【解説】Studio・コミックシーモア・日本郵便など不正アクセス8件、10月16〜17日の公表を整理

Studioに預けられていたのは、ユーザーのアカウント情報だけではありませんでした。Studioで作られた企業サイトの問い合わせフォームに、誰かが書き込んだ内容もそこにありました。10月16日の公表は、その一つの基盤への不正アクセスが、利用企業の公表へと広がり始めた日でもあります。同じ日の公表を、一次発表に沿って整理します。

Web制作サービス「Studio」は10月16日、クラウド環境への不正アクセスで、登録者全員の情報が流出した可能性があると公表した。復号に必要な鍵が読み出され、暗号化して保存していたAPIキーなども内容を知られた可能性がある。同日、Studioを使うLink-Uグループとくふうカンパニーグループが影響の確認を公表した。同じ16日には、NTTソルマーレが「コミックシーモア」の会員情報の流出を、日本郵便が国際郵便の調査請求Web受付サービスでの約600件の閲覧可能状態を、Eストアーが「ショップサーブ」の最終報で漏えい対象者約2,335万6,000人を公表した。

10月16日は、日本経済新聞社の約183万件、ヤマト運輸の「クロネコ代金後払いサービス」の利用者情報約526万件などと、大きな公表が重なった日でもありました。この2件は、日本経済新聞社、ヤマト運輸の個別の記事で伝えています。ここでは、それ以外の16〜17日の公表を、一次発表に沿って整理します。

この1か月ほど、委託先や利用しているサービスへの不正アクセスが、利用企業の公表へと連鎖する形を、innovaTopiaでは何度か伝えてきました。今回のStudioも、同じ形をとり始めています。

10月16〜17日の主な公表

公表日	組織	事案	規模（公表値）
10月16日	Studio	クラウド環境への不正アクセス（第一報）	登録者全員が対象の可能性。件数は未公表
10月16日	Link-Uグループ	利用する「Studio」への不正アクセスの影響	問い合わせフォーム経由の7,663件
10月16日	くふうカンパニーグループ	利用する「Studio」への不正アクセスの影響	グループ5社が確認中。件数は未公表
10月16日	NTTソルマーレ	「コミックシーモア」会員情報の流出	件数は精査中
10月16日	日本郵便	国際郵便物の調査請求Web受付サービスのサーバへの不正アクセス	約600件が閲覧可能な状態
10月16日	Eストアー	「ショップサーブ」への不正アクセス（最終報）	漏えい対象者約2,335万6,000人
10月16日	リゾートトラスト	統合予約サイトなどの一時休止（続報）	件数の更新なし
10月17日	日経BP	日本経済新聞社の漏えいに自社サービス利用者の情報が含まれる可能性	調査中

件数の単位は、件、人とそろっていません。足し合わせたり、順位をつけたりはできない数字です。

Studio：制作ツールの不正アクセスが、利用企業のサイトへ

何が起きたか

Studioは、コードを書かずにWebサイトを作れる制作サービスです。運営するStudio株式会社によると、第三者が一部機能の脆弱性を悪用し、クラウド環境に不正アクセスしていました。同社が現時点で確認している不正アクセスの期間は、9月30日から10月1日まで（日本時間）です。社内調査で不正アクセスを確認したのは10月13日で、13日から14日にかけて脆弱性を修正し、経路を塞いだとしています。データを外部から取得できる状態は、14日に対処するまで続いていました。

実際にデータが取得された事実は確認できていないものの、同社は取得されたものとみなして対応しています。対象となりうるのは登録者全員の情報です。アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）に加えて、デザインエディターやCMSの内容、フォームに送信された内容、外部サービスと連携するためのAPIキーやトークンも含まれます。

とくに重いのは、暗号化して保存していた情報の扱いです。フォームの送信内容やAPIキーなどは、暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとしています。件数は未公表で、続報で示すとしています。

利用企業の公表が始まった

Studioで作ったWebサイトの問い合わせフォームには、そのサイトの運営企業に届いた問い合わせが保存されます。このため、影響はStudioの利用者だけでなく、利用企業のサイトに問い合わせを送った人にも及びえます。

16日には、Link-Uグループが、2021年3月からコーポレートサイトの制作・運用にStudioを使ってきたことを明らかにしたうえで、問い合わせフォームを通じて取得した7,663件について、漏えいの可能性を否定できないと開示しました。影響はコーポレートサイトに限られ、グループが運営する各サービスへの影響はないとしています。問い合わせページは非表示にしました。

同じ日、くふうカンパニーホールディングスも、グループ会社の一部がStudioを使っていたとして、くふうカンパニーなど5社で対象情報の有無と範囲を確認していると公表しました。

利用企業の公表は、これから増える可能性があります。IDCFクラウドやFAQシステム「i-ask」のときも、提供元の公表のあとに、利用企業の公表が数日にわたって続きました。

利用者がすること

Studioは、メールアドレスとパスワードでログインしている人にパスワードの変更を求めています。同じパスワードをほかのサービスでも使っている場合は、そちらも変更するよう呼びかけています。GoogleまたはFacebookのログインのみを使い、Studioのパスワードを設定していない人は、この対応は不要です。

あわせて、発行済みのライブプレビューのURLの削除を求め、共有を続ける場合は新しいURLを発行するよう案内しています。API連携やパスワード保護ページ、フォーム、Webhook通知などを使っているプロジェクトのオーナーには、必要な対応を個別のメールで案内しているとしています。外部サービスのAPIキーやトークンをStudioのAPI連携に登録していた企業は、個別の案内を確認し、該当するキーやトークンを切り替える必要があります。

コミックシーモア：停止の翌日に流出を確認

電子書籍ストア「コミックシーモア」は、10月15日午前11時35分にサービスを止めました。この時点では、サーバーへの外部からの不正アクセスの可能性が高いとして、15日の公表を整理した記事でも「影響範囲は調査中」の段階でした。

運営するNTTソルマーレは16日、会員情報を管理するシステムへの不正アクセスを確認し、一部会員の情報が流出したと公表しました。流出したのは、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームです。件数は精査中としています。

クレジットカード情報は対象のシステムに保有しておらず、流出していないとしています。購入履歴の流出や、「MY本棚」の流出・消失・欠損も、現時点で確認されていないとしています。

サービスの再開時には、全会員にパスワードの再設定を求める予定です。同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている人は、再開を待たずに、そちらのパスワードを変えておくのが安全です。

日本郵便：国際郵便の調査請求サービスで約600件が閲覧可能に

日本郵便は9月25日、国際郵便物の調査請求Web受付サービスのサーバに、外部からの不正アクセスの可能性があると公表し、受付を止めていました。9月29日に公表された「郵便局アプリ」への不正アクセスとは別の件で、両者の関係は示されていないことを、郵便局アプリの記事でも伝えています。

16日の公表によると、このサービスで調査請求の申請時に登録された約600件の情報が、第三者が閲覧できる状態にありました。実際に閲覧されたかどうかは確認できていませんが、不正に利用された形跡は現在のところ確認されていないとしています。

閲覧可能だったのは、差出人の氏名、住所、電話番号、メールアドレスと、受取人の氏名、住所、電話番号、メールアドレスです。受取人の電話番号とメールアドレスは、申請時に任意で登録する項目です。調査対象郵便物のお問い合わせ番号や、郵便種別・料金、差出郵便局なども含まれます。

あわせて、このサービスのメールアカウントからスパムメールが送信されていたことも判明しました。スパムメールの送信先に登録情報が使われていないことは確認しているとしています。日本郵便は、同サービスのメールアドレス（kokusai-web-chousa@mail.post.japanpost.jp）から心当たりのないメールを受け取っていた場合、添付ファイルや本文のURLを開かずに削除するよう求めています。このアドレスは、不正アクセスの検知後は使っていないとしています。該当する利用者には、準備が整い次第、順次連絡するとしています。

Eストアー：ショップサーブの最終報、漏えい対象者は約2,335万6,000人

ECサイト構築サービス「ショップサーブ」を運営するEストアーは16日、8月の第1報・第2報に続く最終報を公表しました。2026年5月21日から8月1日まで、アプリケーションの脆弱性を悪用されてデータベースの情報が外部に送信されていたとし、漏えい対象者は約2,335万6,000人、このうちカード情報の一部を含む人は約209万6,900人としています。対象店舗は7,858店です。詳しくは別の記事で伝えています。

続報：リゾートトラストと日経BP

リゾートトラストは16日、10月9日に公表した不正アクセスと個人情報の漏えいについて、現状と対応を公表しました。統合予約サイトを含む一部のWebサイトを、メンテナンスのため一時的に休止しています。再開時期は改めて知らせるとしています。9日の公表は、10月8〜10日の公表を整理した記事で伝えています。

日経BPは17日、日本経済新聞社が16日に公表した漏えいについて、自社サービスの利用者の情報も一部含まれている可能性があると公表しました。現在調査中で、詳細がわかり次第報告するとしています。

16〜17日の公表から見えること

今回の公表には、2つの形が並んでいます。

1つは、利用しているサービスへの不正アクセスが、利用企業の公表へと広がる形です。Studioでは、制作ツールそのものの被害が、ツールを使って作られた企業サイトの問い合わせフォームに及びました。利用企業の側では、自社のサイトにどのサービスを使い、そこにどんな情報が残っているかを、平時から把握しておくことが大切になります。

もう1つは、調査の進展とともに、範囲が確定していく形です。コミックシーモアは停止の翌日に流出を確認し、日本郵便は9月25日の公表から3週間で閲覧可能だった範囲を示しました。Eストアーは8月の第2報から約2か月半をかけて、対象者数を名寄せした人数で示し、第2報で挙げた項目の一部を対象から外しています。

件数や項目が続報で変わることは、調査が進んでいることのしるしでもあります。利用者の側では、最初の報道の数字だけで判断せず、公式の続報で自分に関わる項目を確かめることが、落ち着いた対応につながります。

【関連記事】

【解説】i-ask・Commune・IDCFクラウドに不正アクセス、大和証券やヤマハなど委託元の公表が連鎖
i-ask、Commune、IDCFクラウドの3つで、提供元への不正アクセスのあとに利用企業の公表が連鎖した経過を整理した解説記事。

【解説】エムスリー・ACCESS・大和総研など不正アクセス11件、10月15日の公表を整理
10月15日の公表11件を整理した解説記事。コミックシーモアのサービス停止を、「影響範囲は調査中」とされた段階で伝えている。

郵便局アプリに不正アクセス｜日本郵政・日本郵便が19名分69件の取得を発表
郵便局アプリへの不正アクセスを伝えた記事。同時期に公表された調査請求Web受付サービスの件とは別の事案であることにも触れている。

【解説】手間いらず・バイトル・JR九州など不正アクセス14件、10月8〜10日の公表を整理
10月8〜10日の公表14件を入口別に整理した解説記事。リゾートトラストの10月9日の公表も、自社サイトへの不正アクセスとして伝えている。

【編集部後記】

Studioの第一報には、フォームを使っているプロジェクトのオーナーに「送信内容についての連絡」を個別に送る、とあります。連絡を受け取るのは、サイトを運営する企業です。

では、そのフォームに問い合わせを書き込んだ人には、誰が知らせるのでしょうか。Link-Uグループは7,663件と数を示し、問い合わせページを閉じました。書き込んだ側から見えるのは、Studioではなく、問い合わせた先の企業の名前です。利用企業の公表が、これから一件ずつ増えていくことになるのかもしれません。