【10/14】コミューン不正アクセスで情報流出｜対象企業と利用者の確認方法

コミュニティサイトの基盤サービス「Commune（コミューン）」を運営するコミューン株式会社（東京・品川）が不正アクセスを受け、同社の推計で会員約30.7万人分の情報が外部に漏れました。Communeは企業がファンや利用者向けの交流サイトを作るためのクラウドサービスで、スズキ、ヤマハ発動機、LINEヤフーなど、サイトを運営していた企業や自治体が相次いで会員情報の漏えいやその可能性を公表しています。

日本経済新聞は10月14日、被害の可能性がある企業は「最大64社」と報じました。ただしこの社数はコミューン社の公式発表には書かれておらず、本稿執筆時点（2026年10月14日夜）では一次情報で確認できていません。この記事では、何が起きたのか、どの会社のサイトが対象なのか、利用者が自分で確かめておくことを、コミューン社と各社の発表をもとに整理します。

コミューン不正アクセスで何が起きたのか

コミューン社のサービスに外部から侵入され、一部のコミュニティで会員情報が漏えいし、複数の企業で閲覧・取得の可能性が出た事案です。

コミューン社は2026年10月9日、同社のコミュニティサービス「Commune」と、社内向けの「Commune for Work」が外部の第三者から不正アクセスを受け、一部のコミュニティで会員情報が漏えいしたと公表しました。同社は原因を「当社システムの不備を突かれた」と説明し、契約企業側の設定や運用が原因ではないとしています。

Communeは、企業が自社の商品やサービスの利用者を集めて交流させる「コミュニティサイト」を作るための仕組みです。利用者から見ると「スズキのファンサイト」「ヤマハの電動自転車の交流サイト」のように各社のサイトに見えますが、裏側ではコミューン社のサーバーで会員情報を預かっていました。そのため、1社への攻撃で多数の企業のサイトに被害が及びました。

漏えいしたのは推計約30.7万人分

漏えい規模はコミューン社の推計で約30.7万人分で、メールアドレスを含むかどうかで2つに分かれます。

この人数は、ログから同じ会員IDの重なりと攻撃者が作ったアカウントを除いて出した推計値で、今後の調査で変わる可能性があると同社は説明しています。内訳は次のとおりです。

約30.7万人は全サイトを通した推計で、各社が公表した人数とは数え方が違います。各社の人数を足し合わせても30.7万人にはならず、逆に各社の人数をこの合計から引くこともできない点に注意が必要です。

クレジットカード情報とパスワードは対象外とされる

コミューン社は、パスワードそのものとクレジットカード情報、会員同士のメッセージの漏えいは確認していないとしています。

一方で、144人の会員のパスワードが本人の操作によらず仮パスワードに変えられていました。同社によると、この仮パスワードが攻撃者に渡った事実は確認されておらず、仮パスワードはすでに無効にされています。また、同社の別製品である「Commune CRM」「Commune Engage」は不正アクセスの試みがあったものの、漏えいは確認されていないと説明しています。

いつ・どうやって侵入されたのか

攻撃は10月5日18時ごろに始まり、招待リンクの不正取得と管理者へのなりすましで侵入され、10月7日午後にも再び漏えいしました。

コミューン社と各社の発表、報道をつなぐと、経緯は次の流れになります。10月6日に全サービスを止めたあとも、残っていた通信経路から再び侵入されていた点が、この事件の大きなポイントです。

このように、攻撃の開始から全コミュニティの停止までは約27時間あり、停止後にも経路が残っていました。ヤマハ発動機の発表では、同社の「YAMAHA PAS Life」への不正アクセスは10月6日19時18分ごろから21時02分ごろにかけて行われたとされ、全体の停止直前まで不正アクセスが続き、情報が閲覧・取得された可能性があります。

手口は招待リンクの不正取得と管理者のなりすまし

攻撃者は非公開コミュニティの招待リンクを不正に手に入れて会員として入り込み、管理者になりすましました。

コミューン社の説明では、攻撃者は一般会員として登録したあと管理者になりすまし、会員情報を閲覧・取得したほか、データの上書きも行いました。利用企業の一つであるちとせグループは、コミューン社の調査結果として、攻撃者が全コミュニティ共通のログイン用の署名鍵を手に入れて管理者になりすましたこと、複数のIPアドレスから短時間に大量の操作があったことからAIなどを使った自動化された攻撃と推定されることを明らかにしています。

ちとせグループは、この経路では公開・非公開を問わず全コミュニティが対象となり得たと説明しています。（編集部分析）1つの鍵が破られると多くの会社のコミュニティに入れる作りだったことが、被害が多数の組織に広がった大きな要因になったと考えられます。

どの会社の顧客情報が対象なのか

スズキ、ヤマハ発動機、LINEヤフー、青森県など、少なくとも21の組織が漏えいやその可能性を公表しています。

セキュリティ事案をまとめているブログ「piyolog」の10月13日時点の集計では、公表・告知をした組織は少なくとも25で、そのうち21組織が漏えいかその可能性を公表しています。主な組織と公表された人数は次のとおりです（人数は各社の公表値で、「確認」「最大」「推定」が混じっています）。

このほか、日本能率協会マネジメントセンター（2,950名）、VALX（2,950名）、ユニファ（1,450名）、ウイングアーク1st（約1,200名）、ソフトブレーン（1,164名）、ZENB JAPAN（最大949名）、ちとせグループ（最大843名）、渋谷未来デザイン（495名）、高知の観光サイト「高知の知」（358名）なども公表しています。自分が登録しているサイトがこの中にあるかどうかを、まず確かめてください。

日経が報じた「最大64社」は公式発表では未確認

「最大64社」は日本経済新聞の報道で、コミューン社の公式発表には社数が書かれていません。

日経は10月14日の記事で、マツダやパナソニックなど最大64社に被害が出た可能性があると伝えました。しかし、コミューン社の10月9日の発表は人数（推計約30.7万人）を示しているだけで、影響を受けた契約企業の数には触れていません。コミュニティごとの人数は契約企業へ個別に伝えているとしています。

また本稿執筆時点で、マツダが今回の件で会員情報の漏えいを公表した発表は確認できていません。パナソニックについては、セキュリティ情報サイトの集計にカメラ「LUMIX」の利用者向けコミュニティなどが載っていますが、本稿では同社の発表文を確認できていないため、表には入れていません。社数や対象企業は、今後の公表で増える可能性があります。

漏えいは無かったと公表した組織もある

Communeを使っていても、すべてのサイトで情報が漏れたわけではありません。

ダイドードリンコの「dydoいっしょにラボ」、スタディストの「Teachme Compass」、東急不動産などの「ビジネスエアポート コミュニティサイト」は、漏えいは無い、または確認されていないと公表しています。登録しているサイトの名前が一覧に無い場合や、「漏えいなし」と出ている場合でも、運営会社の告知を一度見ておくと安心です。

なぜ1社への攻撃で多くの企業に広がったのか

多くの企業が同じクラウドサービスに会員情報を預けていたため、1か所の穴が全社の被害になりました。

企業が自社でサーバーを用意せず、外部のクラウドサービス（インターネット越しに借りる仕組み）でサイトを作るのは、費用と手間を抑えられるからです。一方で、会員情報の守りは委託先に任せることになります。今回は、利用者が「スズキのサイトに登録した」と思っていても、実際のデータはコミューン社のサーバーにあり、そこで共通の鍵が破られたことで、スズキにもヤマハにもLINEヤフーにも被害が及びました。ヤマハ発動機は、自社のシステムへの不正アクセスは確認されていないとわざわざ書いています。

日経は同じ10月14日、自治体の防災メールの運営会社への不正アクセスで111団体の情報が漏れた件も報じています。委託先1社への攻撃が、利用している多数の組織に影響した別の事例も、同じ日に報じられています。

（編集部分析）企業や自治体が利用者の個人情報を外部に預けるのは避けられない流れですが、預け先が1か所に集中するほど、1回の侵入で失われる情報の量は大きくなります。今回のように「全コミュニティ共通の鍵」が1つあれば、契約企業がどれだけ自社の守りを固めても防げません。委託する側は、委託先がどのような仕組みで顧客ごとの情報を分けているのかを、契約前に確かめる必要があると考えられます。利用者から見れば、登録したのはあくまで各社のサイトであり、委託先の不備であっても説明を求める相手は各社だという点も忘れてはならないでしょう。

利用者が確かめること・やること

まず自分が対象か運営会社の告知で確かめ、次に便乗した詐欺メールとパスワードの使い回しに備えます。

今回の件で、漏えいした情報が悪用された例は現時点で確認されていないと、コミューン社と各社は説明しています。ただし、メールアドレスや氏名が漏れた場合、それを使った「なりすましメール」が届くおそれがあります。次の3つを順に確かめてください。

自分が対象かどうかを確かめる方法

登録しているコミュニティサイトの運営会社の告知と、届いた個別の連絡を確かめるのが確実です。

ヤマハ発動機は、情報が漏えいした利用者には個別に連絡するとしています。ほかの各社も、自社サイトのお知らせ欄で経緯を公表しています。Communeを使ったサイトかどうかは、利用者からは見分けにくいため、上の一覧にある会社のファンサイトや交流サイトに登録した覚えがあれば、その会社の発表を確認してください。メール本文のリンクからではなく、自分で公式サイトを開いて確かめるのが安全です。

フィッシングメールに備える

漏えいを口実にしたメールやSMSが届いても、リンクを開かず、個人情報やパスワードを入力しないことが基本です。

LINEヤフーは、同社がメールやメッセージでパスワードや決済情報の入力を求めることはないと明記しています。ヤマハ発動機も、同社や関係者を装った詐欺に注意し、不審な連絡のリンクや添付ファイルを開かないよう呼びかけています。「お詫びの補償をします」「本人確認が必要です」といった文面は、典型的な便乗の手口です。

再ログインとパスワードの見直し

再開したCommuneのサイトは全員がログアウトされているため、再ログインが必要です。使い回しのパスワードは変えておきます。

コミューン社は、再開後のコミュニティでは全会員が一度ログアウトされた状態になっていると説明しています。パスワード自体の漏えいは確認されていないものの、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている人は、この機会に別々のものへ変えておくと、万一の被害の広がりを防げます。

確認の手順で迷いやすい点を、ここで2つ補足します。

次に、コミューン社と各社が今後どう対応するかを見ていきます。

コミューン社と各社の今後の対応

コミューン社は不備の修正と署名鍵の更新を済ませ、各社も利用者への個別連絡やサイトの停止、原因究明を進めています。

同社が挙げた対応は、攻撃に使われた不備の修正、ログイン用の署名鍵の更新、不正アクセスの経路の遮断と不正なIPアドレスの拒否、攻撃者のアカウントの退会と書き込みの削除の4つです。データは侵入の影響を除くため2026年10月6日18時時点まで巻き戻しており、投稿は復元の準備を進めています。ただし、それ以降のダイレクトメッセージや「いいね」などは元に戻せない見込みです。

各社は、コミューン社と連携して原因の究明と再発防止に取り組むとしています。LINEヤフーの「DS.LAB」のように、コミュニティ自体を止めたままのサイトもあります。人数や対象の会社は調査の進み方で変わる可能性があるため、続報が出しだい確認が必要です。

コミューン不正アクセスのよくある質問

スズキヴィレッジやDS.LABで漏れた項目、補償の有無について、各社の発表をもとに答えます。

新しい発表があれば、運営会社の公式サイトで最新の内容を確認してください。

参考情報

• コミューン株式会社「当社サービス『Commune』『Commune for Work』への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」（2026年10月9日）
• ヤマハ発動機「外部委託先への不正アクセスによるお客様情報漏えいの可能性について」（2026年10月12日）
• LINEヤフー「委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び」（2026年10月9日）
• スズキ ニュースリリース（2026年10月9日）
• ITmedia NEWS「ヤマハ・スズキも漏えいか 交流サイト基盤『コミューン』不正アクセス、計30万会員に影響の恐れ」（2026年10月9日）
• 日本経済新聞「不正アクセス、クラウドサービスが急所」（2026年10月14日）
• piyolog「コミューンの『Commune』への不正アクセスについてまとめてみた」