引言
2026年10月9日，提供在线社区平台 Commune 及其内部版 Commune for Work 的日本公司 Commune 株式会社（コミューン株式会社）宣布其服务遭到未授权访问。根据 INTERNET Watch 对该公司公告的整理，平台客户所运营社区中约 30.7 万名会员的信息遭到泄露。
此事引人关注，是因为受害者不止一家公司。许多知名品牌使用 Commune 搭建用户论坛、粉丝俱乐部和客户社区。此后几天内，Sansan、雅马哈、铃木、湖池屋、森永乳业、万代南梦宫娱乐，甚至青森县都各自发布了会员受影响的公告。
本文总结已确认的事实、受影响的机构，更重要的是，日本的中小企业能从中学到什么。无论您是在运营在线社区，还是只是在使用保存客户数据的云服务，这些内容都与您相关。所有信息均来自文末列出的来源。
Commune 公布的经过
该公司公布、INTERNET Watch 报道的时间线如下：
- 10月5日约18时（日本时间）： 针对服务的未授权访问开始。
- 10月6日： Commune 发现攻击，切断可疑通信并展开调查。约21时，所有社区切换为维护模式，公司开始恢复数据。
- 10月7日13时17分起： 攻击者利用维护期间仍未关闭的一条通信路径进行非法注册和浏览。该路径于当天14时58分被切断。
- 10月8日起： 在采取防护措施后，Commune 开始逐步重新开放提出恢复请求的客户社区。
关于原因，该公司表示第三方利用了 Commune 自身系统的缺陷。具体来说，攻击者：
- 非法获取了私密社区的邀请链接，并以普通会员身份注册；
- 冒充管理员查看和获取会员信息，并覆盖了数据。
森永乳业在公告中强调，此次事件是由 Commune 系统的多处缺陷被利用造成的，并非森永乳业自身的设置或运营问题。
涉及人数与泄露的信息
根据 Commune 的估算：
- 约 30.7 万名会员的部分信息遭到泄露。
- 其中约 12.6 万人泄露的信息包含电子邮箱地址。这部分包括约 4.2 万个 Commune 员工账户和测试用演示账户。
- 约 18.1 万人泄露的信息不含电子邮箱，例如显示名称、自我介绍和私密小组归属。
该公司的另外两项服务 Commune CRM 和 Commune Engage 遭遇了访问尝试，但未确认有信息泄露。截至公告发布时，Commune Voice、Commune Navigator 和 Commune DataHub 未发现未授权访问。
受影响的机构
从客户发布的公告可以看出影响范围。部分例子：
- Sansan（Sansan User Forum）： 确认泄露 1,325 名会员的信息（电子邮箱、显示名称、自我介绍、头像和小组归属），另有 8,687 名会员可能泄露（相同信息，不含邮箱）。Sansan 表示不包含密码，已于10月9日向个人信息保护委员会（PPC）报告，且 Sansan、Bill One、Contract One 和 Eight 等服务未受影响。
- 铃木（Suzuki Village）： 约 3,000 名会员。可能被访问的信息包括电子邮箱、昵称、注册日期、性别、年龄段、所在都道府县和车型。
- 雅马哈（网络工程师社区 / Yamaha Corporation）： 约 1,600 名会员。
- Yamaha Motor（「YAMAHA PAS Life」）： 约 1,600 名会员。10 月 12 日公告：姓名、出生日期、性别、地址、邮箱、会员 ID、昵称、自我介绍及所属小组可能被查看或获取。不含信用卡或支付信息。与 Yamaha Corporation 的网络工程师社区为不同事件。
- 湖池屋： 最多 1,800 名会员。
- 森永乳业（Mount Cafe-bu）： 291 名会员，涉及电子邮箱、用户名、自我介绍、自定义资料项、小组、积分和最后活跃时间。
- 青森县（Aomori Biiki）： 15,847 名会员中的 2,950 名，涉及电子邮箱、昵称、年龄段、性别、居住地及旅行相关回答等信息。
- 万代南梦宫娱乐（《湾岸 Midnight》街机门户）： 人数未公开。
也有社区出于预防暂停服务，之后宣布没有发生泄露，例如 DyDo 的社区。
会员面临的真正风险
所有来源都没有提到银行卡信息。更直接的危险是精准的网络钓鱼。例如，拿到铃木社区邮箱列表的人，同时也知道每位会员的车型、年龄段和所在地区，可以借此以品牌名义发送极具迷惑性的假消息。
因此，铃木和森永乳业提醒会员警惕冒用公司名义的电子邮件和短信，不要打开可疑链接或附件，也不要输入密码或个人信息。铃木还建议，如果在其他服务中使用了与社区相同或相似的密码，应考虑更改。
您的企业可以学到什么
此事重复了我们在 Big Echo 数据泄露事件中看到的教训：系统可以外包，责任却无法外包。即使问题出在供应商身上，收集数据的企业仍要对客户负责。以下是一些实用措施：
- 盘点保存客户数据的云服务。 论坛、CRM、表单、邮件营销工具、聊天工具等。很多中小企业并不清楚有多少供应商持有客户名单。
- 检查邀请机制。 如果您的服务使用邀请链接进入私密区域，请优先选择有效期短、一次性或需人工审批的链接。永久流传的链接就是一扇敞开的门。
- 保护管理员账户。 强制启用双重验证，限制管理员人数，并定期检查管理员访问日志。
- 只收集必要的信息。 如果社区不需要年龄段或车型，就不要询问。没有保存的数据就不会泄露。
- 把事故通知写进合同。 要求供应商迅速通知。根据日本《个人信息保护法》（APPI），涉及超过 1,000 人或疑似出于不正当目的（如未授权访问）的泄露，必须向 PPC 报告。报告分两个阶段：“及时”提交的速报（PPC 表示一般在 3 至 5 天内）和 30 天内（疑似不正当目的时为 60 天内）提交的正式报告。
- 提前准备公告模板。 当天就发布清晰公告（发生了什么、涉及哪些信息、客户该怎么做、联系渠道）的企业，更能赢得信任。
- 在钓鱼邮件到来之前提醒客户。 一句简单的“本公司绝不会通过邮件索要密码”，就能大幅减少受骗。
结语
针对 Commune 的攻击只持续了几天，却表明共享平台上的一个缺陷就可能同时让多个品牌的客户面临风险。调查仍在进行，数字可能变化。如果 Commune 或受影响的客户公布新的事实，我们会更新本文。
对您的企业来说，实际的问题是：如果您使用的云服务商明天遭到入侵，您是否清楚那里有哪些数据、该通知谁、又该对客户说些什么？
来源
- コミューン株式会社: 「Commune」「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
- INTERNET Watch: コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい
- Sansan: オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ
- スズキ: 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ (PDF)
- 森永乳業: 委託先システムへの不正アクセスによる「マウントカフェ部」会員情報漏洩に関するお詫びとお知らせ
- 青森県: 「青森びいき」会員情報の漏洩について (PDF)
- ヤマハ発動機: 外部委託先への不正アクセスによるお客様情報漏えいの可能性について（YAMAHA PAS Life）
- 個人情報保護委員会 (PPC): 漏えい等の対応とお役立ち資料
想把这些带到您的业务中吗？
KGA IT 帮助中小企业部署 AI 助手、业务自动化和网站。咨询免费，我们会在 24 小时内回复。方案每月 ¥5,000 起。
- 电话: 080-9732-1062
- 邮箱: kga-it@outlook.com
- 联系页面: kga-it.com/zh/contact