Studio dit que des données de sites ont pu être lisibles de l’extérieur

Studio, l’outil de création de sites, dit qu’un tiers a exploité une faille dans une partie de son produit et a laissé des données de son nuage lisibles de l’extérieur. Son avis situe l’accès confirmé du 30 septembre au 1er octobre, heure du Japon, et dit que les données sont restées accessibles jusqu’à la fermeture de cette voie le 14 octobre. Studio dit ne pas avoir confirmé qu’une copie a réellement été prise. Il traite l’incident comme si c’était le cas.

La faille est corrigée, dit Studio, et l’accès en cours n’est pas confirmé. Aucune date n’est fixée pour le rapport de la firme externe sur la cause.

Ce qui a pu sortir

Studio dit que cela vise chaque client inscrit, pas un sous-ensemble compté. Les nombres par fonction sont encore en cours de vérification. Le 16 octobre, Studio a écrit aux propriétaires de projets, fonction par fonction. L’absence d’un courriel ne prouve pas que vous étiez hors du lot. Studio demande de vérifier les indésirables, puis son formulaire de contact.

L’avis liste :

• le compte Studio : nom d’utilisateur, adresse courriel, et le mot de passe stocké sous forme d’empreinte, pas tel que vous l’avez tapé ;
• ce que vous gardez dans Studio : l’éditeur de design, le contenu du CMS, les envois de formulaires, les réglages Google reCAPTCHA v3 et les URL de webhooks ;
• les URL d’aperçu des pages qui ne sont pas encore publiques ;
• des secrets dans les réglages : clés et jetons d’API des services branchés, mots de passe des pages protégées, identifiants de liaison Google Sheets, et clés de proxy personnalisé.

Les envois de formulaires et ces secrets étaient chiffrés. Studio dit que la clé pour les lire a été lue dans le même accès. Le chiffrement ne veut donc pas, à lui seul, dire que le contenu est resté caché.

Studio n’a pas confirmé que des designs ou des entrées de CMS ont été réécrits ou effacés. Les identifiants obtenus permettaient d’écrire. Studio dit les avoir désactivés, et que ses propres journaux ne montrent ni réécriture ni effacement de ce contenu. Une firme externe vérifie encore les données.

Ce que Studio a déjà changé

Le 14 octobre, vers 2 h 30 du matin, heure du Japon, Studio a déconnecté chaque client qui était en session. La visite suivante redemande une connexion.

Studio a fait tourner les identifiants qu’il utilisait pour les données clients, y compris ceux de paiement et de connexion. Le 17 octobre, il a fait tourner la clé qui chiffre les envois de formulaires et les clés d’API externes. Les nouveaux enregistrements utilisent la nouvelle clé. L’ancienne ne sert plus qu’à lire ce qui a été enregistré avant la rotation, et Studio dit qu’il rechiffre ces données pour pouvoir la retirer.

Cette rotation ne ramène pas une copie déjà sortie. Les clés et jetons d’un autre service sont émis par ce service. Studio ne peut pas les révoquer. Il dit avoir déjà émis de nouvelles clés de proxy personnalisé.

Google Sheets est un cas plus étroit. Studio dit avoir mis à jour la clé de connexion le 14 octobre, et que les identifiants qui ont pu être copiés ne fonctionnent plus. Les réponses peuvent encore arriver dans la feuille. Studio recommande quand même de retirer la liaison, de retirer l’accès de Studio dans la page des applications liées du compte Google, puis de rebrancher si vous voulez les réponses dans une feuille. La nouvelle liaison crée une nouvelle feuille. Pendant la coupure, les réponses ne sont pas ajoutées à la feuille. Si l’enregistrement dans Studio est actif, elles restent dans le tableau de bord. S’il est inactif, elles ne vont qu’à l’adresse de notification : vérifiez cette adresse d’abord. Retirer l’accès de Studio arrête les mises à jour de feuilles pour chaque projet de ce même compte Google.

Un formulaire intégré depuis un autre service, comme Google Forms, envoie la réponse du navigateur du visiteur vers cet autre service. Studio dit que ces réponses n’étaient pas stockées chez lui. Le code d’intégration, lui, est dans l’éditeur. Une clé collée dans ce code fait partie de l’ensemble qui a pu être lu.

Les réponses envoyées pendant que « enregistrer les résultats du formulaire dans Studio » était désactivé n’y ont pas été stockées. Les réponses déjà dans le tableau de bord restent dans le périmètre jusqu’à leur suppression complète, même si l’enregistrement a été coupé ensuite. Les courriels de notification des réponses ne sont pas stockés par Studio.

Un site public qui utilisait Studio

L’Agence numérique du Japon a dit le 22 octobre qu’elle utilisait Studio pour une partie de son site, et qu’elle a appris l’accès le 16 octobre. Son avis en anglais vérifie encore l’étendue. Il liste des formulaires envoyés de mai 2021 à mars 2023, avec un plafond par formulaire, pas un total de personnes :

• commentaires et demandes généraux : jusqu’à 8 833. Nom, courriel et message. Le nom et le courriel étaient facultatifs ;
• recrutement : jusqu’à 250. Nom, courriel, téléphone et message ;
• application de certificat de vaccination : jusqu’à 3 661. Nom, courriel et message ;
• location du costume de Myna-chan : jusqu’à 117. Nom, courriel, affiliation, adresse de livraison, téléphone et champs liés ;
• ateliers et autres participations : jusqu’à 462. Nom, courriel, affiliation, téléphone et champs liés.

L’avis ajoute 35 comptes Studio de personnel ou de sous-traitants de l’agence : nom et courriel. Il dit ne pas avoir confirmé d’usage abusif. Il dit qu’il ne demandera pas un mot de passe ni un numéro de carte par courriel ou par téléphone.

Quoi faire

1. Changez le mot de passe Studio si vous en avez un. Studio stocke une empreinte, pas le mot de passe lui-même, et dit qu’il est difficile de retrouver le mot de passe à partir de l’empreinte. Il dit aussi ne pas pouvoir l’exclure, d’où la demande de changement. Si vous avez utilisé le même mot de passe ailleurs, changez-le là aussi. Un compte qui ne se connecte qu’avec Google ou Facebook, et qui n’a jamais eu de mot de passe Studio, n’a pas cette étape. Si vous vous êtes déjà inscrit avec un courriel et un mot de passe, réinitialisez-le depuis le lien « mot de passe oublié ». Le courriel de Studio sur cet incident ne contient pas de lien qui demande de taper un mot de passe ou un identifiant.
2. Faites tourner les clés que Studio ne peut pas révoquer. C’est la clé ou le jeton d’API externe dans Data Connect API ou l’intégration d’API (bêta), et le mot de passe d’une page protégée. Mettez la nouvelle valeur dans Studio après l’avoir changée à la source. Les clés de proxy personnalisé sont l’exception : Studio dit les avoir déjà réémises.
3. Lisez le courriel du 16 octobre avant de conclure que c’est fini. L’objet commence par le marqueur d’importance en japonais et nomme le projet. C’est ainsi que Studio dit lesquels de vos projets utilisaient des formulaires, des connexions d’API, un mot de passe de page ou un proxy personnalisé.
4. Si vous avez seulement rempli un formulaire sur le site de quelqu’un d’autre, attendez ce site. La réinitialisation du mot de passe vise les comptes Studio. Une personne qui a envoyé un formulaire est dans l’ensemble des réponses, que détient le propriétaire du site. Pour ses propres formulaires, l’Agence numérique demande d’ignorer les liens et pièces jointes inattendus, et de ne pas entrer un mot de passe ou un numéro de carte dans un message.

Sources

• Studio, Avis sur l’accès non autorisé, 16 octobre 2026
• Agence numérique du Japon, About the possibility of personal information leakage due to unauthorized access at Studio Co., Ltd., 22 octobre 2026