ノーコードWeb制作「Studio」が不正アクセスで全顧客情報流出の可能性、パスワード変更など要請

ノーコードWeb制作プラットフォーム「Studio(スタジオ)」を展開するStudioは10月16日、同社が利用するクラウド環境への第三者による不正アクセスで全ての顧客情報が外部に流出した可能性があることが判明したと発表した。不正アクセスは9月30日から10月1日(日本時間)にあったと10月13日に社内調査で確認し、10月14日までに脆弱性を修正して利用された経路を塞いだ。実際に第三者に取得された事実は確認されていないが、取得されたものとみなして対応している。

流出した可能性があるのは、①アカウント情報(ユーザー名、メールアドレス、ハッシュ化されたパスワードなど)、②顧客がStudio上で管理するデータ(デザインエディタとCMSの内容、フォームに送信された内容、「Google reCAPTCHA v3」の設定、Webhook通知のURL)、③公開前ページを確認するライブプレビューのURL、④各種設定の認証情報(API連携した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー)。

同社は決済やログインなどの認証情報を新しいものに切り替え、その他の認証情報も順次無効化・変更を進める。現時点でデータの改ざんや削除は確認されていない。個人情報保護委員会へ報告し、外部の専門家の助言を得て再発防止に取り組む。顧客には①パスワード変更、②ライブプレビューのURLの削除と再発行、③Studioを装う不審な連絡への注意――の3点を求めている。同社からパスワードや認証情報をメールや電話などで問い合わせることはない。API連携などの一部機能を利用するオーナーには個別メールで連絡している。