問い合わせフォームの情報、どこに保管？今すぐできる5つの確認

「うちのホームページの問い合わせフォーム、送られてきた情報ってどこに保存されているんだろう？」——そう聞かれて、すぐに答えられる方は意外と少ないかもしれません。制作会社さんにお任せしているうちに、仕組みの中身までは把握していない、というのはよくあることです。2026年10月、ホームページ制作サービス「Studio」への不正アクセスが公表され、同サービスを利用する自治体や企業から「問い合わせフォームの送信内容などが漏えいした可能性がある」という発表が相次ぎました。この記事では、不安をあおるのではなく、今の状態をいっしょに確認していくつもりで、チェックすべきポイントと普段からできる備えを平たい言葉でまとめます。難しい設定作業の話はほとんど出てきませんので、安心して読み進めてください。

まず知っておきたい、今回の「Studio不正アクセス」で何が起きたのか

結論から言うと、今回の出来事は「ホームページを作るためのサービスの一部機能に弱点があり、そこを突かれて、保管されていた問い合わせ内容などが外部から見られた可能性がある」というものでした。氏名やメールアドレス、相談の内容といった情報が対象になり得るとして、自治体や企業が相次いでお知らせを公表しました。

なぜこれが幅広い事業者にとって他人事でないかというと、同じような仕組みのサービスは世の中にたくさんあるからです。業種や会社の規模にかかわらず、「問い合わせ情報をどこかに預けている」という点はほとんどの事業者に共通しています。

ただ、仕組みを知っていれば落ち着いて対応できます。まずは全体像をつかむところからで十分です。

ホームページを作るサービスに、情報が貯まっていることがある

最近のホームページ制作サービスは、ページを作る機能と、届いた問い合わせを保存しておく機能がセットになっていることが多くあります。管理画面にログインすれば、過去のやりとりが一覧で見られる——便利な反面、そのサービスにトラブルが起きると、過去の問い合わせまで影響を受ける可能性があるという構造になっています。

たとえるなら、店舗の受付カウンターと書類保管庫が同じ建物にある状態です。入口の鍵が破られると、受付だけでなく奥の棚にある書類も見られてしまう、というイメージを持っていただくとわかりやすいかもしれません。

「うちは有名サービスじゃないから関係ない」とは言い切れない理由

狙われるのは会社の知名度ではなく、仕組みの弱いところです。どのサービスにも良いところがあり、今回の件も特定のツールだけが危ないという話ではありません。

むしろ注意したいのは、自社の情報がどこに保管され、誰に連絡すればいいのかを把握していないこと自体がリスクになるという点です。何かあったときに「まず誰に聞けばいいのかわからない」という状態が、いちばん時間を取られます。逆にいえば、保管場所と連絡先を整理しておくだけで、初動は格段に落ち着きます。

Studioをお使いの方が、まず確認したいこと

Studioをお使いの場合は、問い合わせ内容だけでなく、サービスに登録していたパスワードや、ほかのサービスとつなぐための「鍵」にあたる情報も対象になり得ると発表されています。次の点を、制作会社さんと一緒に確認しておくと安心です。

• Studioにログインするパスワードを変更する（同じパスワードをほかのサービスでも使っている場合は、そちらも変更）
• Googleスプレッドシートなど外部のサービスと連携している場合は、連携用の鍵を新しくする
• パスワードで保護しているページがある場合は、そのパスワードを変更する
• 問い合わせフォームで、どんな情報を受け取っていたかを洗い出す

具体的な手順や最新の状況は、Studio公式サイトのお知らせで確認してください。お知らせは続報で更新されることがあります。

問い合わせフォームの情報は、こんな場所に保管されています

自社の状況を把握するには、まず「どのパターンに当てはまるか」を知るのが近道です。よくある形は次の4つで、実際には複数が組み合わさっているケースがほとんどです。

メールで届くだけのパターン

いちばんシンプルな形ですが、届いたメールの中に個人情報が残り続けます。つまり、メールボックスが実質的な保管場所です。共有アカウントを複数人で使っていないか、パスワードが単純すぎないか、退職した方のアカウントがそのままになっていないか、この3点を確認しておくと安心です。

サービスの管理画面に貯まっているパターン

ログインすると過去の問い合わせが一覧で見られるタイプです。探す手間がなく便利なのですが、裏を返せばログイン情報が一つ漏れるだけで、数年分がまとめて見られてしまうことになります。だからこそ、ログインできる人の整理が効いてきます。

自社サイトの中（WordPressなど）に保存されているパターン

WordPressでは、フォームの機能を追加する部品（プラグイン）の組み合わせによって、問い合わせ内容がサイトの中に保存されていることがあります。メール通知も届くため、保存されていること自体に気づいていないケースも少なくありません。

たとえば、よく使われている「Contact Form 7」は、それだけでは送信内容を保存しませんが、「Flamingo」という保存用のプラグインを一緒に入れていると、過去の問い合わせがサイト内に残ります。なお、Contact Form 7を使っていると管理画面に「お問い合わせ」というメニューが表示されますが、これはフォームの設定画面で、送信履歴ではありません。

ご自身で判断がつかない場合は、制作会社さんに「問い合わせの送信内容は、サイトの中に保存されていますか」と聞いてみてください。

外部サービスや表計算ソフトに連携しているパターン

フォームの内容を自動で表計算ソフトにためている場合は、共有リンクの公開範囲に注意が必要です。「リンクを知っている全員が閲覧可」になっていないか、すでに関わっていない方が閲覧できる状態になっていないか、年に一度は見直しておくと安心です。

今日からできる、5つの確認ポイント

ここからは実際に手を動かせる内容です。専門知識は必要ありません。わからない項目は空欄のまま、制作会社さんに聞けば大丈夫です。

1. 自社サイトが何で作られているか、担当者を確認する

いざというときの初動を左右するのは、情報が一枚にまとまっているかどうかです。制作会社名・使っているツール・契約内容・更新時期をメモしておくだけで十分。聞き方は「弊社のサイトは何で作られているか、契約内容と合わせて教えていただけますか」で通じます。

2. 問い合わせ情報の保管場所と保存期間を確認する

「いつからの問い合わせが残っているか」「古いものは消せるか」を確認しましょう。必要以上に長く持たないことが、いちばんシンプルで確実な対策です。10年前の相談内容まで残っている必要がある会社は、そう多くありません。

3. ログインできる人とパスワードの管理を見直す

次の点をチェックしてみてください。

• 退職した方や、すでに関わっていない方のアカウントが残っていないか
• 他のサービスと同じパスワードを使い回していないか
• ログイン時にスマホで追加確認する仕組み（二段階の認証）が使えるか

この3つは手間のわりに効果が大きい項目です。

4. 不具合やお知らせの連絡が届く窓口を決めておく

サービス側からの重要なお知らせは、登録したメールアドレスに届きます。そこが退職者のアドレスだったり、誰も見ていない共通アドレスだったりすると、大事な連絡を見落としてしまいます。確認担当を決め、できれば2人で受け取れるようにしておくと、不在時も安心です。

5. 「何かあったときの連絡先」を紙でも残しておく

サイトが表示されない、管理画面にログインできない——そんなときほど、連絡先がわからなくなるものです。制作会社やサーバー会社の電話番号・担当者名を紙に印刷して事務所に置いておく。地味ですが、本当に役立つ備えです。

もしも「情報が見られたかもしれない」と連絡が来たら

通知を受け取ったときは、慌てて独自に動かないことが基本です。順番に進めれば、やることは整理できます。

1. サービス提供元の公式発表で事実関係を確認する
2. 自社でどの範囲の情報が該当するか洗い出す
3. 社内で共有し、問い合わせ窓口を一本化する
4. 必要に応じてお客様へのお知らせを準備する
5. 内容によっては個人情報保護委員会への報告が必要になる場合がある

5番目については、不正アクセスが原因の場合は、件数が少なくても、また漏えいが確定していなくても、個人情報保護委員会への報告や本人への通知が必要になるのが原則です。報告するのはサービス提供元ではなく、情報を集めた事業者自身という点にご注意ください。具体的な対応は専門家にご相談ください。

最初にやるのは「公式の発表を読むこと」

SNSやまとめ記事の情報は、早い代わりに正確でないことがあります。サービス提供元の公式サイトに出ているお知らせを一次情報として読む習慣をつけておくと、社内への説明もぶれません。影響範囲・期間・対象データが書かれているので、自社が該当するかを落ち着いて照らし合わせられます。

お客様への説明は、わかっていることだけを丁寧に

説明文で大切なのは、推測を書かないことです。文面は「お詫び」「現時点でわかっている事実」「今後の対応と問い合わせ先」の3つに分けて書くと、読む側にも伝わりやすくなります。わからない点は「調査中です」と正直に書いて構いません。あいまいな表現で埋めるより、はるかに信頼されます。

これから長く安心して使うための、普段の備え

トラブル対応と同じくらい大切なのが、日常の運用です。特別なことをする必要はなく、仕組みを少し軽くしておくだけで、守るべきものが減ります。

具体的には、必要以上の項目をフォームで集めない、保存期間を決めて定期的に整理する、年に一度は運用状況を棚卸しする、プライバシーポリシー（個人情報の扱いを書いたページ）を実態に合わせて見直す、といったことです。どれも今日から始められます。

フォームの項目を減らすだけでもリスクは下がる

集めていない情報は、そもそも漏れようがありません。住所や電話番号を必須にしていませんか？ 最初のやりとりがメールで完結するなら、必須項目はお名前・メールアドレス・お問い合わせ内容の3つで足りることも多いものです。項目が少ないフォームは送信してもらいやすくなるので、問い合わせ数の面でもプラスに働きます。

年に一度の「ホームページの棚卸し」をおすすめします

決算期や年度の変わり目など、覚えやすい時期に「ホームページの棚卸しの日」を決めてしまいましょう。使っているサービス、契約の更新時期、ログインできる人、パスワードの状況をまとめて確認します。1時間ほどで終わりますし、これがあるだけでトラブル時の初動がまるで違います。完璧を目指さず、できるところから一つずつで十分です。

よくあるご質問

WordPressで作ったホームページなら、今回のような問題は関係ありませんか？

今回の件はStudioというサービス側の弱点が原因でしたが、WordPressにもプラグインやサーバーなど、日頃から気をつけたいポイントがあります。また、設定によってはサイト内に問い合わせ内容が保存されていることもあるので、ツールにかかわらず「どこに保管されているか」「誰がログインできるか」を確認しておくことをおすすめします。

制作会社に任せきりで、何を聞けばいいかわかりません。

「問い合わせ内容はどこに保存されていますか」「過去分はいつから残っていますか」「管理画面にログインできるのは誰ですか」。この3つを聞けば、十分なスタートになります。

過去の問い合わせデータは、消してしまっても大丈夫でしょうか？

取引記録として必要なものは別に保存し、それ以外は保存期間のルールを決めて整理するのが基本です。消す前に社内で必要性を確認し、迷ったら制作会社や顧問の方にご相談ください。

情報が漏れた可能性がある場合、どこかに届け出る必要はありますか？

不正アクセスが原因の場合は、漏れた件数が少なくても、また実際に漏れたかどうかがはっきりしない段階でも、個人情報保護委員会への報告とご本人へのお知らせが必要になるのが原則です。報告するのはサービスの提供元ではなく、フォームで情報を受け取っていた事業者自身という点にご注意ください。会社の規模や、法人か個人事業主かは関係ありません。最初の報告は、事態を知ってからおおむね3〜5日以内が目安とされているため、早めに専門家へご相談いただくと安心です。

二段階の認証は設定が難しそうですが、必須でしょうか？

ログイン時にスマホで追加確認する仕組みで、数分で設定できるものがほとんどです。できるサービスから順に有効にするだけでも、効果はかなり大きくなります。

まとめ

• 問い合わせフォームに届いた情報は、メール・サービスの管理画面・サイト内など、思っている以上にいろいろな場所に残っていることがある
• まずは「何で作られているか」「情報はどこに、いつから残っているか」「誰がログインできるか」の3点を確認するところから始められる
• ログインできる人の見直しと、ログイン時にスマホで追加確認する仕組みの設定は、手間のわりに効果が大きい
• お知らせが届く窓口と、いざというときの連絡先を社内で共有しておくと、トラブル時の初動が落ち着く
• 集める項目を減らす・保存期間を決めるなど、普段の運用の工夫がいちばん確実な備えになる

「うちのサイトはどうなっているんだろう」と気になった方は、今の状況を一緒に確認するところからで大丈夫です。Tanim’sでは瀬戸市周辺の事業者さんから、こうした運用まわりのご相談もよくいただいています。何かを変える前提ではなく、現状の棚卸しだけでもお気軽にお声がけください。