エクサウィザーズは2026年10月20日、Webサイト制作・運用に使う「Studio」への不正アクセスにより、個人情報が漏えいした可能性を公表しました。対象は、同社のWebフォームに入力され、不正アクセス時にStudio上にあった情報です。対象者には2026年10月19日にメールで個別通知しており、第三者による情報取得は未確認ですが、漏えいしたものとして対応しています。
何が起きたか
不正アクセスを受けたStudioは、Studio株式会社が提供する、コードを書かずにWebサイトを制作できるプラットフォームです。エクサウィザーズの「exaBase Studio」とは別のサービスです。
エクサウィザーズの発表によると、Studio株式会社は2026年10月16日に不正アクセスを公表しました。Studio社の説明では、2026年9月30日から2026年10月1日にシステムの脆弱性が悪用され、管理情報が流出した可能性があります。
エクサウィザーズは、第三者が実際に情報を取得した事実は確認していないとしています。ただし、漏えいの可能性を否定できないため、対象者への通知などを進めています。漏えいが確定したという発表ではない一方、未確認を理由に対応を見送っているわけでもありません。
影響する人・会社、しない人・会社
- 影響する: wellwizの「招待リンクを入手」、BizDevRecruitの「プレエントリーフォーム」、wellwizの「従業員メンタルケアトレンドをダウンロードする(無料)」「説明資料ダウンロード」を利用し、入力情報が不正アクセス時にStudio上にあった人です。招待リンクのフォームはメールアドレス、それ以外の上記フォームは氏名とメールアドレスが対象です。
- 影響する: wellwizの「お問い合わせ」「サービスに関するお問い合わせ」、リハwizの「どこでもリハ+セラピスト」を利用し、入力情報が当時Studio上にあった人です。氏名、メールアドレス、問い合わせ内容が対象です。会社の情報を問い合わせ欄に記入していた場合は、その内容も確認対象になります。
- 影響する: リハwiz for SCIの「無料モニター応募フォーム」を利用し、入力情報が当時Studio上にあった人です。氏名、メールアドレス、電話番号、住所、年齢に加え、記入した人は受傷部位も対象です。
- 影響しない: 利用していないフォームの項目は、その人の漏えいの可能性がある情報には含まれません。また、対象フォームではカード情報やパスワードを預かっておらず、これらは対象外です。
- 影響しない: エクサウィザーズの「exaBase Studio」は本件と無関係です。同じ「Studio」という名前だけで、影響ありと判断しないでください。
相手の対応
エクサウィザーズは、問い合わせWebフォームの停止を確認し、Studio上の問い合わせデータを削除しました。Studio社への問い合わせ、登録アカウントのパスワード変更、Studioと問い合わせWebフォームとの連携解除も実施しています。
同社によると、本件に伴う情報の不正利用や二次被害は現時点で確認されていません。不審なメールやSMSについては、URLのクリック、添付ファイルの開封、個人情報の入力を避けるよう呼びかけています。
問い合わせ窓口は、エクサウィザーズのprivacy@exwzd.comです。
会社・情シスが今日やること
以下は、今回の対象情報と対応状況を踏まえた確認手順です。
- 今日、対象フォームの利用と通知を確認する。 関係部門の担当者にフォーム利用の有無を確認し、利用したメールアドレスの受信箱で2026年10月19日の個別通知を探します。製品名だけではなく、フォーム名まで照合してください。
- 利用があった場合は、入力項目を切り分ける。 フォームの控えや送信済みの記録があれば、氏名・連絡先・問い合わせ内容など、何を入力したかを確認します。会社の情報を記入していた場合は、該当部門と個人情報管理の担当者に、確認できた範囲を共有します。
- 通知の確認と併せて、不審な連絡への対応を伝える。 関係者には、情報取得や二次被害は未確認であることと、不審なメール・SMSのリンクや添付を開かないことをセットで知らせます。個人情報の追加入力を求められても、その場で応じない運用を確認してください。
- 対象が判断できなければ、今日中に確認事項をまとめる。 利用したフォーム名、利用時期、通知の有無を整理し、同社の問い合わせ窓口に確認します。社内の記録では「漏えいの可能性」と「漏えい確定」を分け、exaBase Studioまで影響範囲を広げないようにします。
