コミューンのコミュニティサービス「Commune」「Commune for Work」への不正アクセス（推計約30.7万人の会員情報漏えい、契約企業・自治体の多数のコミュニティに波及）
公表日
企業や自治体のファンコミュニティなどに使われているサービス「Commune」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、推計約30.7万人の会員情報が漏えいしました。青森県やSansan、スズキなど多くの運営元が影響を公表しています。
対象者は？
「Commune」「Commune for Work」で作られたコミュニティの会員です。推計約30.7万人で、そのうちメールアドレスを含む情報が約12.6万人（コミューンの従業員とテスト用アカウント約4.2万人を含む）、メールアドレスを含まない情報（表示名・自己紹介・非公開グループの所属など）が約18.1万人です。コミュニティによっては氏名・会社名・役職・住所・電話番号が含まれます。パスワードそのものの漏えいは確認されておらず、決済情報はコミューンが持っていないため対象外です。
コミュニティごとの人数は、コミューンから各運営元の企業・自治体に伝えられ、運営元がそれぞれ公表・本人への連絡を行っています。参加しているコミュニティの運営元のお知らせを確認してください。
いますぐできること
- 参加しているコミュニティや運営元の企業を名乗るメールのリンクは開かず、ブックマークや公式サイトからアクセスする
- コミュニティに登録していたパスワードを他のサービスでも使っていれば、念のためそちらを変更する
- 自己紹介やプロフィールに書いていた内容を見直し、それを使った不審な連絡に気をつける
何が起きたのか
2026年10月5日の18時ごろから、外部の第三者がCommuneに不正にアクセスしました。犯人は非公開コミュニティの招待リンクを手に入れて一般会員として登録し、システムの不備を突いて管理者になりすまし、会員情報を見たり持ち出したり、データを書き換えたりしました。コミューンは10月6日に気づき、その夜21時ごろに全コミュニティを止めました。10月7日の午後にも、止めている間に残っていた通り道から不正な登録と閲覧があり、14時58分にふさがれました。
なぜ起きたのか・なぜ広がったのか
コミューンは原因を「当社システムの不備」とし、契約企業の設定や運用が原因ではないと説明しています。契約企業の一社が公表した内容によると、全コミュニティに共通するログイン用の「署名鍵」が犯人の手に渡っていました。多くの企業・自治体のコミュニティが同じ仕組みの上で動いていたため、別々のコミュニティの会員情報が一度に漏えいしました。招待リンクをどう手に入れたか、署名鍵がどう渡ったかは、まだ公表されていません。
いまの状況2026-10-09 時点続報待ち
不備の修正と署名鍵の作り直しを行い、10月8日の正午ごろから、再開を希望するコミュニティを順次再開しています。データは10月6日18時の状態に戻され、ダイレクトメッセージ・いいね・新規登録などは元に戻らない見込みで、全会員がログアウトされました。一部のコミュニティは再開日が決まっていません。原因の詳しい内容や影響を受けた組織の総数は、まだ発表されていません。
企業として考えたいこと
自社のお客様の情報を預けているクラウドサービスで事故が起きたとき、誰がお客様に連絡し、何を公表するかは決まっているでしょうか。
技術的な要約
コミュニティ構築SaaS「Commune」「Commune for Work」で、2026年10月5日18時ごろから外部の第三者による不正アクセスが行われ、コミューンは10月6日に検知して同日21時ごろ全コミュニティをメンテナンスモードに移行して停止した。攻撃者は非公開コミュニティの招待リンクを不正取得して一般会員として登録し、システムの不備を突いて管理者になりすまし、会員情報を閲覧・取得しデータを上書きした。契約企業の公表によれば、全コミュニティ共通のログイン用署名鍵が攻撃者に入手されていた。10月7日13時17分〜14時36分にもメンテナンス中に残っていた通信経路から不正登録・閲覧が行われ、14時58分に遮断された。コミューンは10月9日、推計約30.7万人（メールアドレスを含む情報約12.6万人、含まない情報約18.1万人）の漏えいを公表し、10月8日正午ごろから順次コミュニティを再開している。青森県、Sansan、スズキ、ヤマハ、LINEヤフー、カルビーなど多数の契約企業・自治体が個別に公表した。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認コミューンの説明（10/8告知・10/9公表）では『当社システムの不備を悪用した外部の第三者』が、非公開コミュニティの招待リンクを不正に取得して一般会員として登録し、管理者になりすまして会員情報の閲覧・取得とデータの上書きを行った。契約企業の設定・運用が原因ではないとしている。ちとせグループの公表（コミューンの調査報告に基づく）では、攻撃者が『全コミュニティ共通のログイン用署名鍵』を入手して管理者になりすましたとされ、複数IPから短時間に大量操作が行われたことから『AI等を用いて自動化された攻撃』と推定されている。招待リンクの取得方法、署名鍵が漏れた経路（鍵の露出か、署名検証の不備か）は非公表。
- 脆弱性
- CVE 非公表公表で確認Commune（自社開発SaaS）『当社システムの不備』（複数の不備とする報道もある）。全コミュニティ共通のログイン用署名鍵を攻撃者が入手し管理者なりすましに使用（ちとせグループ公表）。不備の具体的内容は非公表。コミューンは不備の修正と署名鍵の更新を実施
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 10/6 21時ごろ全コミュニティをメンテナンスモードに切り替えて停止。10/8 12時ごろから安全性を確認できた再開希望コミュニティを順次再開。データは10/6 18時時点に巻き戻され、ダイレクトメッセージ・いいね・リアクション・新規登録は復元対象外の見込み。全会員が強制ログアウト。Sansan User Forumは10/9時点で再開日未定、東急不動産系のビジネスエアポート コミュニティサイトは10/13再開予定、ダイドードリンコのdydoいっしょにラボは漏えいなしだが停止中と各社が公表期間：全体停止は10/6 21時ごろ〜10/8 12時ごろ（約39時間）。一部コミュニティは10/9時点でも停止継続
- データ
- 確定上限 307,000確定 307,000人メール氏名会員ID性別住所電話取引先情報その他（表示名・アカウント名・自己紹介・プロフィール画像・非公開グループの所属・ポイント・最終利用日時・年代・居住都道府県など）コミューン10/9公表の推計値（ログから算出、同一IDの重複と攻撃者作成アカウントを除く実人数、今後変動の可能性）。内訳はメールアドレスを含む情報が約12.6万人（うち同社従業員とテスト用デモアカウント約4.2万人）、メールアドレスを含まない情報（表示名、自己紹介、非公開グループの所属など）が約18.1万人。項目はコミュニティ・会員により異なり、氏名・企業名・役職（ウイングアーク1st、LINEヤフー、ちとせ等）、住所・電話番号（日本能率協会マネジメントセンター、piyolog整理）を含むコミュニティもある。144名のパスワードが本人の操作によらず仮パスワードに変更されたが、パスワード自体の漏えいは未確認（仮パスワードは失効済み）。DMの漏えいは未確認。決済情報は保有していない。Commune CRM / Commune Engage は不正アクセスの試行はあったが漏えいなし、Commune Voice / Navigator / DataHub は不正アクセス未確認。各契約企業の公表件数（Sansan 漏えい確認1,325名・おそれ8,687名、スズキ約3,000名、ヤマハ約1,600名、青森県最大2,950人など）は各社基準で、全体推計とは別集計のため合算しない
- 波及先
- —
- 青森県（青森びいき、最大2,950人）
- Sansan（Sansan User Forum、漏えい確認1,325名・おそれ8,687名）
- スズキ（スズキヴィレッジ、約3,000名）
- ヤマハ（ヤマハネットワークエンジニア会、約1,600名）
- VALX（VALX "FUN"コミュニティ、2,950名）
- 日本能率協会マネジメントセンター（時間〈とき〉ラボ、2,950名）
- LINEヤフー（DS.LAB、1,750名）
- 湖池屋（湖池屋GOGO!ランド、最大1,800件）
- ウイングアーク1st（nest Portal、約1,200名）
- ソフトブレーン（1,164名）、ユニファ（1,450名）
- ZENB JAPAN（897名確認・最大949名）、ちとせグループ（最大843名）、高知の知（358人）、森永乳業（291名）
- カルビー、LIXIL、バンダイナムコエクスペリエンス（件数非公表）
- ダイドードリンコ、東急不動産・ライフ＆ワークデザイン、しずおか産業創造プラットフォーム等（漏えいなし・サービス停止のみ）
- 金銭影響
- —
- サプライチェーン
- コミューンが提供するマルチテナント型SaaSの共通基盤（全コミュニティ共通のログイン用署名鍵を含む）が侵害され、同サービスでファンコミュニティ・ユーザー会を運営する多数の契約企業・自治体の会員情報が一斉に漏えいした。各契約企業は委託先経由の被害として個別に公表し、個人情報保護委員会への報告を行っている（Sansan等）。件数を公表した組織の集計はpiyolog（16組織）とセキュリティ対策Lab（19組織）で範囲が異なり、全体の影響組織数はコミューンから公表されていない。
時系列
- 2026-10-05 18:00
- 2026-10-06
- 2026-10-06 19:16
- 2026-10-06 21:00
- 2026-10-07
- 2026-10-07 13:17
- 2026-10-07 14:58
- 2026-10-08
- 2026-10-08 12:00
- 2026-10-09
技術解説
攻撃の構造：招待リンクと共通署名鍵による管理者なりすまし 事実
コミューンの説明によれば、攻撃者はまず非公開コミュニティの招待リンクを不正に取得して一般会員として登録し、その後システムの不備を突いて管理者になりすまし、会員一覧等を閲覧・取得し、データを上書きした。契約企業ちとせグループが公表したコミューンの調査速報では、攻撃者は『全コミュニティ共通のログイン用署名鍵』を入手しており、これを使えば公開・非公開を問わずどのコミュニティの管理者にもなりすませる状態だった。テナントごとに鍵を分けていなかったため、一つの鍵の漏えいが全テナント横断の被害に直結した。また144名のパスワードが本人の操作によらず仮パスワードへ変更されており、管理者権限での操作が行われたことを裏付ける。招待リンクの取得方法と、署名鍵が漏れた経路（設定ファイル等での露出か、署名検証の実装不備か）は公表されていない。
停止後も残った経路：封じ込めの不完全さ 事実
コミューンは10/6 21時ごろ全コミュニティをメンテナンスモードに移行したが、翌10/7 13時17分〜14時36分に『メンテナンス中に残っていた通信経路』から不正な会員登録と閲覧が再び行われ、14時58分にようやく遮断した。画面上のメンテナンス表示（フロントエンドの遮断）とAPI・登録エンドポイントの遮断が一致していなかったことを示す。さらにデータは10/6 18時時点へ巻き戻され、DM・いいね・新規登録は復元対象外とされた。攻撃者がデータを上書きしたことで、完全性の回復のために正当な利用者のデータまで失う結果になっている。
なぜ共通鍵が致命的だったか（推測） 解釈
マルチテナントSaaSのセッショントークン（JWT等）を全テナント共通の秘密鍵で署名し、トークン内のテナントIDや権限クレームをサーバ側が信頼する設計だった場合、鍵を得た攻撃者は任意のテナント・任意のロールのトークンを偽造できる。招待リンクで一般会員として正規のトークン形式を学習し、鍵を使って権限クレームを書き換えれば『一般会員から管理者へのなりすまし』という公表内容と整合する。複数IPから短時間に大量操作が行われたという説明も、偽造トークンでAPIを機械的に叩き全テナントを巡回した可能性を示唆する。ただし署名方式・鍵の保管場所・漏えい経路は公表されておらず、ここで述べた仕組みは推測である。
SaaS起点の情報漏えいと公表の分散 解釈
影響は10/8の青森県・VALX・ウイングアーク1stを皮切りに、10/9には大手を含む十数組織が個別に公表する形で広がった。各社の件数は『漏えい確認』『可能性』『最大』など基準がばらばらで、コミューン全体の推計約30.7万人とも別集計である。コミューン自身はコミュニティ別の人数を契約企業へ個別に案内するとしており、全体の影響組織数は公表していない。利用者から見ると、自分が参加するどのコミュニティが同じ基盤上にあったかは各社発表を追わないと分からない。一方、Sansanは自社の他サービス（Sansan、Bill One等）とは別クラウドで影響なしと明示しており、SaaSを外部委託している企業側がデータ境界を説明できるかが公表の質を左右した。
対応
- 封じ込め
- 10/6に通信遮断・防御措置、21時ごろ全コミュニティをメンテナンスモードで停止。10/7 14:58に残存経路を遮断。攻撃に使われた不備の修正、全コミュニティ共通のログイン用署名鍵の更新（認証情報の再発行）、不正IPアドレスからのアクセス拒否、攻撃者作成アカウントの退会処理と書き込み削除、乗っ取られたアカウントの停止、仮パスワードの失効、データを10/6 18時時点へ復元、全会員の強制ログアウト。社内検証コミュニティで安全性を確認後、10/8 12時ごろから順次再開。
- 公表の仕方
- 10/8に青森びいき向けのお詫びとお知らせ（青森県も同日発表）、10/9にコーポレートサイトで全体の『お詫びとお知らせ』を公表（推計約30.7万人、原因はプラットフォーム側の不備）。コミュニティ別人数は契約企業に個別案内し、各契約企業がそれぞれ公表・本人通知。
- 当局対応
- 青森県：10/6にコミューンから報告を受領し、原因・影響範囲の調査と再発防止を強く指示
- 総務省・個人情報保護委員会：コミューンが報告・届出を進めていると10/8告知で説明（10/9公表では総務省へ報告予定、契約企業の個人情報保護委員会報告に必要な情報を提供と報道）
- 個人情報保護委員会：Sansanが10/9に報告。ちとせグループも報告予定
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 全テナント共通の署名鍵が一つ漏れただけで全コミュニティの管理者になりすませた | セッショントークンの署名鍵をテナント単位（または鍵ID＋テナントIDの組合せ）で分離し、KMS/HSMに保管してアプリから鍵素材を取り出せないようにする。トークン検証時はクレーム内のテナントID・ロールをDBの権限と突き合わせ、トークンのロールを信用しない。kidローテーションを定期化し、鍵更新で全セッションを即時失効できる手順を用意 |
| 非公開コミュニティの招待リンクを取得されると一般会員として登録できた | 招待リンクは推測不能なトークン・有効期限・使用回数上限・招待先メールアドレス紐付けを必須にし、登録時に管理者承認またはメール所有確認を挟む。短時間の大量登録や同一IP/ASNからの複数登録をレート制限・アラート化 |
| メンテナンスモード中も通信経路が残り、翌日に再侵入された | 緊急停止はフロントのメンテナンス画面ではなく、ロードバランサ/WAF/APIゲートウェイ層で全エンドポイント（登録・認証・GraphQL・Webhook等）を遮断するキルスイッチとして実装し、停止後に外部から全APIのレスポンスを自動テストで確認する |
| 管理者権限での大量閲覧・データ上書きを即座に止められなかった | 管理者操作（会員一覧エクスポート、パスワードリセット、一括更新）に監査ログと閾値アラートを設け、複数IPからの短時間大量操作や通常と異なるテナント横断アクセスを自動でブロック。管理者ロールにはWebAuthn等のステップアップ認証を要求 |
| SaaSを利用する側（契約企業）が自社会員データの所在と境界を把握している必要がある | 外部SaaSの選定・契約時に、テナント分離方式、鍵管理、インシデント時の通知SLA（例：24時間以内）とテナント別影響件数の提供義務を確認・契約に明記し、会員データの最小化（必須項目の削減、不要プロフィール項目の廃止）を行う |
自組織などでの確認項目
- 自社のマルチテナントサービスで、署名鍵・APIキー・暗号鍵のうち全テナント共通のものはいくつあるか。それが漏えいした場合、どこまでのテナントにどんな権限でなりすませるか。
- インシデント時に『サービスを止める』とき、どの層で何を遮断すれば攻撃者の全経路が止まるか。画面のメンテナンス表示と実際のAPI遮断が一致していることをどう検証しているか。
- 自社がファンコミュニティやユーザー会を外部SaaSで運営している場合、委託先から漏えいの連絡が来た時点で、自社会員の件数・項目・本人連絡先をどれだけ早く把握できるか。
- データ上書きを伴う攻撃で、正当な利用者のデータ（投稿・DM）を失わずに巻き戻すには、どの粒度のバックアップや変更履歴が必要か。
未解明点
- 招待リンクを不正取得した方法と、全コミュニティ共通のログイン用署名鍵が攻撃者に渡った経路（鍵の露出か実装不備か）
- 不備の具体的内容（認可不備、署名検証の欠陥等）と、それが存在していた期間・過去の悪用の有無
- 影響を受けた契約企業・コミュニティの総数と、コミュニティ別の確定件数
- 攻撃者の正体・目的、漏えいデータの公開・販売の有無
- 10/5の攻撃開始から10/6の検知までの経緯（何を契機に検知したか）
- 総務省・個人情報保護委員会への報告内容と、行政対応の有無
出典
- 1コミューン2026-10-09公式未確認
- 2コミューン2026-10-08公式本文確認済
- 3青森県2026-10-08公式本文確認済
- 4Sansan2026-10-09公式本文確認済
- 5ちとせグループ2026-10-09公式本文確認済
- 6INTERNET Watch2026-10-09報道本文確認済
- 7piyolog2026-10-10研究者本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-10-09報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2026-10-10報道本文確認済
- 10スズキ2026-10-09公式未確認
- 11ヤマハ2026-10-09公式未確認