Panimula
Noong Oktubre 9, 2026, kinumpirma ng Commune Inc. (コミューン株式会社), ang kumpanyang Hapon sa likod ng online community platform na Commune at ng bersyong pang-internal na Commune for Work, na nakaranas ito ng unauthorized access. Ayon sa abiso ng kumpanya na binuod ng INTERNET Watch, na-leak ang data ng humigit-kumulang 307,000 miyembro ng mga community na pinapatakbo ng mga customer ng platform.
Kapansin-pansin ang kasong ito dahil hindi lang iisang kumpanya ang tinamaan. Ginagamit ng mga kilalang brand ang Commune para sa mga user forum, fan club at customer community. Sa mga sumunod na araw, naglabas ng sariling abiso tungkol sa mga apektadong miyembro ang Sansan, Yamaha, Suzuki, Koikeya, Morinaga Milk, Bandai Namco Experience at maging ang Aomori Prefecture.
Binubuod ng artikulong ito kung ano ang nakumpirma, sino ang naapektuhan at, higit sa lahat, ano ang matututunan ng maliliit at katamtamang negosyo sa Japan, nagpapatakbo man sila ng online community o gumagamit lang ng mga cloud service na may hawak na data ng customer. Lahat ng impormasyon ay mula sa mga sangguniang nakalista sa dulo.
Ano ang nangyari, ayon sa Commune
Ganito ang timeline na inilabas ng kumpanya at iniulat ng INTERNET Watch:
- Oktubre 5, bandang 6 p.m. (JST): nagsimula ang unauthorized access sa mga serbisyo.
- Oktubre 6: natukoy ng Commune ang atake, hinarang ang kahina-hinalang komunikasyon at sinimulan ang imbestigasyon. Bandang 9 p.m., inilipat sa maintenance mode ang lahat ng community at sinimulan ng kumpanya ang pag-restore ng data.
- Oktubre 7, mula 1:17 p.m.: ginamit ng attacker ang isang communication path na bukas pa rin habang may maintenance para magparehistro at mag-browse nang hindi awtorisado. Hinarang ang path na iyon nang 2:58 p.m. sa parehong araw.
- Mula Oktubre 8: matapos maglagay ng mga panangga, unti-unting binuksan muli ng Commune ang mga community na hiniling ng mga customer na ibalik.
Tungkol sa sanhi, sinabi ng kumpanya na sinamantala ng isang third party ang mga butas sa sariling sistema ng Commune. Sa praktika, ang attacker ay:
- nakakuha nang hindi wasto ng mga invitation link sa mga private community at nagparehistro bilang ordinaryong miyembro;
- nagpanggap bilang administrator para tingnan at kunin ang data ng mga miyembro at para i-overwrite ang data.
Idiniin ng Morinaga Milk sa abiso nito na ang insidente ay dulot ng maraming butas sa sistema ng Commune, hindi ng sariling settings o operasyon ng Morinaga.
Ilang tao at anong data
Ayon sa tantiya ng Commune:
- Humigit-kumulang 307,000 miyembro ang na-leak ang ilang data.
- Humigit-kumulang 126,000 ang na-leak ang data kasama ang email address. Kasama rito ang mga 42,000 account ng mga empleyado ng Commune at mga demo account na ginamit sa testing.
- Humigit-kumulang 181,000 ang na-leak ang data nang walang email address, gaya ng display name, self-introduction at pagiging miyembro ng private group.
Ang dalawa pang serbisyo ng kumpanya, ang Commune CRM at Commune Engage, ay nakaranas ng mga pagtatangkang pumasok pero walang kumpirmadong leak. Para sa Commune Voice, Commune Navigator at Commune DataHub, walang kumpirmadong unauthorized access sa petsa ng abiso.
Sino ang naapektuhan
Ipinapakita ng mga abiso ng customer ang lawak ng insidente. Ilang halimbawa:
- Sansan ("Sansan User Forum"): kumpirmadong leak para sa 1,325 miyembro (email, display name, self-introduction, profile picture at mga grupo) at posibleng leak para sa 8,687 pang miyembro (parehong data, walang email). Sinabi ng Sansan na walang kasamang password, na nag-ulat ito sa Personal Information Protection Commission (PPC) noong Oktubre 9, at na hindi naapektuhan ang mga serbisyong Sansan, Bill One, Contract One at Eight.
- Suzuki ("Suzuki Village"): mga 3,000 miyembro. Kabilang sa posibleng na-access na data ang email, nickname, petsa ng pagsali, kasarian, age group, prefecture at modelo ng kotse.
- Yamaha (community ng mga network engineer / Yamaha Corporation): mga 1,600 miyembro.
- Yamaha Motor ("YAMAHA PAS Life"): mga 1,600 miyembro. Abiso noong Oktubre 12: posibleng natingnan ang pangalan, petsa ng kapanganakan, kasarian, address, email, member ID, palayaw, self-introduction at mga grupo. Walang kasamang data ng card o bayad. Hiwalay sa network-engineer community ng Yamaha Corporation.
- Koikeya: hanggang 1,800 miyembro.
- Morinaga Milk ("Mount Cafe-bu"): 291 miyembro, kasama ang email, username, self-introduction, mga profile field, grupo, points at huling petsa ng aktibidad.
- Aomori Prefecture ("Aomori Biiki"): 2,950 sa 15,847 miyembro, kasama ang data gaya ng email, nickname, age group, kasarian, prefecture na tinitirhan at mga sagot tungkol sa paglalakbay.
- Bandai Namco Experience ("Wangan Midnight" arcade portal): hindi ibinunyag ang bilang.
May mga community rin na huminto bilang pag-iingat at kalaunan ay nagsabing walang leak, gaya ng sa DyDo.
Ang tunay na panganib sa mga miyembro
Walang sanggunian na bumanggit ng data ng card. Iba ang pinakamalapit na panganib: phishing na tiyak ang target. Halimbawa, ang sinumang may hawak ng email list ng isang Suzuki community ay alam din ang modelo ng kotse, age group at prefecture ng bawat tao. Dahil dito, posible ang mga pekeng mensahe na kapani-paniwala at gumagamit ng pangalan ng brand.
Kaya hinihiling ng Suzuki at Morinaga sa mga miyembro na mag-ingat sa mga email at SMS na gumagamit ng pangalan ng kumpanya, huwag buksan ang kahina-hinalang link o attachment, at huwag maglagay ng password o personal na impormasyon. Inirerekomenda rin ng Suzuki na palitan ang password sa ibang serbisyong gumagamit ng pareho (o kahawig) na password ng community.
Ano ang matututunan ng iyong negosyo
Inuulit ng kasong ito ang aral na nakita na natin sa leak ng Big Echo: ang pag-outsource ng sistema ay hindi pag-outsource ng responsibilidad. Ang kumolekta ng data ang mananagot pa rin sa mga customer, kahit vendor ang may mali. Ilang praktikal na hakbang:
- Ilista ang mga cloud service na may hawak na data ng customer. Forum, CRM, form, email marketing tool, chat. Maraming SME ang hindi alam kung ilang vendor ang may customer list nila.
- Suriin kung paano gumagana ang mga imbitasyon. Kung gumagamit ang serbisyo mo ng invitation link sa mga private area, piliin ang mga link na mabilis mag-expire, isang beses lang magagamit o nangangailangan ng manual approval. Ang link na umiikot magpakailanman ay bukas na pinto.
- Protektahan ang mga administrator account. Gawing required ang two-factor authentication, limitahan ang bilang ng admin at regular na suriin ang mga admin access log.
- Kolektahin lang ang kailangan. Kung hindi kailangan ng community ang age group o modelo ng kotse, huwag nang itanong. Hindi maaaring ma-leak ang data na hindi mo iniimbak.
- Isama sa kontrata ang pag-aabiso ng insidente. Hilingin sa vendor ang mabilis na abiso. Sa ilalim ng batas sa data protection ng Japan (APPI), mandatory ang pag-uulat sa PPC para sa mga leak na may kinalaman sa mahigit 1,000 tao o pinaghihinalaang may masamang layunin, gaya ng unauthorized access. Ginagawa ito sa dalawang yugto: paunang ulat na "agad-agad" (karaniwang sa loob ng 3 hanggang 5 araw, ayon sa PPC) at pinal na ulat sa loob ng 30 araw, o 60 araw kung pinaghihinalaang may masamang layunin.
- Maghanda ng template ng abiso. Mas pinagkatiwalaan ang mga kumpanyang naglabas ng malinaw na abiso sa parehong araw (ano ang nangyari, anong data, ano ang dapat gawin ng customer, contact channel).
- Bigyan ng babala ang mga customer tungkol sa phishing bago pa ito dumating. Malaki ang naitutulong ng simpleng mensahe na nagsasabing hindi kailanman humihingi ng password ang kumpanya sa email.
Konklusyon
Ilang araw lang tumagal ang atake sa Commune, pero ipinakita nito kung paano mailalantad ng iisang butas sa isang shared platform ang mga customer ng ilang brand nang sabay-sabay. Patuloy pa ang imbestigasyon at maaaring magbago ang mga numero. Ia-update namin ang artikulong ito kung maglalabas ng bagong impormasyon ang Commune o ang mga apektadong customer.
Para sa iyong negosyo, ito ang praktikal na tanong: kung mapasok bukas ang cloud vendor mo, alam mo ba kung anong data ang naroon, sino ang dapat abisuhan at ano ang sasabihin sa iyong mga customer?
Mga Sanggunian
- コミューン株式会社: 「Commune」「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
- INTERNET Watch: コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい
- Sansan: オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ
- スズキ: 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ (PDF)
- 森永乳業: 委託先システムへの不正アクセスによる「マウントカフェ部」会員情報漏洩に関するお詫びとお知らせ
- 青森県: 「青森びいき」会員情報の漏洩について (PDF)
- ヤマハ発動機: 外部委託先への不正アクセスによるお客様情報漏えいの可能性について（YAMAHA PAS Life）
- 個人情報保護委員会 (PPC): 漏えい等の対応とお役立ち資料
Gusto mo ba ito para sa iyong negosyo?
Tinutulungan ng KGA IT ang maliliit at katamtamang negosyo na mag-set up ng mga AI assistant, automation at website. Libre ang konsultasyon at sasagot kami sa loob ng 24 oras. Ang mga plano ay nagsisimula sa ¥5,000/buwan.
- Telepono: 080-9732-1062
- Email: kga-it@outlook.com
- Pahina ng contact: kga-it.com/fil/contact