お問い合わせフォームのセキュリティ対策｜Studio不正アクセスから学ぶ点検手順
この記事の要点
- Studio社は2026年10月16日、9月30日〜10月1日の不正アクセスで全顧客のフォーム送信内容や外部サービスのAPIキーなどが流出した可能性があり、暗号化分も復号の鍵が読み出されたと公表しました。
- 各組織の公表を編集部が合計すると、漏えいした可能性がある件数はデジタル庁が最大13,323件、マネーフォワードがグループ5社で8,109件です。SmartHRはグループで対象人数2,012名と公表しています。
- Studioのフォームで個人データを扱い、個人情報保護委員会への報告が必要な組織は、連名か個別かを選べます（行政機関等は連名の対象外）。連名の受付は11月上旬開始予定で、本人への通知は各組織が行います（10月28日時点）。
- 漏えいの対象となる回答はStudioに保存されていたもので、保存を無効にしていた間の回答や9月30日より前に完全削除した回答は含まれません。編集部は、回答を制作サービスに溜め込まない運用を勧めます。
- Studio以外のホームページのフォームでも、スズキワールドのホームページで送信ログ約4,400件が閲覧・取得された可能性があり、入力処理の脆弱性、ログの置き場所、プラグインの更新を点検する必要があります。
ノーコードのWebサイト制作サービス「Studio」を運営するStudio株式会社は2026年10月16日、同社が利用するクラウド環境への不正アクセスにより、Studioに登録しているすべての顧客について、サイトのお問い合わせフォームに送信された内容や外部サービスのAPIキーなどが流出した可能性があると発表しました[1]。Studioでホームページを作っていた国の機関・企業・自治体は、自らのフォームに問い合わせをした人の情報について、相次いで公表しています[5][6][8]。
この記事では、Studio社と影響を受けた組織自身の発表、個人情報保護委員会のガイドラインをもとに、2026年10月29日時点で分かっていることを整理します。Studioを使っている組織が今週やること、個人情報保護委員会への報告と本人への通知の考え方に加え、Studioを使っていない企業も自社のお問い合わせフォームで点検すべきことを解説します。
報告や通知が法律上必要かどうかは、組織ごとの状況で変わります。この記事は一般的な整理です。個別の判断は、個人情報保護委員会の案内や弁護士などの専門家に確認してください。
Studioへの不正アクセスで何が起きたのか？
第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていました[1]。確認できている不正アクセスの期間は2026年9月30日〜10月1日（日本時間）で、この状態は10月14日にStudio社が対処するまで続いていました[1]。Studio社は、実際に取得された事実は確認できていないものの、取得されたものとみなして対応しています[1]。
9月30日〜10月1日
第三者による不正アクセス
Studioの一部機能の脆弱性が悪用されました（現時点で確認できている期間）[1]。
10月13日〜14日
確認と修正
社内の調査で不正アクセスを確認し、脆弱性の修正と経路の遮断を完了しました。14日午前2時30分ごろには、ログイン中の全ユーザーを一度ログアウトさせています[1][3]。
10月16日
第一報を公表
流出した可能性のある情報と利用者へのお願いを公表し、該当する機能の利用者に個別のメールを送りました[1]。
10月17日
委員会への報告の保留を依頼
個人情報保護委員会の要請を受け、フォームの利用者に、委員会への個別の報告をいったん保留するよう案内しました。同じ日に、暗号化の鍵を新しいものへ切り替えています[2][3]。
10月20日
連名での報告が可能に
委員会との協議の結果、利用者が個別に報告するか、Studio社が取りまとめて連名で報告するかを選べることになりました[2]。
10月21日〜22日
緊急メンテナンス
PHPの重大な脆弱性2件への予防措置として、公開サイトのフォーム送信を含む機能を一時停止しました。被害は確認されていないとしています[4]。
10月21日〜26日
利用組織の公表が続く
江戸川区、デジタル庁、SmartHR、長野県、マネーフォワードなどが、自らのフォームで対象となり得る件数を公表しました[5][6][7][8][9]。
10月28日
連名報告の受付予定を案内
受付は11月上旬に開始する予定で、受付期間内に申し込まないと連名の対象外になると案内しました[2]。
流出した可能性がある情報は、大きく4種類です[1]。お問い合わせフォームの回答だけでなく、フォームやサイトと外部のサービスをつなぐための鍵やパスワードも含まれています。
| 種類 | 主な中身 | 利用者に求められている対応 |
|---|---|---|
| Studioアカウントの情報 | ユーザー名、メールアドレス、ハッシュ化されたパスワードなど[1] | Studioのパスワードの変更。同じパスワードをほかのサービスで使っていれば、そちらも変更[1] |
| Studio上で管理しているデータ | デザインエディタ・CMSの内容、フォームに送信された内容、Google reCAPTCHA v3の設定情報、Webhook通知のURL[1] | フォームの利用者は、送信者への通知と委員会への報告を検討。Webhookは通知先のURLの切り替えを推奨[1][2][3] |
| ライブプレビューのURL | 公開前のページを確認するためのURL[1] | 発行済みのURLの削除と、必要に応じた再発行[1] |
| 各種設定に含まれる認証情報 | API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシ機能のプロキシキー[1] | 外部サービスのキーの切り替えと旧キーの失効、パスワードの変更、新しいプロキシキーへの差し替え。スプレッドシート連携はStudio社が10月14日に鍵を更新済みで、やり直しは推奨[1][3] |
2026年10月29日時点。対象の件数、二次被害の有無、原因の調査結果は、Studio社が続報で公表するとしています[1]。
特に重いのは、暗号化していた情報も守られなかった点です。Studio社によると、フォームに送信された内容や外部サービスのAPIキーなどは、暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があります[1]。
また、第三者が取得した認証情報には、データを書き換えられる権限も含まれていました[3]。Studio社はこれらの認証情報をすでに無効化し、操作の記録を調べた結果、顧客のデータを書き換えたり削除したりした記録はないとしています[3]。原因の詳しい調査は外部の専門機関に依頼する方向で調整しており、結果がまとまる時期は決まっていません[3]。
どの組織のフォームが影響を受けたのか？
影響は、Studioでサイトを作っていた国の機関・企業・自治体にまで広がっています。各組織が自ら公表した件数は、いずれも「漏えいした可能性がある」段階のもので、二次被害は確認されていないとしています[5][6][7]。
8,109件
マネーフォワードグループ5社のフォーム
5社が公表した件数（4,150件・713件・257件・2,984件・5件）を編集部が合計。採用・コーポレート・サービスサイトのお問い合わせフォーム[6]
| 組織（公表日） | 対象となったフォーム | 公表から分かる点 |
|---|---|---|
| 江戸川区（10月21日） | 委託事業で実施したコンテストの応募フォーム（6名）[9] | 10月20日に受託事業者から連絡を受けました。氏名・生年月日・住所・メールアドレス・電話番号が対象となり得るとしています[9] |
| デジタル庁（10月22日） | ご意見・ご要望、採用、接種証明書アプリ、着ぐるみの借用、ワークショップ等の問い合わせフォーム[5] | 対象は2021年5月〜2023年3月に入力された内容で、数年前の問い合わせも残っていました[5] |
| SmartHR（10月22日） | グループ5社の企業情報サイト・サービス紹介サイトなどのフォーム[7] | 運営をすでに停止したサービスのサイトでも、運営当時に入力された情報が対象に含まれる可能性があるとしています[7] |
| 長野県（10月22日） | 県の委託事業のサイトにある相談フォームなど（3事業）[8] | 県の事業を受託した複数の事業者がStudioを利用しており、10月19〜20日に各受託事業者から報告を受けました[8] |
| マネーフォワード（10月26日） | グループ5社の採用・コーポレート・サービスサイトのフォーム[6] | Studio上で受け付けていたフォームの利用をすべて停止し、別のシステムへの切り替えを完了しました[6] |
各組織の公表日時点の内容です。件数を精査中としている組織もあります。
各組織とも、自社のサービス本体への影響は否定しています。マネーフォワードは「マネーフォワード クラウド」などのサービス本体への影響や情報流出はないとし[6]、SmartHRも同社グループのクラウドサービスに保存されたデータは対象ではないとしています[7]。漏えいした可能性があるのは、ホームページのフォームに入力された情報です。
なぜお問い合わせフォームの漏えいは被害が広がりやすいのか？
お問い合わせフォームには、氏名や連絡先に加えて、自由記述の相談内容がそのまま蓄積されます。回答は削除しない限りサービス上に残り続けます。今回の件では、回答に加えて、フォームとつながる外部サービスの鍵まで流出した可能性があり、被害がフォームの外に広がるおそれもあります[1][3]。
保存していた回答が、そのまま漏えいの範囲になった
Studio社によると、対象となるのはStudioに保存されていた回答です。ゴミ箱に移しただけの回答、ライブプレビューでテスト送信した回答、プランの上限を超えてダッシュボードに表示されなかった回答も含まれます[1]。一方で、「フォームの結果をStudioに保存」を無効にしていた間に送信された回答と、9月30日より前に「完全に削除」した回答は含まれません[1]。
デジタル庁の対象が2021年5月〜2023年3月に入力された内容だったように[5]、使い終わったフォームの回答も、消さなければ漏えいの対象になります。SmartHRも、運営を停止したサービスのサイトの回答が対象に含まれる可能性があるとしています[7]。
暗号化していても、鍵が一緒に読まれれば守れない
暗号化は、データだけが盗まれたときに中身を読ませないための仕組みです。今回のように復号の鍵まで同じ不正アクセスで読み出されると、暗号化されていた回答も内容を知られた可能性が出てきます[1]。Studio社は10月17日に暗号化の鍵を新しいものへ切り替えましたが、鍵を切り替えても、不正アクセスの時点で取得された可能性のある情報は守れないと説明しています[3]。
フォームとつながる外部サービスの鍵も流出した
フォームの回答をGoogleスプレッドシートに自動で書き込んだり、Webhookで社内のチャットに通知したりする連携は便利ですが、スプレッドシート連携の認証情報やWebhook通知の通知先URLも流出した可能性があります[1]。URLを知った第三者は、通知先にメッセージを送れる場合があるとされています[3]。Studio社は、スプレッドシート連携の鍵を10月14日に更新するまでの間、第三者がシートを閲覧・編集できた可能性を否定できないとしています[3]。
外部サービスのAPIキーやトークンは発行元のサービスが管理しているため、Studio社では無効化できません。利用者が自ら、新しいキーへの切り替えと古いキーの失効を行う必要があります[3]。
個人情報保護委員会への報告と本人への通知は必要か？
個人情報保護委員会は、不正アクセスによる個人データの漏えい（そのおそれを含む）を、報告が必要な場合の例に挙げています[11]。Studioのフォームで個人データを扱っていた組織は、報告が必要な場合、委員会への報告をStudio社との連名で行うか、個別に行うかを選べます（市区町村などの行政機関等は連名の対象外です）。ただし、本人への通知はどちらを選んでも各組織が行う必要があります[2]。
委員会が示すこの類型は「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（…）の漏えい等（又はそのおそれ）」で、「個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）」とは別の類型です[11]。ガイドラインは、ここでいう事業者に、個人データの取扱いを委託している委託先や、個人データを取り扱うために利用しているサービスの提供者も含まれるとしています[12]。フォームの回答が数件しかない組織も、件数だけで報告不要と判断しないよう注意が必要です。
| 対応 | 期限 | Studioの件での扱い |
|---|---|---|
| 個人情報保護委員会への速報 | 速やかに（目安は、事態を知った時点から概ね3〜5日以内）[12] | 連名で報告する場合、本件に限り、速報の目安の期間を過ぎても報告遅延として扱わないとされています[2] |
| 個人情報保護委員会への確報 | 事態を知った日から30日以内。不正の目的によるおそれがある場合は60日以内（いずれも報告期限）[11][12] | 連名を選べば個別の確報は不要です。個別に報告する場合は確報も必要です[2] |
| 本人への通知 | 事態の状況に応じて速やかに。通知が困難な場合は、公表などの代わりの措置[12] | 連名報告には含まれません。各組織が通知し、Studio社はお知らせの雛形を用意しています[2][3] |
| そのほかの報告 | プライバシーマークの規程や業法などによる | プライバシーマークの審査機関、業法の所管官庁、海外の当局への報告も、連名報告には含まれません[2] |
2026年10月29日時点。市区町村などの行政機関等は連名報告の対象外で、報告の要否は各機関が判断するとされています[2]。
連名報告の申し込みは、10月28日時点でまだ始まっておらず、11月上旬に開始する予定です[2]。受付期間が設けられ、期間内に申し込まないと連名の対象外となり、報告が必要な場合は個別に行うことになります[2]。
Studio社は申し込みに備えて、漏えいした個人データの項目と本人の数（概数や最大の見込みで可）、本人への通知の状況、委託先であるStudio社の監督の状況などを準備しておくよう案内しています[2]。
本人への通知について、Studio社は、不正アクセスによる漏えいのおそれがある場合は対象者が1人でも通知が必要になると説明しています[3]。営業目的やスパムの送信であっても、氏名やメールアドレスなど特定の個人を識別できる情報が含まれていれば、原則として通知が必要だとしています[3]。連絡先がないなど通知が難しい場合は、公表などの代わりの措置で対応することが認められています[3][12]。
なお、Studio社からフォームの送信者に直接通知することはないとしています。同社はサイトの運営者から委託を受けて回答を保管している立場であり、送信者の多くはStudioを知らないため、同社から連絡すると便乗した不審な連絡と区別しにくくなる、という理由です[3]。
Studioを使っている組織が今週やることは？
まず、Studio社から届いている個別のメールで、対象のプロジェクトと機能を確かめます。次に、流出した可能性のある鍵やパスワードを切り替えます[3]。そのうえで、フォームの回答を書き出して本人の数と項目を把握し、本人への通知と委員会への報告の方式を決めます[2][3]。
今週中に確認すること（Studioを利用している組織）
- プロジェクトのオーナーのメールアドレスと迷惑メールフォルダで、Studio社からの個別のメールを確認する（オーナーがいない場合はメンバーに届いています）[3]
- メールアドレスとパスワードでログインしている場合は、Studioのパスワードを変更する。同じパスワードをほかのサービスで使っていれば、そちらも変更する[1]
- 発行済みのライブプレビューのURLを削除し、必要なら新しく発行する[1]
- API連携に登録した外部サービスのAPIキーやトークンを、発行元のサービスで新しいものに切り替え、古いキーを失効させる[3]
- パスワード保護ページのパスワードを変更し、Webhookの通知先のURLを新しいものに切り替える（URLの切り替えはStudio社の推奨）[1][3]
- Googleスプレッドシート連携は、Studio社の推奨に沿って、Studioで連携を解除し、Googleアカウントの「リンク済みアプリ」でStudioのアクセス権を削除してから、改めて連携する[1]
- カスタムプロキシを使っている場合は、10月16日のメールを受け取ってから30日以内に新しいプロキシキーへ差し替え、完了をStudio社に知らせる[1]
- フォームの回答をCSVで書き出し（期間限定の提供）、対象となる本人の数と項目（氏名・連絡先・自由記述など）を把握する。ゴミ箱の回答やテスト送信も対象に含まれる。不正アクセスの後に「完全に削除」した回答は、対象に含まれるがCSVには出力されない[1][3]
- 本人への通知の文面と方法を決める（Studio社の雛形を使える）。あわせて、11月上旬に始まる予定の連名報告に申し込むか、個別に報告するかを決める[2]
- 本件に便乗して自社やStudio社を装う不審なメール・電話・SMSに注意するよう、サイトの利用者と社内に呼びかける[1][5]
ホームページの制作や運用を制作会社に任せている場合、Studio社からの個別のメールは制作会社に届いている可能性があります。Studio社は、クライアントのサイトを管理している制作会社に、まずサイトの運営者へ案内を伝えるよう求めています[2]。運営者自身での申し込みが難しい場合は、制作会社が運営者の了承を得たうえで、連名報告を代わりに申し込むこともできます[2]。
なお、10月21日夜から22日未明にかけて、Studioは公開サイトのフォーム送信を含む機能を一時停止していました。PHPの重大な脆弱性への予防措置で、この間はフォームを送信しようとするとエラーが表示されていました。Studio社は、必要に応じてサイトの訪問者へ再送を案内するよう求めています[4]。
自社サーバーやWordPressのフォームは何を点検すべきか？
Studioを使っていない企業も、無関係ではありません。自社のホームページのフォームが不正アクセスを受け、送信内容が閲覧・取得された可能性がある例も出ています[10]。点検するのは、フォームの入力や送信の処理に脆弱性がないか、送信内容がどこにいつまで残っているか、CMSとプラグインが最新かの3点です[13][14]。
スズキワールドの例：送信ログに残っていた約4,400件
スズキ二輪は2026年10月14日、スズキワールドのホームページへの不正アクセスを公表しました[10]。7月29日に不正アクセスを検知し、一部のページの改ざんと、外部サイトへのリンクの設置を確認しています[10]。さらに、問い合わせフォームの送信ログに記録された約4,400件の情報（名前・メールアドレス・電話番号・住所・問い合わせ内容）が、第三者に閲覧または取得された可能性があるとしています。現時点で、外部へ流出した形跡は確認されていないとしています[10]。
一方で、同社の顧客管理システムは問い合わせフォームとは別のサーバーで運用していたため、本件の影響はないとしています[10]。編集部の見方では、顧客管理システムをフォームとは別のサーバーで運用していたことが、被害の範囲を限ることにつながった例です。一方で、送信ログに約4,400件が残っていた点は、フォームのサーバーに送信内容を溜め込まない運用の大切さも示しています。
フォームで確かめたい点検項目
IPAの「安全なウェブサイトの作り方」は、届出の多い脆弱性や攻撃による影響の大きい脆弱性として、11種類を取り上げています[13]。その中には、入力を受け付けてメールを送るお問い合わせフォームで、特に確かめておきたいものが含まれます。
| 点検項目 | 何を確かめるか | 主な担当 |
|---|---|---|
| 入力値の処理 | メールヘッダ・インジェクション（入力欄から宛先などを書き換えられる弱点）、クロスサイト・スクリプティング、SQLインジェクションがないか[13] | 開発会社・脆弱性診断 |
| 意図しない送信 | CSRF（利用者が意図しない送信をさせられる弱点）への対策があるか[13] | 開発会社・脆弱性診断 |
| 送信内容の置き場所 | 送信ログ・データベース・バックアップが、どのサーバーにどれだけ残っているか。外部から見える場所に置かれていないか | Web担当・制作会社 |
| 回答を見る管理画面 | 管理画面の認証と、閲覧できる人の範囲。アクセス制御や認可制御の欠落がないか[13] | Web担当・脆弱性診断 |
| CMSとプラグイン | WordPress本体とフォームのプラグインが最新か。使っていないプラグインが残っていないか[14]。テーマも同じく最新か | Web担当・制作会社 |
| 連携の鍵 | スプレッドシート・チャット・顧客管理システムとの連携に使うAPIキーやトークンの保管場所と、切り替えの手順 | Web担当・情シス |
IPAは、資料の項番は対策の優先順位を示すものではないとしています[13]。優先順位は、自社のフォームが扱う情報と構成に合わせて決めてください。
まず、プラグインを常に最新の状態に保ってください。また、使っていないプラグインは、システムから削除してください。
First of all, make sure your plugins are always updated. Also, if you are not using a specific plugin, delete it from the system.
WordPressの公式ドキュメントは、古いバージョンのWordPressにはセキュリティ更新が提供されないことも明記しています[14]。また、攻撃者がログインに成功したときに最初に使うことが多いとして、管理画面からテーマやプラグインのファイルを編集する機能を無効にする設定も紹介しています[14]。
フォームの入力処理や管理画面の弱点は、画面を見ているだけでは分かりません。脆弱性診断では、フォームに細工した入力を実際に送り、宛先の書き換えや情報の読み出しができないかを確かめます。外部に公開しているアプリやWebサービスを起点とする不正アクセスと、公開しているシステム全体の点検の考え方は、A2B攻撃の解説記事で整理しています。診断で確かめる範囲の例は診断・テストのメニューにまとめています。
フォームを外部サービスや制作会社に任せるときに何を確認するか？
個人データの取り扱いを外部に任せても、任せた側の責任はなくなりません。個人情報保護法は委託元に委託先の監督を求めています[12]。今回の連名報告の申し込みでも、Studio社をどう監督していたかを記入する見込みです[2]。
個人情報保護委員会のガイドラインは、委託先の監督として、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握の3つを挙げています[12]。Studio社は、連名報告の申し込みの際に、本件の前にStudio社と個別の契約や覚書を結んでいたのか、利用規約への同意のみだったのか、取扱状況をどのように把握していたのかを、事実のまま記入してもらう見込みだとしています[2]。
委託先・利用サービスに確認すること
- フォームの回答は、どのサービスのどこに保存されるか。制作会社が、さらに別のサービスを使っていないか
- 回答の保存期間と削除の方法。ゴミ箱に移すだけで消えたことになっていないか、完全に削除できるか
- 回答や連携の鍵を暗号化しているか。暗号化の鍵を、データと同じ環境に置いていないか
- 漏えいなどが起きたとき、誰から・いつまでに連絡が来るか。制作会社を経由して運営者に届く経路が決まっているか
- 回答をサービスに保存せず、通知メールや社内のシステムへ直接送る設定にできるか
まとめ
Studioへの不正アクセスは、ホームページのお問い合わせフォームが、企業や自治体にとって個人データの保管場所になっていることを示しました。2026年10月29日時点で、件数・二次被害・原因はStudio社の続報を待つ段階ですが、利用組織に求められる対応はすでに示されています[1][2]。
- Studioを使っている組織は、鍵とパスワードを切り替え、フォームの回答の本人の数と項目を把握し、本人への通知と委員会への報告の方式（連名は11月上旬に受付開始予定）を決める[2][3]
- Studioを使っていない企業も、自社のフォームの回答がどこにいつまで残っているかを棚卸しし、使い終わった回答は消す
- 自社サーバーやWordPressのフォームは、入力処理の脆弱性、送信ログの置き場所、管理画面、プラグインの更新を点検する[13][14]
- 制作会社や委託先が使うサービスまで台帳にし、事故のときに連絡が届く経路を決めておく（個人情報保護法は委託元に委託先の監督を求めています[12]）
フォームの点検は、一度やれば終わりではありません。サイトの改修やプラグインの追加のたびに、新しい弱点が生まれることがあります。本件に便乗した不審な連絡への備えは、ソーシャルエンジニアリング対策の記事で解説しています。よくある質問はFAQにもまとめています。
よくある質問
Studioで作られたサイトのフォームから問い合わせをしたことがあります。何に注意すればよいですか？
送信先のサイトの運営者から、漏えいの可能性についての案内が届く場合があります。本件に便乗して運営者やStudio社を装う不審なメール・電話・SMSが届くおそれがあるため、身に覚えのないリンクや添付ファイルは開かず、パスワードやカード情報を入力しないでください。Studio社やデジタル庁は、メールや電話でパスワードなどを尋ねることはないとしています。
不正アクセスで漏えいしたのが数件だけでも、個人情報保護委員会への報告は必要ですか？
個人情報保護委員会は、報告が必要な場合の一つとして、不正の目的をもって行われたおそれがある行為による個人データの漏えい等を挙げ、例として不正アクセスを示しています。これは本人の数が1,000人を超える場合とは別の類型です。Studioの件では、報告が必要な場合、Studio社と連名で報告するか、個別に報告するかを選べます（市区町村などの行政機関等は連名の対象外）。個別の判断は、委員会の案内や専門家に確認してください。
フォームの回答を暗号化していれば、漏えいしても安全ではないのですか？
暗号化は、データだけが盗まれた場合に中身を読ませないための仕組みです。Studioの件では、暗号化して保存していた回答や外部サービスのAPIキーについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとされています。利用しているサービスが、鍵をデータとは別に管理しているかも確認が必要です。
WordPressのお問い合わせフォームで、最低限やるべきセキュリティ対策は何ですか？
WordPress本体・テーマ・フォームのプラグインを常に最新に保ち、使っていないプラグインは削除します。送信内容がデータベースやログにどれだけ残っているかを確かめ、不要な回答は期限を決めて消します。そのうえで、入力欄から宛先を書き換えられるメールヘッダ・インジェクションなどの弱点がないかを、脆弱性診断で確かめると安心です。
ホームページを制作会社に任せています。何を確認すればよいですか？
フォームの回答がどのサービスに保存されているか、制作会社がさらに別のサービスを使っていないか、保存期間と削除の方法、事故のときに誰からいつ連絡が来るかを確認してください。個人情報保護法は、個人データの取り扱いを委託する場合に、委託元に委託先の監督を求めています。
出典・参考資料
- 公式発表【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）
- 公式発表【重要】フォーム機能などで個人情報を取り扱っているお客様へ：個人情報保護委員会へのご報告についてのご案内
- 公式発表Studioにおける不正アクセスに関するご案内
- 公式発表【重要】10月21日(水) 22:00からの緊急メンテナンスのお知らせ【10月22日(木) 04:05終了】
- 公式発表Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について
- 公式発表外部サービス「Studio」への不正アクセスに伴う、お問い合わせフォームにおける個人データ流出の可能性に関して
- 公式発表ノーコードWeb制作プラットフォーム「Studio」への不正アクセスに伴う情報流出の可能性に関するお知らせ
- 公式発表Studio株式会社で発生した不正アクセスに伴う個人情報漏えいの可能性について
- 公式発表2026年10月21日 区の委託事業における個人情報漏えいの可能性
- 公式発表スズキワールドホームページへの不正アクセスに関するお詫びとご報告
- 公式発表漏えい等の対応とお役立ち資料
- 公式発表個人情報の保護に関する法律についてのガイドライン（通則編）
- 調査レポート安全なウェブサイトの作り方
- 公式発表Hardening WordPress
本記事の事実関係は、2026.10.29 時点で上記の出典をすべて再確認しています。 執筆者とは別のレビューで全14出典を開き直し、件数・日付・Studio社の案内（10月28日更新分）・個人情報保護委員会のガイドラインとの対応を照合した。
