2026年10月16日、ホームページ制作サービスのStudioが、不正アクセスによって情報が外部に流出した可能性があると発表しました。
対象には、サイト運営者のアカウント情報だけでなく、問い合わせフォームから送られた内容なども含まれています。
介護事業所のホームページにも、利用相談や見学予約、採用応募などのフォームがあります。今回のニュースを見て、自分の事業所のホームページは大丈夫なのかと、不安になった方もいるのではないでしょうか。
確認したいのは、どの制作サービスを使っているかだけではありません。どのような個人情報を受け取り、どこに保存し、誰が管理しているかが重要です。
なお、2026年10月17日現在、ウェルコネクトでは、本件による個人情報漏洩などの被害は確認されていません。
この記事では、Studioの公式発表をもとに事案を振り返りながら、介護事業者がホームページの保存情報や管理体制について確認しておきたいことを解説します。
この記事のコンテンツ
Studioで何が起きたのか
Studioは、プログラミングのコードを書かずにホームページを制作・運用できるサービスです。ページの制作や更新に加え、問い合わせフォームの作成や回答管理なども行えます。
今回の発表では、Studioの一部機能にあった脆弱性、つまりシステムの弱点を第三者に悪用され、同社が利用するクラウド環境に不正アクセスされたと説明しています。
不正アクセスから公表までの経緯
公式発表による経緯は、次のとおりです。
| 日付 | 公表されている内容 |
|---|---|
| 2026年9月30日〜10月1日 | 現時点で確認されている不正アクセスの期間 |
| 10月13日 | 社内調査で不正アクセスを確認 |
| 10月13日〜14日 | 脆弱性を修正し、侵入経路を遮断。外部からデータを取得できる状態を解消 |
| 10月16日 | 第一報を公表 |
注意したいのは、不正アクセスが確認された期間と、データを外部から取得できる状態が続いていた期間は異なるという点です。後者は、10月14日の対処まで続いていたとされています。
流出した可能性がある情報
対象として公表されているのは、主に次の情報です。
| 情報の種類 | 主な内容 |
|---|---|
| アカウント情報 | ユーザー名、メールアドレス、ハッシュ化されたパスワードなど |
| サイトの管理データ | ページの制作データ、CMSの内容、フォーム送信内容など |
| 未公開ページへのアクセス情報 | ライブプレビューのURL |
| 外部連携などの認証情報 | 外部サービスのAPIキーやトークン、スプレッドシート連携の認証情報など |
フォームの送信内容などについては、暗号化されていた情報も、元に戻すための鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があると説明されています。
一方、アカウントのパスワードは、元の文字列とは異なる形に変換するハッシュ化によって保存されていました。暗号化されたフォーム内容と、パスワードの保存方法は区別する必要があります。
情報流出は確定しているのか
第一報では、第三者が実際に情報を取得した事実は確認できていないとしています。ただし、取得されたものとみなして対応を進めています。
すべての情報が流出したと確定したわけではありません。同時に、流出が確認されていないから対応不要ともいえない状況です。
Studioは、該当する利用者にパスワード変更やプレビューURLの再発行、外部連携の認証情報の切り替えなどを案内しています。必要な対応は利用機能によって異なるため、利用している事業者は公式発表と個別の案内を確認する必要があります。
今回の事案が示した、ホームページの裏側にあるリスク
ホームページというと、施設紹介やサービス案内、お知らせなど、公開されているページを思い浮かべる方が多いでしょう。
しかし、運営の仕組みによっては、公開していない情報もホームページの裏側に保存されています。
過去の問い合わせ、採用応募者の情報、添付ファイル、制作途中のページなどです。見えているページだけでは、そのホームページが扱う情報の全体像は分かりません。
介護相談には、慎重に扱うべき情報が含まれる
介護事業所への問い合わせには、氏名や電話番号だけでなく、本人や家族の事情が書かれることがあります。
認知症の診断を受けている、特定の病気がある、障害があるなど、サービスの利用を相談するために詳しい状況を記載する方もいるでしょう。
病歴や障害の事実などは、個人情報の中でも特に慎重な取扱いが求められる要配慮個人情報に当たります。
自由記入欄があるだけでも、運営者の想定以上に詳しい情報が届く可能性があります。単なる問い合わせフォームだからと、軽く考えることはできません。
過去の情報が、気づかないうちに蓄積していないか
問い合わせを管理画面で確認できる機能は便利です。メールを見落とした場合の確認や、複数担当者での対応にも役立ちます。
ただし、何年分もの相談内容や応募情報を残していれば、不正アクセスなどが発生したときに、影響を受ける可能性がある情報も増えます。
対応が終わった相談を、いつまで残すのか。採用が終了した応募者の情報を、何のために保管するのか。
保存できるから残すのではなく、保存する目的と期間を決めておく必要があります。
うちのホームページは大丈夫？まず確認したい保存先
今回のニュースだけで、すべてのホームページに同じ危険があると考える必要はありません。
使っている機能や設定、保存している情報によって、リスクは異なります。まず確認したいのは、フォームから送られた内容がどこに残るかです。
| 確認する場所 | 残っている可能性がある情報 |
|---|---|
| ホームページの管理画面 | 問い合わせや応募の履歴 |
| フォームサービス | 回答内容、添付ファイル |
| 受信用のメール | 送信内容、返信、転送した情報 |
| スプレッドシートなど | 自動連携された回答、管理用の一覧 |
| 担当者のパソコン | ダウンロードした履歴書や回答データ |
メールで通知を受け取っているからといって、メール以外には保存されていないとは限りません。
受信メールとフォームの管理画面、さらに連携先のファイルに、同じ内容が残っている場合もあります。
Studioのフォームは、すべて保存されるのか
Studioには、フォームの回答を保存し、管理画面で確認できる機能があります。一方で、保存を無効にして、メール通知だけで受け取る設定も用意されています。
そのため、Studioで作られたサイトが、すべてのフォーム送信内容を保存していたとはいえません。公式ヘルプでは、設定画面の「フォームの結果をStudioに保存」を無効にする手順が案内されています。
ただし、今回の第一報では、この保存設定を無効にしていた場合の影響までは明示されていません。個別の対象状況は、公式の案内や問い合わせ窓口で確認する必要があります。
フォームの内容を、ホームページに保存する必要はあるか
フォームの内容を管理画面に保存しておけば、メールの見落としや不達に備えられます。担当者が変わったときも、過去の問い合わせを確認できます。
保存機能には、こうした利点があります。
一方、メールで受け取り、その後は別の仕組みで適切に管理しているのであれば、ホームページ側にも同じ情報を残す必要があるかは検討できます。
保存先を必要以上に増やさなければ、管理する場所を減らせます。事故が起きた際に、情報が漏れる可能性がある保存先を減らすことにもつながります。
ただし、ホームページ側に保存しなくても、受信メールには情報が残ります。また、サイトの改ざんによって新たな送信内容を盗まれるなど、保存とは別のリスクもあります。
保存しない設定だけで、安全が確保されるわけではありません。何を、どこに、いつまで残すかを考え、その保存先を管理することが大切です。
最初の問い合わせで、詳しく聞きすぎていないか
利用相談を受けるために、最初から詳細な病歴や家庭状況まで入力してもらう必要があるでしょうか。
まずは氏名、連絡先、相談の概要を受け取り、詳しい内容は担当者が連絡して確認する方法もあります。
自由記入欄には、初回の問い合わせでは病名などの詳しい情報を記載する必要がない旨を案内することも考えられます。
相談を受け付けるために必要な情報を見極め、入口で集めすぎない。その視点も、ホームページの設計に必要です。
誰でもホームページを作れる時代。公開した後の管理はどうする？
Studioのようなサービスによって、専門的なコードを書かなくても、自分でホームページを作れるようになりました。
介護事業所にとっても、制作の選択肢が増え、情報発信を始めやすくなったことは大きなメリットです。
ただ、作るときにはデザインや掲載内容に目が向き、公開した後の管理まで考える機会は少ないかもしれません。
問い合わせフォームに届いた情報は、どこに保存されるのか。退職した担当者のアカウントは、誰が削除するのか。サービス提供元から重要な通知が届いたら、誰が確認して対応するのか。
ホームページを公開すると、こうした運用も始まります。
サービスに任せられる部分と、自分たちで管理する部分がある
今回のStudioの事案は、利用者側の管理不足が原因と発表されたものではありません。サービス提供元が管理する仕組みで問題が起きた場合、利用者が直接修正することはできません。
一方で、フォームに何を入力してもらうか、情報を保存するか、誰に閲覧を許可するかなど、運営者が判断できることもあります。
事故の公表後に、案内された対応を進める担当者も必要です。
サービスを利用すれば、管理のすべてを任せられるとは限りません。どこまでサービス側が対応し、どこから自分たちが対応するのかを知っておくことが大切です。
管理されていない部分を残さない
管理していれば、絶対に攻撃を受けないというわけではありません。
しかし、更新されていないシステム、使われていない管理者アカウント、保存期限のない個人情報などを放置すれば、侵入や被害拡大につながるおそれがあります。
普段どおりホームページが表示されていても、裏側の管理まで適切とは限りません。
| 管理する項目 | 決めておきたいこと |
|---|---|
| システムの更新 | 誰が更新や対応状況を確認するか |
| アカウント | 誰に権限を与え、不要な権限を誰が削除するか |
| 保存情報 | 何をいつまで残し、誰が削除するか |
| 重要なお知らせ | サービス提供元からの通知を誰が確認するか |
| 事故への対応 | 問題が疑われた場合、誰に連絡するか |
任せているつもりのまま、実際には確認する人がいない。そうした状態を作らないことが重要です。
自分で作るなら、管理する方法も一緒に決めよう
自分で制作・運用する場合は、担当者と確認する項目を決めておきましょう。制作会社に依頼する場合も、公開後の管理が契約に含まれているかを確認する必要があります。
大切なのは、自分たちで対応できる範囲を把握し、難しい部分について相談できる相手を確保することです。
また、個人情報を扱う業務を委託していても、委託先で事故が起きた際に、事業者として対応が必要になる場合があります。個人情報保護委員会も、医療・介護関係事業者に対して、委託先から速やかに報告を受けられる連絡体制を整えるよう求めています。
ホームページの制作方法を選ぶ際には、費用やデザイン、更新の操作に加えて、公開後に誰が管理を続けるのかまで考えておきたいところです。
不安を感じたら、まずは自分のホームページを確認しよう
今回の事案を、自分の事業所のホームページを点検するきっかけにしてみてください。
最初から専門的な調査をする必要はありません。まず、次の5つを制作会社や管理担当者に確認しましょう。
- 問い合わせフォームの内容は、どこに保存されていますか。
- ホームページ側に保存する必要がありますか。
- 過去の情報は、いつまで残していますか。
- 閲覧・管理できる人は、現在も必要な担当者ですか。
- 重要なセキュリティ通知や事故の連絡は、誰が受け取りますか。
被害が確認されていない今でも、不要な情報を減らしたり、管理担当者を明確にしたりすることはできます。
ホームページは、介護を必要とする方や家族、働きたい方と事業所をつなぐ窓口です。公開して終わりにせず、そこで受け取る情報と管理体制にも目を向けていきましょう。
ウェルコネクトでは、介護事業所のホームページ制作・運用に関するご相談を受け付けています。フォームの保存先や公開後の管理について不明な点がある場合も、まずは現状の確認からご相談ください。
-
Studioで作ったホームページは、すべて個人情報が漏れたのでしょうか？
-
すべてのサイトで情報流出が確認されたわけではありません。Studioの第一報では、フォーム送信内容などが流出した可能性があるとし、実際に第三者が取得した事実は確認できていないものの、取得されたとみなして対応しています。利用している機能によって必要な対応が異なるため、公式発表と個別の案内を確認してください。
-
フォームの内容は、必ずホームページに保存されるのですか？
-
フォームの仕組みや設定によって異なります。管理画面に回答を保存するものもあれば、メール送信だけを行うものもあります。Studioにも、回答の保存を無効にしてメール通知だけで受け取る設定があります。メールが届くことと、ホームページ側に保存されていないことは別なので、設定の確認が必要です。
編集：
介護福祉ウェブ制作ウェルコネクト
編集部（主任介護支援専門員）
ケアマネジャーや地域包括支援センターなど相談業務に携わった経験や多職種連携スキルをもとに、介護福祉専門のウェブ制作ウェルコネクトを設立。情報発信と介護事業者に特化したウェブ制作サービスとAIを活用した業務改善提案を行う。
