、影響を確認しておきたい事案です。
この記事では、公式発表の要点と、今回の件から考えたいWebサイト運用の課題を整理します。
※本記事は、2026年10月16日に公開された第一報に基づいています。調査中の事項があるため、最新情報は記事末尾の公式発表をご確認ください。
Studioで何が起きたのか
Studioの説明によると、一部機能の脆弱性を悪用した第三者がクラウド環境へ侵入し、データを外部から取得できる状態にしていました。
ここで区別したいのは、不正アクセスの発生は確認されている一方、実際のデータ取得は未確認という点です。「全利用者の情報が流出したと確定した」と受け取らないよう注意が必要です。
影響はアカウント情報だけにとどまらない
公式発表では、全登録ユーザーについて、アカウント情報に加え、CMSやデザインデータ、フォームの送信内容、各種連携の認証情報などが流出した可能性があるとしています。
また、一部の情報では、暗号化されたデータと復号に必要な鍵の両方が読み出されました。対象件数と二次被害の有無は調査中です。
制作・運用の立場で確認したいのは、自社の登録情報に加えて、クライアントの未公開情報や、問い合わせを送信した方の情報も関係し得ることです。サイト単位で、保存しているデータと利用機能を把握する必要があります。
利用者が優先して確認したい対応
Studioは、利用状況に応じて次の対応を案内しています。
| 利用状況 | 案内されている対応 |
|---|---|
| メールアドレスとパスワードでログイン | パスワードを変更する |
| ライブプレビューURLを発行済み | URLを削除し、必要なら再発行する |
| API・Webhookなどを利用 | キーや通知先URLなどを切り替える |
| パスワード保護を利用 | 保護用パスワードを変更する |
| フォームを利用 | 個別案内を確認し、該当する場合はスプレッドシート連携を解除する |
Google・Facebookログインのみを利用し、Studioのパスワードを設定していない場合は、Studioのパスワード変更は不要とされています。詳細は公式発表とプロジェクトオーナー宛ての案内を確認してください。
制作会社・運用担当者は対応履歴を残す
複数のサイトを管理している場合は、プロジェクトごとに利用機能、確認担当者、対応内容、完了日を記録しておくと、確認漏れを防ぎやすくなります。
クライアントへ説明するときも、公式に判明している事実、自社サイトで確認できたこと、調査結果を待っていることを分けると、状況を正確に伝えられます。
ノーコードでもセキュリティリスクはなくならない
ここからは、今回の事案を踏まえたWeb制作・運用上の考察です。
ノーコードサービスには、サーバーやシステムの保守を提供事業者に任せられる利点があります。一方、運営側の共通基盤で問題が起きた場合、利用者側で直接修正することは難しくなります。
そのため、サービスを選ぶ際には、デザインや料金だけでなく、次の点も確認しておきたいところです。
- どのような情報をサービス内に保存するのか
- 管理権限や外部連携を誰が把握するのか
- 問題発生時に、誰が公式案内を確認して対応するのか
- クライアントやサイト利用者への説明をどう進めるのか
保守を任せられるサービスでも、利用者側の情報管理と対応体制は必要です。
WordPressとStudioの安全性は、この一件だけでは判断できない
今回の件を理由に「WordPressのほうが安全」「ノーコードは危険」と結論づけることはできません。
一般的な自己管理型のWordPressでは、サーバーやプラグインなどを含めて、運用側が管理すべき範囲が広くなります。Studioのようなサービスでは、その多くを提供事業者に任せる代わりに、共通基盤の対策や事故対応に依存します。
比較するときに重要なのは、自社が扱う情報と、継続して維持できる管理体制に合っているかという視点です。
問い合わせフォームで必要以上の情報を集めない、不要な連携や共有URLを残さない、管理担当者を明確にするといった運用も、プラットフォーム選びと併せて考える必要があります。
今後も公式発表の確認を
Studioを利用している方は、まず公式の案内と管理対象プロジェクトの利用状況を照らし合わせ、必要な対応を進めてください。
Webサイトは、公開後も情報を預かり続ける仕組みです。今回の事案を、保存データや外部連携、緊急時の連絡体制を見直す機会として捉えることが大切です。
参考情報
Studio公式：不正アクセスによる情報流出に関するお詫びとお願い（第一報）
