ノーコードWeb制作ツール「STUDIO（studio.design）」を運営するStudio株式会社から、不正アクセスに関するお知らせ（第一報）が公表されました。STUDIOでサイトを運用している方は、まず落ち着いて、公式発表に沿って必要な対応を行うことが大切です。
この記事では、STUDIOの登録ユーザーが「今すぐやるべき対応」を、公式発表の内容にもとづいて分かりやすく整理しました。Web制作・運用・セキュリティを手がける株式会社Soeluが、第三者の立場で中立に解説します。
※本記事は2026年10月18日時点で公表されている「第一報」の内容にもとづきます。状況は随時更新されるため、最新かつ正確な情報は必ずSTUDIO公式のお知らせをご確認ください。
何が起きたのか（公式発表の要約）
公式発表によると、概要は次のとおりです。
- 第三者がSTUDIOの一部機能の脆弱性を悪用し、クラウド環境に侵入。環境内のデータを外部から取得できる状態になっていた
- 確認されている不正アクセスの期間は、2026年9月30日〜10月1日（日本時間）
- 10月13日に社内調査で検知し、10月13〜14日に脆弱性を修正・侵入経路を遮断
- 実際に情報が取得されたことは確認できていないものの、「取得された」とみなして対応している
流出した可能性がある情報として、登録者全員について、アカウント情報（ユーザー名・メールアドレス・ハッシュ化されたパスワード）、STUDIO上のデータ（デザイン・CMS・フォーム送信内容など）、ライブプレビューのURL、設定内の認証情報（APIキー・トークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報、カスタムプロキシのキー）などが挙げられています。
パスワードはハッシュ化されていますが、解読の可能性を完全には否定できないとされています。
【全ユーザー共通】今すぐやるべき3つの対応
① STUDIOのパスワードを変更する
メールアドレスとパスワードでログインしている場合は、STUDIOのパスワードを変更しましょう。GoogleまたはFacebookログインのみを利用している場合は、公式発表では変更不要とされています。
他のサービスで同じパスワードを使い回している場合は、そのサービスのパスワードも必ず変更してください。パスワードの使い回しは、1か所の漏えいが他サービスへの不正ログイン（パスワードリスト攻撃）につながる最大のリスクです。
② ライブプレビューのURLを削除する
ライブプレビューのURLを発行している場合は、いったん削除します。必要であれば、削除後に新しいURLを発行し直してください。
③ STUDIOを装ったフィッシングに注意する
こうしたインシデントの後は、企業名を装ったフィッシングメール・SMSが増える傾向があります。STUDIOがメールや電話でパスワードや認証情報を求めることはありません。
メール内のリンクからではなく、公式サイトのURLを自分で入力してアクセスする習慣をつけましょう。
【該当者のみ】機能を使っている場合の追加対応
以下の機能を利用している場合は、追加の対応が必要です（対象者には個別にメールで案内があるとされています）。
| 利用している機能 | 必要な対応 |
|---|---|
| 外部サービスとのAPI連携 | 連携先サービスのAPIキー・トークンを切り替える（再発行する） |
| パスワード保護ページ | ページのパスワードを変更する |
| フォーム | 送信内容に関する案内を確認。Googleスプレッドシート連携は解除が推奨されている |
| カスタムプロキシ | 新しいプロキシキーに切り替える |
| Webhook通知 | 通知先URLを切り替える |
APIキーやトークンは、漏えいすると外部サービスの不正利用につながる可能性があります。「使っているかどうか分からない」場合も、設定画面を一度確認しておくと安心です。
今後のためにやっておきたいセキュリティ対策
今回のインシデントは特定のツールの話ですが、「どんなサービスでも情報漏えいは起こりうる」前提で備えておくことが、被害を最小限にする一番の対策です。
- パスワードを使い回さない：サービスごとに異なる強固なパスワードを設定する
- パスワード管理ツールを使う：複雑なパスワードを安全に管理できる
- 二段階認証（2FA）を有効にする：対応サービスでは必ず設定する
- APIキーや認証情報を定期的に見直す：不要な連携は解除しておく
- フォーム送信データの保管場所を把握する：個人情報がどこに溜まるかを確認する
ここまでは、どのサービス・プラットフォームを使っていても共通する基本的な対策です。
一方で、自社で「WordPress」を使ってサイトを運用している場合は、ツール提供側に任せきれない“自分たちで守るべき”対策が増えます。WordPressは世界で最も使われているCMSであるぶん、攻撃者の標的にもなりやすく、放置された脆弱性や設定の不備を突かれるケースが後を絶ちません。
そこで次に、WordPressサイトを運用している方が具体的に実施すべきセキュリティ対策を解説します。STUDIOのようなホスティング型ツールと違い、WordPressは自社（または制作・保守会社）側で対策を講じる必要がある点に注意してください。
WordPressサイトで実施すべきセキュリティ対策【最新版】
自社でWordPressサイトを運用しているなら、最低限、以下のセキュリティ対策を実施してください。すべてを個別に設定するのが難しい場合は、できるものから順に対応するだけでもリスクを大きく下げることができます。
① 本体・テーマ・プラグイン・PHPを常に最新バージョンに保つ
攻撃の多くは、公開済みの「既知の脆弱性」を突かれるものです。WordPress本体・テーマ・プラグイン、そしてサーバーのPHPを常に最新版に保つことが、最も基本かつ効果的な対策です。自動更新を有効にし、使っていないテーマ・プラグインは削除しましょう。
② reCAPTCHA（v3）またはCloudflare Turnstileを追加する
ログインフォームやお問い合わせフォームに、ボットによる自動攻撃・スパムを防ぐウィジェットを追加します。Google reCAPTCHA v3はスコア判定でユーザー操作が不要、Cloudflare Turnstileはプライバシーに配慮した無料のウィジェットで、パズル操作なしで導入できます。Contact Form 7などの主要フォームプラグインと連携可能です。
③ SiteGuard WP Plugin を追加する
日本製の定番セキュリティプラグインです。最新版を導入することで、ログインページURLの変更・画像認証（CAPTCHA）・ログインロック（試行回数制限）・ログインアラート・XMLRPC防護・ピンバック無効化などを、まとめて設定できます。
後述する対策の多くをプラグイン一つでカバーできるため、まず入れておきたい一本です。
④ 海外からの管理画面アクセスを拒否する
不正ログインの試行は、海外のIPアドレスからのものが大半です。管理画面（wp-admin・wp-login.php）へのアクセスを国内IPのみに制限すると、攻撃の大半を入口でブロックできます。サーバーのWAF・地域制限機能、Cloudflare、またはIP制限系プラグインで設定します。
⑤ ダッシュボード（wp-admin）へのアクセスを制限する
固定IPの環境であれば、管理画面へのアクセスを自社のIPアドレスのみ許可する、またはBasic認証を追加するのが有効です。サーバーの「.htaccess」やレンタルサーバーのアクセス制限機能で設定できます。
⑥ XML-RPC（xmlrpc.php）へのアクセスを制限する
XML-RPCは、ブルートフォース攻撃の増幅やピンバックを悪用したDDoSの踏み台にされることがあります。外部連携で使っていなければ、無効化・アクセス制限が安全です。SiteGuard WP PluginのXMLRPC防護でも対応できますが、サーバーの「.htaccess」で直接拒否する場合は次のとおりです。
<Files xmlrpc.php>
Require all denied
</Files>⑦ wlwmanifest.xml へのアクセスを制限する
wlwmanifest.xmlは旧「Windows Live Writer」用のファイルで、現在はほとんど不要ですが、攻撃者がWordPressサイトかどうかを調べる偵察に使われます。headからの出力を止め、ファイルへのアクセスも拒否しておきましょう。テーマの functions.php に次を追加し、
remove_action('wp_head', 'wlwmanifest_link');あわせて「.htaccess」でアクセスを拒否します。
<Files wlwmanifest.xml>
Require all denied
</Files>⑧ REST API へのアクセスを制限する
WordPressのREST APIは、初期状態ではユーザー名が外部から一覧取得（列挙）できてしまう場合があり、ログイン攻撃の足がかりになります。ただしREST APIはブロックエディタやフォーム等でも使われるため、全面停止ではなく「ユーザー情報の列挙を防ぐ」設定が安全です。
セキュリティプラグインでの制御、または users エンドポイントの無効化で対応します。
⑨ ログイン試行回数を制限する
総当たり（ブルートフォース）攻撃を防ぐため、一定回数ログインに失敗したらロックする設定を入れます。SiteGuard WP Pluginの「ログインロック」や、専用プラグインで対応できます。あわせて、管理者のユーザー名を「admin」にしない、推測されにくいIDにすることも有効です。
このほか、常時SSL化・定期的なバックアップ・強固なパスワード＋二段階認証・不要なアカウントの削除も基本の対策です。これらを個別に設定・維持し続けるのは負担が大きいため、専門会社の運用保守にまとめて任せるのも有効な選択肢です。
まずは公式発表の確認を
影響範囲や件数、原因の詳細は現在も調査中で、続報が公表される見込みです。対応の判断は、必ず最新の公式発表にもとづいて行ってください。
よくある質問
- STUDIOを使っていますが、まず何をすればいいですか？
- メールアドレスとパスワードでログインしている場合は、STUDIOのパスワードを変更してください。同じパスワードを他サービスで使い回している場合は、そちらも変更します。あわせて、発行済みのライブプレビューURLの削除、STUDIOを装ったフィッシングへの注意も行いましょう。GoogleまたはFacebookログインのみの場合、パスワード変更は不要とされています。
- パスワードはハッシュ化されていたのに、変更は必要ですか？
- 必要です。公式発表でも、ハッシュ化されていても解読の可能性を完全には否定できないとされています。念のため変更し、特に他サービスでの使い回しがある場合は必ずそちらも変更してください。
- API連携やフォーム連携を使っています。追加の対応はありますか？
- あります。外部サービスのAPIキー・トークンの切り替え、パスワード保護ページのパスワード変更、Googleスプレッドシート連携の解除、カスタムプロキシキーの切り替え、Webhook通知先URLの切り替えなどが案内されています。対象者には個別メールで案内があるとされていますが、設定画面を一度確認しておくと安心です。
- WordPressサイトで最低限やるべきセキュリティ対策は？
- 本体・テーマ・プラグイン・PHPを常に最新に保つこと、reCAPTCHA（v3）またはCloudflare Turnstileの追加、SiteGuard WP Pluginの導入、海外からの管理画面アクセス拒否、ダッシュボードのアクセス制限、XML-RPCやwlwmanifest.xmlのアクセス制限、REST APIでのユーザー列挙対策、ログイン試行回数の制限などが挙げられます。あわせて常時SSL・定期バックアップ・二段階認証も基本です。
- 自社サイトのセキュリティ全般が不安です。相談できますか？
- はい。株式会社Soeluは、ホームページの制作・運用保守・セキュリティ対策を支援しています。利用中のツールやサーバーに関わらず、パスワード・認証情報の管理、フォームや個人情報の取り扱い、運用体制の見直しなど、現状のご相談を承っています。お気軽にお問い合わせください。
まとめ
STUDIOの不正アクセスについて、登録ユーザーがまず行うべきは「パスワードの変更（使い回し先も）」「ライブプレビューURLの削除」「フィッシングへの注意」の3つ、そして該当機能を使っている場合のAPIキー等の切り替えです。
対応の判断は必ず最新の公式発表にもとづいて行ってください。
株式会社Soeluは、ホームページの制作から運用保守・セキュリティ対策までをワンストップで支援しています。利用中のツールやサーバーを問わず、「自社サイトのセキュリティが不安」「個人情報やフォームの管理体制を見直したい」といったご相談を承っています。お気軽にお問い合わせください。
Google検索でSoeluの記事を見つけやすくするには
