企業や官公庁が使うクラウドサービスで、不正アクセスが相次いで明らかになった。ノーコードのサイト作成サービスを運営するStudio(スタジオ)が2026年10月16日に情報流出の可能性を公表し、21日にはメール配信サービス「ブラストメール」でも不正アクセスによる情報の持ち出しが確認された[1][2]。デジタル庁と環境省は、それぞれのサービスを通じて預かっていた個人情報が漏えいした可能性があると発表した[3][4]。
ブラストメールとStudio、不正アクセスの概要
| 項目 | Studio | ブラストメール |
|---|---|---|
| サービス | コードを書かずにウェブサイトを作るサービス | メールの一斉配信サービス(ラクスの子会社ラクスライトクラウドが提供) |
| 不正アクセスの時期 | 9月30日〜10月1日(確認できている期間) | 10月21日に不審なアクセスを検知 |
| 流出の範囲 | 全利用者のアカウント情報、フォームの送信内容、外部サービスの認証情報など | 全契約者の会社名・担当者名・電話番号・メールアドレス・契約履歴など。 | 一部は配信先リストも | 会社の対応 | 10月13〜14日に脆弱性を修正し経路を遮断 | 21日午前0時30分からサービスを停止、再開は未定 |
表の内容は各社の発表による[1][2]。
Studio、全利用者の情報が流出した可能性
Studioによると、第三者が一部機能の脆弱性を突いて同社のクラウド環境に入り込み、環境内のデータを外から取得できる状態にしていた[1]。この状態は10月14日に対処するまで続いた[1]。実際に取得された事実は確認できていないが、取得されたものとみなして対応しているという[1]。
流出した可能性があるのは、すべての利用者のユーザー名やメールアドレス、ハッシュ化されたパスワードのほか、利用者がStudioで作ったサイトのフォームに送られた内容や、外部サービスと連携するためのAPIキーなどだ[1]。フォームの内容やAPIキーは暗号化していたが、暗号を解く鍵まで侵入者に読まれていたため、安全とはいえないと同社は説明する[1]。同社はパスワードの変更などを利用者に求めている[1]。
Studioでホームページの一部を運営していたデジタル庁は10月22日、2021年5月から2023年3月までに問い合わせフォームに入力された内容などが漏えいした可能性があると発表した[3]。一般的な意見・要望が最大8833件、接種証明書アプリに関する問い合わせが最大3661件など、合計で最大1万3323件になる[3]。
ブラストメール、全契約者の情報を持ち出し
ラクスは10月21日、子会社のブラストメールで外部の第三者による不正アクセスがあり、データが外部に持ち出されたことを確認したと発表した[2]。第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続していたという[2]。全契約者の会社名や担当者名などが持ち出され、一部の契約者については配信先リストなどの漏えいも確認した[2]。クレジットカード番号は保持していないとしている[2]。
ブラストメールを使っていた環境省は23日、関連する6つのメールマガジンの登録者情報が漏えいした可能性があると発表した[4]。地域循環共生圏メールマガジンでは氏名とメールアドレス、きんき環境館メールマガジンでは所属や市区町村なども対象になりうる[4]。サービス停止の影響で、メールマガジンの配信や管理もできなくなっている[4]。
PHPの脆弱性で官公庁サイトも一時停止
同じ週には、プログラミング言語「PHP」の脆弱性への対応も広がった。財務省は10月22日、PHPの脆弱性への対応として一部コンテンツの公開を一時止めていたホームページを、対策を終えて順次再開したと発表した[5]。ラクスも22日、PHPの脆弱性について自社の各クラウドサービスで対応を済ませたと公表している[6]。
委託先の事故は「自分の事故」になる
今回の2件はいずれも、サービスを使う側の組織に落ち度がなくても、委託先の不正アクセスで自らが預かった個人情報が漏れうることを示した。デジタル庁の例では、3年以上前に受け付けた問い合わせまで対象になっており、必要がなくなったデータを外部サービスに残したままにしていたことの影響も大きい。
個人情報が漏えいした場合、サービスを使っていた組織も、本人への通知や個人情報保護委員会への報告を迫られる。Studioはフォームを使う利用者向けに、委員会への報告の案内を出している[1]。外部サービスに保存しているデータの棚卸しと、不要なデータの削除が、委託先の事故に備える最初の対策になる。
脚注
- Studio株式会社「【重要】不正アクセスによる情報流出に関するお詫びとお願い(第一報)」(2026年10月16日、18日更新) https://studio.design/ja/whats-new/unauthorized-access-2026-10
- 株式会社ラクス「【第2報】当社子会社が提供する『ブラストメール』における不正アクセスによる情報漏えいおよびサービス停止について」(2026年10月21日) https://www.rakus.co.jp/news/2026/1021-3.html
- デジタル庁「Studio株式会社における不正アクセスによる個人情報の漏えいの可能性について」(2026年10月22日) https://www.digital.go.jp/press/a0a8f66c-b32d-4695-9372-bcd5d4280f22
- 環境省「環境省が関わるメールマガジンにおける配信先情報の漏えいの可能性について」(2026年10月23日) https://www.env.go.jp/press/press_05784.html
- 財務省「PHPの脆弱性対応に伴うWebサイト・一部コンテンツの公開再開について」(2026年10月22日) https://www.mof.go.jp/public_relations/ohter/20261022184327.html
- 株式会社ラクス「【重要なお知らせ】特定脆弱性への対応状況」(2026年10月22日) https://www.rakus.co.jp/news/2026/1022-2.html
