ウェブ制作プラットフォーム「Studio」に不正アクセスで全ユーザーの情報流出

ここ最近、国内で不正アクセスが相次いでいます
JPCERT/CC も10月8日に注意喚起を出しました

Studio

クラウドでウェブサイト開発ができる「Studio」で全ユーザーの情報が流出しました
もしウェブ制作等でStudioを使っているなら今すぐ対応が必要です
※ちなみに私はStudio使ってません

流出した情報
・ユーザー名、メールアドレス、ハッシュ化されたパスワード
・フォームに送信された内容、CMSやデザインのデータ
・外部サービスの API キーやトークン、パスワード保護ページのパスワード、Google スプレッドシート連携の認証情報、Webhook の通知先 URL など

ハッシュ化されたパスワードが流出したとありますが、ハッシュ方式によっては比較的容易に平文に戻せます
SHA-256（ソルトあり）は弱いパスワードは数秒〜数分で突破できます
PBKDF2も反復回数次第で普通に突破できます
MD5 / SHA-1（ソルトなし）の場合はほぼ平文と同じです
Studioで使っているパスワードを他のサービスで使いまわしているなら、今すぐ変えたほうがいいです

基本的に全部やばいけど特にやばいと思ったのがフォームに送信された内容の流出ですね
Studioで作ったウェブサイトに訪れた一般ユーザーのお問い合わせフォームとかの入力内容が全部持っていかれたってことです
当然に個人情報を含むような内容を入力させるケースが多いので、これは洒落にならんやつだと思います

外部サービスのAPI キーやトークンは、ひとことで言えば「外部サービスへのログインを省略できる合鍵」なわけで、流出したら関連する外部サービスを操作できます
そこで得た情報や権限を足がかりにして、別のシステムへ侵入を広げられることもあります

本日2026年10月16日分の不正アクセス事件

日本経済新聞社

・約183万件が漏えい
・約15万件が氏名や住所などの個人情報で、そのうち約12万件にはメールアドレスも含まれます
・残りの約168万件は、それだけでは個人を特定できない情報

NIKKEI OFFICE PASS が上記の Studio を利用していたので、推測ですがもしかしたら Studio から抜かれた情報が日経の管理システム侵入に役立った可能性もありますね

ヤマト運輸

・約531万件の流出を確認（※9月28日に見つかった「クロネコ代金後払いサービス」への不正アクセスについての続報）
・流出した約526万件が氏名・住所・電話番号などで、そのうち約49万件にはメールアドレスも含まれる
・荷物の送り先情報が約5万件

対応手段なし

狙われたらおわり、巻き込まれてもおわり
詳細な個人情報を取らなければ成り立たないウェブサイトやシステムはもう作らないか、持ってるなら捨てる選択も視野に入れるべきかと思います