はじめに
2026年10月9日、オンラインコミュニティプラットフォーム「Commune」と社内向けの「Commune for Work」を提供するコミューン株式会社は、同社サービスが不正アクセスを受けたと発表しました。INTERNET Watchがまとめた同社の発表によると、プラットフォームを利用する契約企業のコミュニティ会員、推計約30.7万人分の情報が漏えいしました。
この件が注目されるのは、被害が1社にとどまらないためです。Communeは有名ブランドのユーザーフォーラム、ファンクラブ、顧客コミュニティなどに使われています。その後数日のうちに、Sansan、ヤマハ、スズキ、湖池屋、森永乳業、バンダイナムコエクスペリエンス、さらに青森県までが、それぞれ会員への影響について発表しました。
本記事では、確認された事実、影響を受けた組織、そして何より、日本の中小企業がこの件から何を学べるかをまとめます。オンラインコミュニティを運営している企業にも、顧客データを預けるクラウドサービスを使っているだけの企業にも関係する内容です。情報はすべて末尾の参考資料に基づいています。
コミューン社の発表による経緯
同社が公表し、INTERNET Watchが報じた時系列は次のとおりです。
- 10月5日18時頃： サービスへの不正アクセスが始まる。
- 10月6日： 同社が攻撃を検知し、不審な通信を遮断して調査を開始。21時頃に全コミュニティをメンテナンスモードに切り替え、データの復旧を始める。
- 10月7日13時17分以降： メンテナンス中に残っていた通信経路を悪用した不正な会員登録と閲覧が発生。同日14時58分に遮断。
- 10月8日以降： 防御措置を講じたうえで、再開を希望したコミュニティから順次再開。
原因について同社は、外部の第三者が同社システムの不備を突いたと説明しています。具体的には、攻撃者は次のことを行いました。
- 非公開コミュニティの招待リンクを不正に取得し、一般会員として登録した。
- 管理者になりすまして会員情報を閲覧・取得し、データを上書きした。
森永乳業は発表の中で、本件はコミューン社のシステム上の複数の不備が悪用されたもので、森永乳業側の設定や運用上の不備によるものではないと強調しています。
人数と漏えいした情報
コミューン社の推計は次のとおりです。
- 約30.7万人の会員の情報が何らかの形で漏えい。
- そのうち約12.6万人はメールアドレスを含む情報が漏えい。この中には同社従業員とテスト用デモアカウント合計約4.2万人分が含まれます。
- 約18.1万人はメールアドレスを含まない情報（表示名、自己紹介、非公開グループの所属など）が漏えい。
同社の他のサービスのうち、Commune CRMとCommune Engageは不正アクセスが試みられたものの、情報漏えいは確認されていません。Commune Voice、Commune Navigator、Commune DataHubについては、発表時点で不正アクセスは確認されていません。
影響を受けた組織
契約企業の発表から、影響の広がりがわかります。主な例は次のとおりです。
- Sansan（Sansan User Forum）： 漏えいが確認されたのは1,325名（メールアドレス、表示名、自己紹介、プロフィール画像、グループ所属）、漏えいの可能性があるのは8,687名（同じ情報でメールアドレスなし）。Sansanはパスワードは含まれていないこと、10月9日に個人情報保護委員会（PPC）へ報告したこと、Sansan、Bill One、Contract One、Eightへの影響はないことを明らかにしています。
- スズキ（スズキヴィレッジ）： 約3,000名。閲覧・取得された可能性がある情報は、メールアドレス、ニックネーム、参加日、性別、年代、居住都道府県、所有車名など。
- ヤマハ（ヤマハネットワークエンジニア会／ヤマハ株式会社）： 約1,600名。
- ヤマハ発動機（「YAMAHA PAS Life」）： 約1,600名。10月12日発表。氏名、生年月日、性別、住所、メールアドレス、会員ID、ニックネーム、自己紹介、所属グループが閲覧・取得された可能性。クレジットカード・決済情報は含まれていません。ヤマハ株式会社のネットワークエンジニア会とは別件です。
- 湖池屋： 最大1,800名。
- 森永乳業（マウントカフェ部）： 291名。メールアドレス、表示名・ユーザー名、自己紹介、カスタムプロフィール項目、所属グループ、ポイント、最終アクティブ日時。
- 青森県（青森びいき）： 会員15,847人のうち2,950人。メールアドレス、ニックネーム、年代、性別、居住都道府県、旅行に関する回答などの情報。
- バンダイナムコエクスペリエンス（湾岸ミッドナイト アーケードポータル）： 人数は非公表。
予防的にサービスを停止したものの、その後漏えいはなかったと発表したコミュニティもあります（ダイドードリンコなど）。
会員にとっての本当のリスク
どの情報源もカード情報には触れていません。より差し迫った危険は別のところにあります。狙いを絞ったフィッシングです。たとえばスズキのコミュニティのメールアドレス一覧を持つ人物は、各会員の所有車名、年代、居住地もわかります。これを使えば、ブランドを装った非常に信じやすい偽メッセージを作れます。
そのためスズキと森永乳業は、会社名を名乗るメールやSMSに注意し、不審なリンクや添付ファイルを開かず、パスワードや個人情報を入力しないよう呼びかけています。スズキはさらに、コミュニティと同じ（または似た）パスワードを他のサービスで使っている場合は、変更を検討するよう勧めています。
自社が学べること
この件は、ビッグエコーの情報漏えいでも見た教訓を繰り返しています。システムを外部に任せても、責任までは外部に任せられないということです。データを集めた企業は、委託先に原因があっても顧客に対して責任を負います。実践的な対策をいくつか挙げます。
- 顧客データを預けているクラウドサービスを棚卸しする。 フォーラム、CRM、フォーム、メール配信ツール、チャットなど。顧客リストを持つ委託先がいくつあるか把握していない中小企業は少なくありません。
- 招待の仕組みを見直す。 非公開エリアに招待リンクを使っている場合は、有効期限が短い、一回限り、または手動承認のリンクを選びましょう。いつまでも出回るリンクは開いたままの扉です。
- 管理者アカウントを守る。 二要素認証を必須にし、管理者の人数を絞り、管理者のアクセスログを定期的に確認します。
- 必要な情報だけを集める。 コミュニティに年代や車種が不要なら、尋ねないこと。保存していないデータは漏れません。
- インシデント通知を契約に盛り込む。 委託先に迅速な通知を求めましょう。個人情報保護法では、1,000人を超える漏えいや、不正アクセスなど不正の目的によるおそれがある漏えいは、PPCへの報告が義務です。報告は2段階で、「速やかに」行う速報（PPCによれば概ね3〜5日以内）と、30日以内（不正の目的によるおそれがある場合は60日以内）の確報があります。
- お知らせのひな形を用意しておく。 同じ日に明確なお知らせ（何が起きたか、どの情報か、顧客は何をすべきか、問い合わせ窓口）を出した企業ほど、信頼を保てていました。
- フィッシングが届く前に顧客へ注意を促す。 「当社がメールでパスワードを尋ねることはありません」という簡単なメッセージだけでも、詐欺の被害を大きく減らせます。
まとめ
Communeへの攻撃はわずか数日間でしたが、共有プラットフォームのたった一つの不備が、複数ブランドの顧客を同時に危険にさらしうることを示しました。調査は続いており、数字は変わる可能性があります。コミューン社や影響を受けた企業が新たな事実を公表した場合は、本記事を更新します。
自社にとっての実践的な問いはこうです。もし明日、利用中のクラウド事業者が侵害されたら、どんなデータがそこにあり、誰に報告し、顧客に何を伝えるべきか、すぐに答えられるでしょうか。
参考資料
- コミューン株式会社: 「Commune」「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
- INTERNET Watch: コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい
- Sansan: オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ
- スズキ: 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ (PDF)
- 森永乳業: 委託先システムへの不正アクセスによる「マウントカフェ部」会員情報漏洩に関するお詫びとお知らせ
- 青森県: 「青森びいき」会員情報の漏洩について (PDF)
- ヤマハ発動機: 外部委託先への不正アクセスによるお客様情報漏えいの可能性について（YAMAHA PAS Life）
- 個人情報保護委員会 (PPC): 漏えい等の対応とお役立ち資料
あなたのビジネスにも導入しませんか？
KGA ITは、中小企業向けにAIアシスタント、業務自動化、Webサイトの導入を支援しています。ご相談は無料で、24時間以内にご返信します。プランは月額5,000円から。
- 電話: 080-9732-1062
- メール: kga-it@outlook.com
- お問い合わせページ: kga-it.com/ja/contact