デジタル庁、Studioへの不正アクセスで問い合わせ内容 最大13,323件が漏えいの可能性

何が起きたか

原因になったのは「ホームページ運営に使っていた「Studio」のクラウド環境への不正アクセス（侵入経路はデジタル庁の発表では公表されていない）」です。

直接の原因確定

侵入の経路公表されていない

→

侵入第三者がStudio社のクラウド環境に不正アクセスデジタル庁はStudioのサービスをホームページ運営の一部に使用

→

悪用環境内のデータを外部から取得できる状態にした

→

発覚10月16日にStudioからデジタル庁へ報告

デジタル庁（デジタル改革関連法案準備室を含む）は、ホームページ運営の一部にStudio株式会社のサービスを使っていた。2026年10月16日、Studioから「第三者が同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認した」との報告があった。これにより、個人情報が外部に漏えいした可能性があることが分かった。侵入経路は、デジタル庁の発表では公表されていない。

流出した情報確定

問い合わせフォームの入力者最大13,323件氏名、メールアドレス、問合せ内容。区分により電話番号、所属、送付先住所

職員・委託事業従事者35件Studioアカウントの氏名、メールアドレス

（1）2021年5月から2023年3月までに問い合わせフォームへ入力された内容：①一般的なご意見・ご要望 最大8,833件（氏名、メールアドレス、問合せ内容）②採用に関するお問合せ 最大250件（氏名、メールアドレス、電話番号、問合せ内容）③接種証明書アプリに関するお問合せ 最大3,661件（氏名、メールアドレス、問合せ内容）④マイナちゃんの着ぐるみの借用に関するお問合せ 最大117件（氏名、メールアドレス、所属、送付先住所、電話番号等）⑤ワークショップ等その他の参加関連 最大462件（氏名、メールアドレス、所属、電話番号等）。①〜④の氏名・メールアドレス等は、任意で記入された場合に限る。（2）Studioアカウントの情報 35件（デジタル庁職員またはデジタル庁の委託事業従事者の氏名、メールアドレス）。範囲は現在精査中。流出していない項目は示されていない。

その後の対応と影響確定

1. 10月16日Studioから不正アクセスの報告を受ける
2. 10月22日最大13,323件などが漏えいした可能性を公表

あわせて行ったこと

• 不審なメール・電話・SMSへの注意を呼びかけ
• パスワードやカード情報を聞かないと周知
• メールでの問い合わせ窓口を案内

現時点で、二次被害は確認されていない。デジタル庁は、同庁や関係機関を装った不審なメール・電話・SMSに注意し、リンクや添付ファイルを開かないこと、認証情報やカード情報を入力しないことを呼びかけている。また、デジタル庁がパスワードやカード情報をメールや電話で聞くことはないとしている。問い合わせ先は、国民向けサービスグループ 省庁統一ウェブサイト担当（メール）。個人情報保護委員会への報告については、発表に書かれていない。

（確定）は当事者が発表した内容、（報道）は報道にもとづく内容、（不明）は公表されていない内容です。

なぜ起きたか

自前のシステムではなく、Webサイト制作のSaaSに置いたフォームのデータが、サービス提供側の事故で漏えいの可能性を持った事案です。対象は2021〜2023年の古い入力内容で、使い終わったフォームのデータが外部サービスに残り続けていたことが影響の範囲を広げました。

原因の種類は「委託先での事故」です。業務を任せていた会社のシステムで起きた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は47件あります。

事故が起きてから公表されるまで

1. 2021年5月デジタル庁ホームページの問い合わせフォームで、今回対象となる入力内容の受付期間が始まる（〜2023年3月）
2. 2026年10月16日Studio株式会社から、クラウド環境に第三者が不正アクセスし、データを外部から取得できる状態にしていたとの報告がデジタル庁に届く
3. 2026年10月22日デジタル庁が、問い合わせフォームの入力内容 最大13,323件とStudioアカウントの情報35件が漏えいした可能性を公表
4. 2026年10月23日INTERNET Watchなどが報道
5. 2026年10月28日ScanNetSecurityが報道

どうすれば防げたか

自社で確認すること

• ノーコードのWeb制作ツールやフォームサービスに、過去の問い合わせ・応募データが残っていないかを洗い出し、使わないものは書き出して削除する
• 外部のSaaSで個人情報を受け付けている場合、そのデータがどこに・どれくらいの期間保存されるかを契約や設定で確かめる
• SaaSの管理アカウントを、退職者や委託先の分も含めて棚卸しし、不要なものを止めて多要素認証をかける

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について｜デジタル庁2026.10.22
• デジタル庁ホームページの問い合せフォームの情報が漏えい、Studio のクラウド環境への不正アクセス｜ScanNetSecurity2026.10.28
• デジタル庁、Studio株式会社で発生した不正アクセスの影響による個人情報漏えいの可能性を発表｜INTERNET Watch2026.10.23