暗号化も無意味「金庫の上に鍵」状態

同社の発表によれば、9月30日から10月1日にかけて第三者がクラウド環境に不正アクセスし、データを取得できる状態になっていたという。社内調査で発覚したのは10月13日。流出した可能性があるのは、ユーザー名、メールアドレス、パスワードに加え、外部サービスと連携するための認証情報（APIキー）などだ。

事態の深刻さは、単なるアカウント情報の漏洩にとどまらない。SNS上では、この流出の実態について「データは暗号化されていたが、復号鍵も同じ場所から抜かれた。つまり金庫ごと持っていかれて、鍵は金庫の上に置いてあった状態」との指摘が上がっている。さらに恐ろしいのはAPIキーの流出だ。これが悪用されれば、犯人が被害企業の財布で決済システムやメール送信、AI利用枠を使い放題になる危険性があり、「気づいたらクラウド請求が数百万」という悪夢のような事態も現実味を帯びている。

本当の被害者は何も知らない一般消費者

今回の事件が単なる「サービス利用企業の被害」で終わらない最大の理由は、「フォームの送信内容」も流出対象に含まれている点だ。

つまり、Studioを利用して作成された企業のサイトで、問い合わせフォームに名前や電話番号を入力した一般の人々までもが全員巻き込まれているのだ。過去にフォーム送信されたすべての情報が漏れた可能性があり、当の本人たちは自分が事件に巻き込まれたことを知る手段すらない。

当然、顧客へのお詫び対応を迫られるのはStudio側ではなく、サイトを運営し、顧客情報を預かっていた各企業となる。すでに福岡市のイベント施設で2239件の個人情報流出の疑いが報じられるなど、Studioを利用していた企業が個別に「個人情報流出企業」としてニュースになってしまうという、企業にとって最悪の二次被害が起き始めている。

逃げ場なし？エクスポート不可の地獄

この未曾有の事態を受け、Studioの利用をやめて別のサービスへ移行しようと考えるユーザーが続出するのは当然の流れだ。しかし、ここでさらなる絶望が彼らを襲う。

なんとStudioには作成したサイトのHTML/CSS/JSを書き出す（エクスポートする）機能がなく、デザインデータも取り出せないのだ。利用規約によれば、オーナーが退会すれば公開サイトは消滅（404エラー）してしまうという。企業は「情報漏洩リスクを抱えながらいまのサイトに留まるか、これまでの制作費とサイトをドブに捨ててゼロから作り直すか」という究極の二択を迫られている。

丸投げされるエンドユーザー対応

Studio側は10月17日、個人情報保護委員会への報告について、ユーザー自身が個別に行うか、Studio側が取りまとめて連名で報告するかを選択できると発表した。しかし、この連名報告には「サイトの利用者（ご本人）への通知は含まない」と明記されており、フォームに入力してしまった一般消費者への誠意ある対応は、結局のところ各利用企業に丸投げされているのが実態だ。

手軽にサイトが作れる魔法のツールは一転、企業の信用を底に叩き落とす時限爆弾と化した。

被害の全容解明が待たれるが、サイバー空間にばら撒かれた個人情報と、身動きが取れなくなった企業たちの悲鳴は、しばらく鳴り止みそうにない。