NewsPicks for Kidsを利用しているわが家に、2026年10月20日、「Studioへの不正アクセスに伴う、情報流出の可能性」に関するお知らせメールが届きました。
通知で挙げられているのは、投稿やプレゼント申請、読者アンケート、イベント申込のフォームに入力した情報です。子どもの名前や学年に加え、使ったフォームによっては住所も含まれています。
まず確認したいのは、購読しているかどうかだけでなく、これまでにどのフォームを利用し、何を入力したかです。届いた通知メールとStudioの公式発表を照合し、対象情報と保護者が確認したいことを整理します。
確認日：2026年10月20日。NewsPicks for Kidsに関する対象フォーム・情報項目・二次被害の状況は、筆者が受信した同日付のユーザベースの通知メールに基づきます。
NewsPicks for Kidsの情報流出のおそれとは
受信したメールによると、NewsPicks for Kidsのサイトはクラウドサービス「Studio」を利用しています。そのStudioのクラウド環境が不正アクセスを受け、サイトのフォームに入力した情報が外部に流出した可能性があるとして、ユーザベースが利用者へ通知しました。
| 確認項目 | 通知メールの内容 |
|---|---|
| 通知元 | 株式会社ユーザベース |
| 対象サイト | NewsPicks for Kids（kids.newspicks.com） |
| 問題が発生したサービス | サイト運営に利用するStudio |
| 通知対象の説明 | サイトのフォーム等に子どもの情報を入力した利用者 |
| 流出の確認状況 | 実際に第三者が取得した事実は確認されていないが、取得されたものとみなして対応 |
| 二次被害 | 通知時点で、本件に起因する不正利用等は確認されていない |
「流出した可能性がある」という通知であり、個々の家庭の情報が実際に持ち出されたと確認された通知ではありません。一方で、取得された前提で対応しているため、入力履歴の確認と、不審な連絡への備えは進めておきたいところです。
対象は4種類のフォーム。住所が含まれるものもある
メールには、次の4種類のフォームが列挙されています。以下は、通知に記載された項目をフォームごとに整理したものです。
| 利用したフォーム | 流出した可能性のある情報 |
|---|---|
| 紙面のQRコードからアクセスする投稿フォーム | 保護者氏名、メールアドレス、子どもの名前／ペンネーム、そのふりがな／ローマ字、子どもの年齢または学年 |
| 「デジタルスタンプ」プレゼント申請フォーム | メールアドレス、住所、宛名 |
| 読者アンケートフォーム | メールアドレス、保護者氏名、子どもの学年、子どもの性別 |
| イベント申込フォーム | メールアドレス、子どもの名前、子どものふりがな、子どもの年齢、子どもの性別 |
たとえば、プレゼント申請を利用した場合は住所と宛名が、イベントに申し込んだ場合は子どもの名前や年齢などが、確認する情報になります。この一覧の全項目が、すべての利用者について流出した可能性があるという意味ではありません。
ペンネームで投稿していた場合も、同じフォームで保護者氏名やメールアドレスを入力していたかを確認してください。投稿時の名前だけを見て判断せず、フォーム全体で何を送ったかを振り返ると整理できます。
購読者全員が対象なのか
今回の通知は、サイトのフォーム等に情報を入力した利用者に向けた説明です。このメールだけを根拠に、購読者全員の配送先や契約情報が流出したとはいえません。
対象人数、各家庭で対象になった具体的な回答、対象フォームの回答の保存期間は、受信した通知メールには記載されていません。自分の情報がどこまで対象なのか分からない場合は、利用したフォームを挙げて問い合わせる必要があります。
いつ起きたのか。Studioの公式発表と照合
Studioは、2026年10月16日に不正アクセスによる情報流出の可能性を公表しています。通知メールに書かれた原因と日付は、この公式発表の説明と一致しています。
| 日付 | 経緯 |
|---|---|
| 9月30日～10月1日 | Studioが現時点で確認している第三者による不正アクセスの期間 |
| 10月13日 | Studioが社内調査で不正アクセスを確認 |
| 10月13日～14日 | 脆弱性の修正と侵入経路の遮断を完了 |
| 10月16日 | Studioが第一報を公開。ユーザベースのメールでは、この日にStudioから報告を受けたと説明 |
| 10月20日 | 筆者がNewsPicks for Kidsの利用者向け通知を受信 |
出典：Studio「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」、受信した通知メール。
注意したいのは、不正アクセスが確認されている期間と、外部からデータを取得できた状態の期間は同じではないことです。Studioは、外部から取得できる状態が10月14日の対処まで続いていたと説明しています。また、9月30日～10月1日にフォームを使った人だけが対象、という説明でもありません。
Studioの公式発表では、保存されていたフォーム回答が対象になり得るとしています。NewsPicks for Kidsで自分が送った回答の扱いは、サイト運営元への確認が必要です。
保護者が確認したい3つのこと
1．投稿・応募・申込の履歴を探す
メールボックスで「NewsPicks for Kids」「デジタルスタンプ」「イベント」などを検索し、送信完了メールや申込確認メールが残っているかを確認します。履歴が見つからなくても、入力していないとは断定できません。
家族で手続きを分担していた場合は、誰がどのフォームを使ったかも確認してください。問い合わせる際には、フォーム名、利用時期、入力したメールアドレスを整理しておくと説明しやすくなります。
2．子どもの名前を知っている相手でも、その場で応じない
通知メールは、企業を装ったメール・SMS・電話に加え、子ども宛ての不審なメール、発送物、電話にも注意を促しています。
名前や学年を知っている相手から連絡が来ても、それだけでは本物か判断できません。親子では、たとえば「名前を知っている人からでも、プレゼントや確認の連絡は、答える前に大人に見せてね」と共有しておくと、子どもが取る行動まで伝わります。
追加情報の入力や支払いを求められたら、その連絡の中のリンクから手続きせず、普段利用している公式サイトから確認します。不審なリンクや添付ファイルを開かないという対応は、IPAのフィッシング対策の解説でも案内されています。
3．通知メールを保存し、不明な範囲を問い合わせる
届いたメールは、対象フォームや問い合わせ先を確認できるよう保存しておきます。今回の通知に記載された窓口は、ユーザベースのprivacy@uzabase.comです。
「○年○月頃に○○フォームを利用したが、その回答は対象に含まれるか」「対象となる回答期間はいつか」「今後の追加通知はあるか」など、分からない点を具体的に聞くと確認事項を絞れます。
パスワード変更やカードの再発行は必要？
今回のNewsPicks for Kidsのメールが挙げた情報項目には、パスワードやクレジットカード情報は含まれていません。この通知を受け取ったことだけを理由に、それらも漏えいしたと判断することはできません。メールにも、パスワード変更やカード再発行の一律の要請は記載されていません。
一方、Studioのアカウントを自分でも持っている場合は、サイトのフォーム利用とは別に、Studioからの対応案内を確認してください。また、不審な画面にパスワードやカード情報を入力してしまった場合は、その入力内容に応じた対応が必要です。
10月8日のNewsPicksの情報漏えいのお知らせとの違い
NewsPicksは10月8日にも、個人情報漏洩の可能性について公式のお知らせを公表しています。
今回わが家に届いた10月20日付のメールは、NewsPicks for Kidsのサイトが使うStudioへの不正アクセスと、サイト内のフォームへの入力情報を説明するものです。10月8日のお知らせの対象情報を、そのまま今回の対象情報に足して読むことはできません。それぞれの通知で、自分が利用したサービスと対象項目を確認してください。
利用者として、まず入力履歴と家族への共有から
わが家に届いた通知を、家族でも確認できるように残しておきます。子どもには「知らない人から名前を呼ばれたり、プレゼントの連絡が来たりしても、まず大人に見せてね」と、行動が分かる言葉で伝えたいと思います。
出典・確認資料
- 株式会社ユーザベースから2026年10月20日に受信した「NewsPicks for Kids」利用者向け通知メール（筆者保管）。本文画像は必要な箇所のみ抜粋し、宛先を除外。
- Studio：不正アクセスによる情報流出に関するお詫びとお願い（第一報）
- Studio：不正アクセスに関するご案内
- NewsPicks：10月8日付の個人情報漏洩の可能性に関するお知らせ
- IPA：情報セキュリティ10大脅威2023 解説書
