コードを書かずにウェブサイトを作れるサービス「Studio」は10月16日、一部機能の脆弱性を突いた第三者の不正アクセスがあり、利用者のアカウント情報やサイトの管理データが取得された可能性があると公表した。実際に取得されたことは確認されていないが、同社は取得されたものとみなして対応を進めている。
Studio 不正アクセスに関するお知らせ 10月16日 第一報 (経緯・対象の情報・利用者への依頼・窓口)Studio｜ノーコードWeb制作プラットフォーム
自分の店や活動のページを Studio で作っている人にとって、見直す範囲はログインのパスワードだけでは終わらない。サイトにつないだ外部サービスの鍵や、問い合わせフォームに届いた内容まで対象に入っているからだ。
9月30日の侵入、10月13日の発覚
同社の第一報によると、不正アクセスがあったのは日本時間の9月30日から10月1日にかけて。10月13日に社内の調査で分かり、13日から14日にかけて脆弱性の修正と侵入経路の遮断を終えた。データの改ざんや削除は確認されていない。
対象になる人の範囲と件数はまだ確定しておらず、精査したうえで続報で知らせるとしている。システムで使う決済やログインの認証情報は新しいものに切り替え済みで、ほかの認証情報も順に無効化や変更を進めている。
取得された可能性がある情報
第一報が挙げた項目は、大きく4つに分かれる。
- アカウント情報: ユーザー名、メールアドレス、ハッシュ化されたパスワード
- サイトの管理データ: デザインエディタと CMS の内容、フォームの送信内容、reCAPTCHA v3 の設定、Webhook の通知先 URL
- ライブプレビュー URL
- 認証情報: API 連携に使う外部サービスのキーやトークン、パスワード保護ページのパスワード、Google スプレッドシート連携の認証情報、カスタムプロキシのキー
暗号化して保存していた項目についても、復号に使う鍵が読み出されたため、中身を知られた可能性があると同社は説明している。パスワードは平文では保存していないが、念のため変更を求めている。
見落としやすいのはフォームの送信内容だ。Studio で作られたサイトの問い合わせフォームに、訪れた人が書き込んだ内容がここに含まれる。Studio のアカウントを持たない人の情報も、サイトを通じて範囲に入りうる。2022年12月から2023年8月に Studio AI の先行利用を申し込んだ人も、メールアドレスやユーザー名などが対象になり、アカウントの有無にかかわらず個別に連絡するという。
全員がすること、個別メールで来ること
同社が全利用者に求めているのは3点だ。
- メールアドレスとパスワードでログインしている人は、Studio のパスワードを変える。同じパスワードをほかのサービスで使っていれば、そちらも変える。Google か Facebook のログインだけを使っている人は不要
- ライブプレビュー URL を発行している人は、いったん削除する。必要なら削除したあとに新しく発行する
- この件に便乗したフィッシングに気をつける。Studio がメールや電話でパスワードや認証情報を尋ねることはなく、本件のメールに認証情報の入力を求めるリンクも入れない
該当する人には別途、API 連携のキーの切り替え、パスワード保護ページのパスワード変更、フォーム送信内容に関する連絡と Google スプレッドシート連携の解除、カスタムプロキシのキーの切り替え、Webhook 通知先 URL の切り替えを案内するメールが届く。
手間がかかるのはキーの切り替えだ。外部サービスのキーは、Studio の画面の中だけでは新しくならない。連携先のサービスで新しいキーを発行し直し、古いキーを止めてから、Studio 側に入れ直す順番になる。どのサイトにどの外部サービスをつないだか、自分で覚えていない人ほど、ここで時間を取られる。
フォームで受け取った内容に、訪れた人の名前や連絡先が入っていた場合、その人たちに何を伝えるかを決めるのはサイトを運営している側になる。
次に確かめる点
次に見るのは、Studio のお知らせページ (studio.design の「What's new」) に出る続報だ。同社は、対象者の範囲と件数、二次被害の有無の調査結果、原因と再発防止策を順に知らせるとしている。問い合わせは、ログインできる人は画面のヘルプアイコンから開くサポートセンター、ログインできない人は専用の問い合わせフォームで受け付け、回答は平日10時から18時に順次行う。
ことば
- ライブプレビュー URL — 公開前のサイトを、ログインしていない人にも見せるための共有用の URL。流出していれば、作りかけのページを第三者が開ける状態になりうるため、削除と再発行を求めている。
- Webhook — サイトで何かが起きたとき、別のサービスへ自動で知らせを送る仕組み。通知先の URL が知られると、偽の知らせを送り込まれるおそれがあり、切り替えの案内に入っている。
- ハッシュ化 — パスワードを、元の文字列に戻しにくい別の値に変換して保存すること。読み解かれにくいが、短いパスワードや使い回しのパスワードは推測される余地が残る。
あなたのサイトにつないだ外部サービスの鍵を、いまいくつ思い出せるだろうか？
