デジタル庁がStudioへの不正アクセスで個人情報漏えいの可能性を公表｜問い合わせフォーム最大13,323件デジタル庁を装うメール・SMSに注意

公開日： 2026.10.23

Table of Contents

デジタル庁は2026年10月22日、ホームページ運営の一部に使っていたStudio株式会社のサービスが第三者から不正アクセスを受け、デジタル庁のホームページの問い合わせフォームに入力された個人情報などが漏えいした可能性があると公表しました。対象となり得るのは、2021年5月から2023年3月までに5種類のフォームに入力された内容で、件数は5種類を足すと最大13,323件です。このほか、デジタル庁職員や委託事業従事者のStudioアカウント情報35件も含まれます。

Studioは、コードを書かずにWebサイトを作れるサービスです。Studio株式会社は10月16日に第一報を出し、Studioに登録しているすべての利用者の情報が流出した可能性があるとしています。デジタル庁のフォームに問い合わせをした覚えがある人、Studioのアカウントを持っている人に関係する内容を整理します。

デジタル庁のフォーム5種類が対象 2021年5月〜2023年3月の入力内容

デジタル庁によると、漏えいした可能性がある個人情報の範囲は精査中で、現時点で対象となり得るのは次のとおりです。氏名やメールアドレスは、任意で記入していた場合に限られます。

対象	件数	項目
一般的なご意見・ご要望	最大8,833件	氏名、メールアドレス、問合せ内容
採用に関するお問合せ	最大250件	氏名、メールアドレス、電話番号、問合せ内容
接種証明書アプリに関するお問合せ	最大3,661件	氏名、メールアドレス、問合せ内容
マイナちゃんの着ぐるみの借用に関するお問合せ	最大117件	氏名、メールアドレス、所属、送付先住所、電話番号等
ワークショップ等その他の参加関連	最大462件	氏名、メールアドレス、所属、電話番号等
Studioアカウントの情報	35件	デジタル庁職員またはデジタル庁の委託事業従事者の氏名、メールアドレス

フォーム5種類の対象期間は、いずれも2021年5月から2023年3月までです。最も多いのは一般的な意見・要望のフォームで、新型コロナワクチンの接種証明書アプリに関する問い合わせも最大3,661件含まれています。現時点で、漏えいした個人情報が悪用されるなどの二次被害は確認されていません。

Studioは9月30日〜10月1日に不正アクセス 10月14日に経路を塞いだ

Studio株式会社の第一報によると、第三者がStudioの一部機能の脆弱性を悪用してクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていました。この状態は、同社が対処した2026年10月14日まで続いていました。実際に取得された事実は確認できていないものの、取得されたものとみなして対応しているとしています。

日付	内容
2026年9月30日〜10月1日	第三者による不正アクセス（現時点で確認できている期間）
2026年10月13日	社内の調査で不正アクセスを確認
2026年10月13日〜14日	脆弱性を修正し、不正アクセスに使われた経路を塞ぐ
2026年10月16日	Studio株式会社が第一報を公開。同日、デジタル庁にも報告
2026年10月22日	デジタル庁が公表

流出した可能性があるのは、Studioのアカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタやCMSの内容、フォームに送信された内容、ライブプレビューのURL、外部サービスのAPIキーなどの認証情報です。暗号化して保存していたデータも、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとしています。対象の件数は、精査のうえ続報で知らせるとしています。

Studio株式会社は、個人情報保護委員会への報告をはじめ関係機関への対応を進めているとしています。個人情報保護委員会は10月7日にも、大規模な漏えいが続いているとして注意喚起を出していました。

デジタル庁を名乗るメール・電話・SMSに注意パスワードやカード情報は聞かない

デジタル庁は、対象になり得る人に向けて、デジタル庁や関係機関を装った不審なメール、電話、SMSに注意するよう呼びかけています。

・身に覚えのない連絡に書かれたリンクや添付ファイルを開かない
・パスワードなどの認証情報や、クレジットカード情報などの個人情報を入力しない
・デジタル庁が、パスワードなどの認証情報やクレジットカード情報をメールや電話で聞くことはない

Studio株式会社も、本件に便乗した同社を装うフィッシングのおそれがあるとして、心当たりのないリンクや添付ファイルを開かないよう案内しています。同社がパスワードや認証情報をメールや電話で聞くことはなく、本件で送るメールに、パスワードや認証情報の入力を求めるリンクが含まれることもないとしています。

問い合わせ先は、デジタル庁国民向けサービスグループ省庁統一ウェブサイト担当です。メールアドレスは、デジタル庁の発表ページに掲載されています。

デジタル庁の発表を見る

Studioのアカウントを持つ人はパスワード変更を同じパスワードの他サービスも

Studio株式会社は、すべての利用者にお願いする対応として次の点を挙げています。

・メールアドレスとパスワードでログインしている人は、Studioのパスワードを変更する。GoogleログインまたはFacebookログインのみで、Studioのパスワードを設定していない人は不要
・ほかのサービスで同じパスワードを使っている場合は、そちらのパスワードも変更する
・ライブプレビューのURLを発行している場合は削除し、共有が必要なら新しいURLを発行する

パスワードはハッシュ化して保存しており、元のパスワードを割り出すことは難しいものの、その可能性を完全には否定できないため変更を求めているとしています。API連携、パスワード保護ページ、フォーム、Googleスプレッドシート連携、カスタムプロキシ、Webhook通知を使っているプロジェクトのオーナーには、個別のメールで対応を案内しています。

また、Studioで作られたWebサイトのフォームから情報を送った人には、送信先のサイトの運営者から案内がある場合があるとしています。2022年12月から2023年8月にかけて、AIでサイトを作る機能「Studio AI」（当初の名称は「Auto」）の先行利用に申し込んだ人も、メールアドレス、ユーザー名、住んでいる国の情報が流出した可能性があり、該当者には個別に連絡するとしています。

Studio株式会社のお知らせを見る

Studio株式会社は、対象となる利用者の範囲と件数、二次被害の有無、原因と再発防止策を、確認が取れ次第続報で知らせるとしています。パスワードの使い回しやフィッシングへの備えは、下の関連記事でも取り上げています。

Source: デジタル庁「Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について」／Studio株式会社「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」／フォーム5種類の合計件数は編集部で算出