STUDIO の不正アクセスを受けて：サイトを自分で運用する WordPress へ移す

公開 2026-11-10

STUDIO が「第三者がクラウド環境に侵入した」と公表してから 4 週間。対応はまだ続いており、影響を受けた組織の多くが、そもそも Web サイトをホスト型のビルダーに置き続けるべきかを考え始めています。この記事では、国内の報道で明らかになったこと、何より先にやるべきこと、そして FrontierStack の新しい STUDIO 読み込みで STUDIO のサイトを自分で運用する WordPress サイトへ移す方法をまとめます。

何が起きたのか

2026 年 10 月 16 日、日本で広く使われているノーコードのウェブサイトビルダー STUDIO（studio.design）が、不正アクセスに関するご案内を公表しました（英語版もあります）。第三者が STUDIO の一部機能の脆弱性を突き、2026 年 9 月 30 日から 10 月 1 日（日本時間）にかけてクラウド環境内のデータにアクセスできる状態にしていました。STUDIO は 10 月 13 日に不正アクセスを確認し、13〜14 日に経路を塞いでいます。全登録顧客の情報が流出した可能性があるとし、取得されたものとみなして対応しています。日本経済新聞は同日、このサービスが 3 万社以上で使われていると報じました。

最も重要な事実は、その後に明らかになりました。フォームの送信内容や顧客が保存した API キーは暗号化されていましたが、ScanNetSecurityが報じたとおり、復号に必要な鍵も読み出されていました。影響は STUDIO の顧客にとどまりません。10 月 22 日にはデジタル庁が、STUDIO で作ったページの問い合わせフォームから送られた内容が漏えいした可能性があると公表し（ScanNetSecurity）、10 月 27 日の時点でセキュリティブログの piyolog は、影響や調査を公表した組織を 192 件挙げています。

移行の前に、まずキー

サイトを移しても、すでにコピーされたものは戻りません。microCMS、OpenAI、Google スプレッドシートなど、Data Connect や API Connect で連携するために STUDIO に API キーやトークンを保存していたなら、まず各ベンダーでローテーションし、9 月 30 日以降の利用状況とログを確認してください。STUDIO が顧客に求めている 10 の手順は流出ニュースの STUDIO の項目にまとめています。STUDIO のパスワードを変えてもこれらのキーを守れない理由は、ウェブサイトビルダーが API キーを預かっているときで解説しました。

フォームで個人情報を受け取っていた場合、個人情報保護委員会への報告（自社単独、または STUDIO との連名）についても STUDIO のお知らせに説明があります。連名での報告の申し込みは 11 月 18 日 23:59（日本時間）までです。

なぜセルフホストなのか

ホスト型のビルダーが便利なのは、ページもフォームの送信内容も、サイトが連携するすべてのサービスのキーも、ほかの誰かが預かってくれるからです。今回の件は、その便利さの裏側を示しました。互いに無関係な何千ものサイトが一つの環境と一つの復号鍵を共有し、所有者はお知らせで初めて何が起きたかを知りました。サイトを自分で運用すれば、それらは自分で選んだサーバに置かれ、バックアップは手元にあり、ログは自分で読めて、キーは自分が把握している一か所にあります。

ただし、それだけで安全になるわけではありません。アップデート、バックアップ、証明書、サーバ自体のセキュリティを自分で担うことになり、放置された WordPress サイトも攻撃の対象です。キーをローテーションし終えた小さな案内サイトなら、STUDIO を使い続けるのも妥当な判断です。セルフホストが向いているのは、すでにサーバを運用している（または運用できる人がいる）場合、問い合わせや個人情報を自分の手元で管理したい場合、あるいはコンテンツをどこへでも持ち出せる形で持っておきたい場合です。

STUDIO には書き出し機能がない。だから FrontierStack はサイトを読む

STUDIO にはサイトをダウンロードする方法も、コンテンツを取り出す公開 API もありません。最新の FrontierStack のアップデートで、セットアップを移行 ▸ サイトビルダーに STUDIO から読み込むが加わりました。サイトのアドレスを入力すると、FrontierStack はサイトがすべての訪問者に見せている内容を読み（STUDIO へのサインインも API キーも不要）、Mac 上に WordPress サイトとして作り直します。

• ページ：テキスト、見出し、リスト、リンク、画像。STUDIO のホームページはフロントページになります。
• CMS アイテムは記事になり、公開日とカバー画像が付き、リンクされた項目はカテゴリとタグになります。
• 画像は WordPress のメディアライブラリに入ります。YouTube と Vimeo の埋め込みも残ります。
• 古いアドレスは新しいページにリダイレクトされるので、ドメインを移した後も既存のリンクや検索結果がそのまま使えます。
• 新しいサイト：FrontierStack が WordPress をダウンロードし、専用の MySQL ユーザ付きのデータベースを作り、Apache サイトを追加して WordPress をインストールするところまで一度に行います。WordPress ペインにある既存のサイトを選ぶこともできます。

コピーできないものもあり、読み込みの最後にチェックリストとして表示されます。デザインとレイアウト、アニメーション、ページ間で共有しているヘッダー・フッター・メニュー、背景画像、動画以外の埋め込み、そしてフォント（TypeSquare や FONTPLUS など STUDIO が提供する Web フォントは STUDIO に付属するものです）。フォームはフォーム用のプラグインで作り直す必要があります。今回データが集まっていたのはまさにフォームなので、新しい送信内容をどこに保存し、誰が読めるようにするかを今のうちに決めておく価値があります。

新しい STUDIO サイトは完成したページを送るので、それを読みます。古いサイトは空のページを送ってブラウザで内容を埋めるため、FrontierStack は訪問者のブラウザと同じリクエストで、STUDIO の公開ストレージからページのレイアウトを、STUDIO の CMS サービスから CMS アイテムを読みます。ご自身のサイトに使ってください。

Mac からホストへ

Mac 上で新しいサイトの確認が済んだら、ホストに公開…で「サイトの複製」が開き、サイトとデータベースを自分のサーバやホスティングアカウントにコピーする設定になります。コピーには、その場所専用のデータベースログインを書いた wp-config.php が用意され、今のアドレスで応答するよう設定されます。新しいサイトを公開するまで STUDIO のサイトは動かしたままにして、その後ドメインを新しいサイトに向けてください。古いアドレスはリダイレクトが引き受けます。

Mac App Store アプリの Pancake Stack にも、同じ読み込みが「新規サイト ▸ STUDIO から」として加わりました。

移行のチェックリスト

1. STUDIO に保存したすべてのキーをローテーションし、各ベンダーの 9 月 30 日以降のログを確認する。
2. サイトを読み込み、読み込みが示すチェックリストを片付ける。
3. フォームを作り直し、送信内容の保存先と閲覧できる人を決める。
4. 公開の前に、バックアップとアップデートの仕組みを整える。
5. ホストに公開し、仮のアドレスで動作を確認する。
6. ドメインを新しいサイトに向け、古いアドレスのリダイレクトを確かめてから STUDIO のプロジェクトを閉じる。

出典

• Studio：Studioにおける不正アクセスに関するご案内（2026 年 11 月 4 日時点）、英語版のお知らせ
• 日本経済新聞（2026 年 10 月 16 日）：Web制作ツールのStudioに不正アクセス　顧客情報流出か（一部有料）
• ScanNetSecurity（2026 年 10 月 28 日）：Studio が利用するクラウド環境に不正アクセス、復号に必要な鍵も読み出される
• ScanNetSecurity（2026 年 10 月 28 日）：デジタル庁ホームページの問い合せフォームの情報が漏えい、Studio のクラウド環境への不正アクセス
• piyolog（2026 年 10 月 20 日、27 日更新）：Studioへの不正アクセスについてまとめてみた
• FrontierStack 流出ニュース：STUDIO 不正アクセス（2026 年 10 月）