Studioの不正アクセスに思う、WordPress好きが考える「選ぶ責任」と守る仕組み

2026年10月16日、ノーコードWeb制作ツール「Studio」を運営するStudio社が、同社のクラウド環境への不正アクセスを公表しました。登録しているすべてのユーザーの情報が対象になりうる、という発表です。

WordPressを専門にし、WordPressもくもく勉強会のアドバイザーも務めています。私は自他ともに認める「WordPress好き」ですが、この記事は「だからWordPressのほうが安全です」と言うために書くものではありません。

道具はちがっても、ウェブサイトを運営する私たちは同じ側に立っています。今回の件を他人事にせず、「何かあったとき、誰が気づいて、誰が動くのか」を見直すきっかけにしたい。そう考えて、事実の整理と、運営者として今日からできることをまとめました。

何が起きたのか（10月16日時点の公表内容）

Studio社の公式発表とITmedia NEWSの報道をもとに、事実だけを整理します。

• 期間：不正アクセスが確認されているのは2026年9月30日〜10月1日。10月13日に社内調査で発覚し、10月14日に脆弱性を修正
• 原因：一部機能の脆弱性を突かれ、クラウド環境にアクセスされた
• 対象になりうる情報：アカウント情報（ユーザー名・メールアドレス・ハッシュ化されたパスワード）、フォームに送信された内容、デザインエディタやCMSのデータ、外部サービスのAPIキーやトークン、Googleスプレッドシート連携の認証情報、パスワード保護ページのパスワード、Webhookの通知先URLなど
• 現状：第三者が実際にデータを取得した事実は確認できていないが、取得されたものとみなして対応中。改ざん・削除は現時点で確認されておらず、二次被害の有無は調査中

なお、暗号化されていた情報についても、復号に使う鍵が同じ侵入で読み取られた可能性があるとされています。対象件数は確認中で、続報が予定されています。

ここまで細かく対象項目を開示し、利用者に求める対応を具体的に示しているのは、運営側として誠実な対応だと私は受け止めています。中で対応にあたっている方々のご苦労は、同じウェブの仕事をする者として想像に余りあります。

「WordPressなら安全」ではありません

「WordPressはセキュリティが心配」という声は、今でもよく耳にします。一方でWordPressには、自分たちの手で対策を重ねられるという特徴があります。サーバーを選び、更新のタイミングを決め、プラグインを絞り、バックアップを手元に持てる。これは確かに強みです。

ただ、裏を返せば「自分たちで対策できる」は「自分たちで対策しなければならない」ということでもあります。プラグインの脆弱性は毎週のように公表されますし、更新を半年止めていたサイトが改ざんされる、という相談はいまもなくなりません。

WordPressの先輩がXでこんな趣旨のことを書いていました。SaaSなら「サービス側で問題が起きてしまって」と説明できる余地があるが、WordPressで事故を起こすと管理責任を正面から問われる。だから、どれも一長一短で、下手に他を下げずに適材適所で使えばいい――。私もまったく同感です。

（元のポスト：X（旧Twitter））

SaaSでも「不可抗力」で終われない理由

一つだけ付け加えたいのは、SaaSを選んだ場合でも「サービス側の問題でした」で話が終わる範囲は、思っているより狭いということです。

今回の対象には、フォームに送信された内容が含まれています。影響を受けるのはサイトの持ち主だけではありません。その先にいる、問い合わせや予約をしてくれた一般の方々です。

• お店や事務所は、自分のお客様に対して説明し、お詫びする立場になる
• サイトを制作・管理した側は、「なぜその道具を選んだのか」「何かあったときの手順を決めていたか」を問われうる
• Studio社も、フォーム利用者に対して「送信者への連絡」を求めている

つまり、WordPressでもSaaSでも、最後に矢面に立つのはサイトの持ち主です。道具の違いは「どこまでを自分で守り、どこからを任せるか」の線の引き方の違いであって、責任がなくなるわけではありません。

選ぶ基準は「何かあったとき、誰が気づいて、誰が動くか」

どの道具が一番安全か、という比べ方には答えが出にくいものです。攻撃する側の自動化が進んでいると言われるいま、守る側が常に一歩先を行くのは簡単ではありません。だからこそ、私は次のように考えています。

WordPress：自分で守れる範囲を、本当に守れているか

更新、不要なプラグインの削除、ログイン保護、バックアップ。対策の手段は手元にあります。問題は「誰が、いつ、それをやるのか」が決まっているかどうかです。制作会社に任せたつもりで、実は誰も見ていなかった、というケースは珍しくありません。

SaaS：任せた部分の「お知らせ」を、受け取れる状態か

インフラや本体の修正はサービス側が担ってくれます。そのかわり、今回のような案内メールを確実に受け取り、すぐに動ける人が必要です。登録メールアドレスが退職者のものになっていないか、制作会社のアドレスのままになっていないか。一度確認しておく価値があります。

どちらにも共通すること

• フォームで集める情報を、必要なものだけに絞る（集めていない情報は漏れない）
• 管理画面のログインに二段階認証を設定する
• 「何かあったときの連絡先と手順」を、紙1枚でいいので決めておく

Studioでサイトを運用している方へ：今日確認したいこと

公式発表で求められている対応を、運営者の目線で並べ直しました。詳しくはStudio社の公式発表と、届いている案内メールをご確認ください。

1. メールアドレスとパスワードでログインしている場合は、パスワードを変更する（同じパスワードを使い回している他のサービスも）
2. 外部サービスのAPIキー・トークンを新しいものに切り替える
3. Googleスプレッドシート連携を使っている場合は、連携をいったん解除する
4. Webhookの通知先URL、カスタムプロキシのキー、パスワード保護ページのパスワードを変更する
5. 発行済みのライブプレビューURLを削除する
6. フォームを使っている場合は、送信してくれた方への連絡を検討する

こうした大きな出来事のあとは、公式を装った偽メールが出回ることがあります。メール内のリンクから操作するのではなく、ブラウザでStudioの公式サイトを開いてから確認するのが安心です。

WordPressでサイトを運用している方へ：この機会に見直したい5つ

「うちはWordPressだから関係ない」ではなく、同じ問いを自分のサイトに向けてみてください。月に一度、10分で確認できることばかりです。

1. 本体・テーマ・プラグインは最新か：自動更新の設定と、更新が止まっていないかの確認
2. 使っていないプラグインが残っていないか：停止しているだけでなく、削除まで
3. 管理者アカウントは必要な人だけか：退職者や過去の制作担当者のアカウント、二段階認証の有無
4. バックアップから戻せるか：取っているだけでなく、実際に復元できるか一度試しておく
5. フォームの送信内容をどこに、いつまで残しているか：サイト内のデータベースに何年分も溜まっていないか

とくに5つ目は見落とされがちです。お問い合わせの記録を残すプラグインを入れていると、サイトの中に個人情報が蓄積していきます。必要な期間が過ぎたら消す、そもそも保存しない、という判断も立派なセキュリティ対策です。

まとめ：ツールを変えずに、守る仕組みを上げる

今回の件で「やっぱりノーコードは危ない」「WordPressのほうが上だ」と言うのは簡単です。でも、それでは誰のサイトも安全になりません。

WordPressもStudioも、それぞれに得意な場面があります。大切なのは、用途と体制に合った道具を選び、選んだ道具に合わせて守る仕組みを持つこと。そして、作って終わりにせず、誰かが継続して見ていることです。

「うちのサイトは、何かあったとき誰が気づくんだろう」と少しでも思われた方は、30分の無料相談で一緒に確認しましょう。WordPressでもそうでなくても構いません。今の状態を、事実から一緒に見ていきます。

よくある質問