身に覚えのないお詫びメールはなぜ届くのか、Studioへの不正アクセスと岐阜県など利用者側の公表

なぜ身に覚えのない会社からお詫びが届くのか

お詫びのメールを送っている会社が、自分で攻撃を受けたとは限りません。サイトの作成に使っていたサービスが攻撃を受けた、という形です。

ホームページ作成サービス「Studio」への不正アクセス

Studioは、プログラムを書かずにホームページを作れるサービスで、会社のサイトやイベントの告知ページなどに使われています。Studioは10月18日（20日更新）、9月30日から10月1日にかけて第三者の不正アクセスを受け、次の情報を取得できる状態だったと公表しました。

出典：Studio株式会社「不正アクセスに関するお知らせ」（2026年10月18日公開、10月20日更新）。

暗号化して保存していた内容も、復号に必要な鍵が読み出されたため、知られた可能性があるとしています。実際に取得されたことは確認できていないものの、取得されたものとみなして対応しているとしています。改ざんや削除は、操作の記録からは確認されていないとしています。

フォームの送信内容は、各サイトの運営者のもの

Studioは、Studioで作られたサイトのフォームの送信内容は、各サイトの運営者が管理するもので、Studioは預かっている立場だと説明しています。そのため、問い合わせや資料請求を受けた会社や自治体が、それぞれ入力した人にお詫びのメールを送ったり、公表したりしています。

何年も前に一度だけ問い合わせた会社や、展示会やイベントで申し込んだだけの会社から連絡が来ることもあるため、「身に覚えがない」と感じやすくなります（当社の見方）。Studioは、Googleフォームなど外部のフォームをサイトに埋め込んでいた場合は、Studioを通らないため対象外としています。

公表している会社・自治体

利用者側の公表は、10月16日ごろから相次いでいます。

岐阜県と、報道で伝えられた会社

出典：岐阜県「Studio株式会社で発生した不正アクセスに伴う個人情報等漏えいの可能性について」（2026年10月19日更新）。Link-Uグループはinnovatopia、そのほかは報道・事案のまとめサイトによります。各社の公式発表は個別に確かめていません。

岐阜県の例では、県が2025年度に行った事業のイベント告知ページを、委託先がStudioで作っていました。イベントの参加申し込みは別に管理していたため対象外で、問い合わせフォームの2件だけが対象です。県は対象の人に謝罪し、不審なメールに注意するよう呼びかけています。

このように、対象になるのは「その会社のサイトのフォームに入力した内容」です。会社によって、氏名やメールアドレスだけのところもあれば、電話番号や問い合わせの本文まで含むところもあります。

SmartHRも2,012人分を公表（10月22日）

人事労務のクラウドサービスを提供するSmartHRは10月22日、グループの一部のサイトをStudioで作っていたため、問い合わせフォームに入力された2,012人分の情報が流出した可能性があると公表しました。対象はSmartHR、Smart相談室、AIRVISA、BYARD、Looperのサイトです。

項目は氏名、会社名、電話番号、メールアドレス、問い合わせ内容などで、フォームによって違います。SmartHRとグループのクラウドサービスに保存されたデータは対象外としています。第三者が実際に取得した事実や不正利用は確認されていないものの、Studio社は取得されたものとみなして調べているとしています。

出典：株式会社SmartHR「ノーコードWeb制作サービス『Studio』への不正アクセスに伴う情報流出の可能性について」（2026年10月22日）。

サイトを持つ会社がすること

Studioでサイトを作っている会社や団体は、Studio側の対応だけでは終わらない作業があります。

Studioが利用者に求めていること

Studioは、サイトを持つ利用者に、Studioのパスワードとパスワード保護ページのパスワードの変更、外部サービスのAPIキーやトークンの作り直し、Webhookの通知先の差し替え、Googleスプレッドシート連携のやり直しなどを求めています。外部サービスのキーはStudioの側から無効にできないため、利用者自身の作業が必要だとしています。

フォームの送信内容については、入力した人に知らせるかどうかを、サイトを持つ利用者が自分で判断するよう案内しています。個人情報保護委員会への報告は、個別に出すか、Studioとの連名で出すかを選べるとしています。

制作会社に任せている場合

岐阜県のように、サイトを制作会社に作ってもらっていると、自社がStudioを使っていることを知らない場合があります（当社の見方）。問い合わせフォームのあるサイトを外部に作ってもらった会社は、制作会社にどのサービスで作ったかを確かめると、対象かどうかが分かります。

PHPの緊急メンテナンス中は、フォームが送れなかった

Studioは、この不正アクセスとは別に、PHPの重大な脆弱性（php2shell）への備えとして、10月21日22時26分から22日4時05分まで緊急メンテナンスを行いました。PHPを修正版に更新して再開し、この件による不正アクセスや情報流出は確認されていないとしています。

メンテナンスの間は、公開しているサイトでもフォームの送信がエラーになり、パスワード保護ページの閲覧やCMSの一部の機能にも影響がありました。Studioは、サイトを持つ利用者に、この時間に送れなかった訪問者へ送り直しを案内するよう求めています。

出典：Studio「緊急メンテナンスのお知らせ」（2026年10月21日〜22日）。

お詫びメールが届いた人・サイトを持つ会社が今できる3つのこと

Studioと岐阜県の公表をもとにまとめました。

よくある質問

問い合わせた覚えのない会社からお詫びメールが来たのはなぜですか

Studioというホームページ作成サービスが不正アクセスを受け、Studioで作られたサイトのフォームの送信内容が取得できる状態でした。その会社のサイトのフォームに以前入力していた場合、その会社から連絡が届くことがあります。

届いたお詫びメールは本物ですか

送り主の会社の公式サイトに、同じ内容のお知らせがあるかで確かめます。メールのリンクは開かず、パスワードやカード番号の入力を求められても応じません。

何が漏れたのですか

その会社のサイトのフォームに入力した内容です。会社によって、氏名やメールアドレスだけのこともあれば、電話番号や問い合わせの本文まで含むこともあります。

Googleフォームで送った内容も対象ですか

Studioは、Googleフォームなど外部のフォームはStudioを通らないため対象外としています。ただし、埋め込みのコードに秘密の値が入っていた場合は対象になりうるとしています。

問い合わせはどこにすればよいですか

Studioは、フォームの送信内容についての問い合わせは、お知らせを受け取ったサイトの運営者へ行うよう案内しています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社で、取引先や中小企業に関わる情報漏えいの公表を日々見ています。お詫びメールを受け取った人と、サイトを持つ会社が確かめられるよう、公表資料をもとに整理しました。