コミューン（Commune）への不正アクセスとは、企業の会員向け交流サイトを裏で動かしているクラウドサービスが10月5日から7日にかけて侵入され、約30万7000会員分の情報が漏れた可能性がある事件です。漏れたのは主に表示名や自己紹介、メールアドレスで、クレジットカード情報やパスワード、会員同士のダイレクトメッセージは対象外とされています。
ところが、これを使っていた会社が多かったために、ヤマハ発動機、スズキ、LINEヤフー、Sansan、パナソニックなど、名前を聞いたことのある企業の「お詫びとお知らせ」が連日ニュースに並びました。「自分も登録していたかも」「会社の話題にされそう」と気になっている方に向けて、何が起きたのか、どこまで広がったのか、私たちは何をすればいいのかを、10月13日朝までの公式発表と報道をもとにやさしく整理します。
コミューン不正アクセスとは？何が起きたのかをやさしく解説
コミューンは「ファンサイトの土台」を作る会社
コミューン株式会社（東京都品川区）は、企業が自社のファンやお客さん、社員向けに「オンラインのコミュニティ」を作るためのサービスを提供している会社です。主なサービスが「Commune」と、社内向けの「Commune for Work」です。
たとえるなら、各企業のファンクラブ会場を建てている「会場設営会社」のような存在です。会場の看板はヤマハやスズキといった企業ごとに違いますが、建物の中身（会員の登録情報や投稿を保管する仕組み）は、同じ会社のサービスの上で動いています。今回は、その会場設営会社のほうが狙われました。
いつ、何をされたのか
コミューンが10月9日に出したお知らせによると、時系列は次のとおりです。
| 日時 | 出来事 |
|---|---|
| 10月5日 午後6時ごろ | 不正アクセスが始まる（6日午後9時ごろまで続いた） |
| 10月6日 | コミューンが不正アクセスを検知。「Commune」「Commune for Work」で動くコミュニティを全部停止し、侵入経路の遮断や攻撃者のアカウント削除を実施 |
| 10月7日 午後 | メンテナンス中に残っていた経路を使い、再び不正な会員登録と閲覧が発生（同日中に遮断） |
| 10月8日 | 安全を確認できたコミュニティから順に再開 |
| 10月9日 | コミューンが漏えいの可能性を公表。利用企業も次々に発表 |
手口についてコミューンは、「非公開コミュニティーの招待リンクを不正に取得して一般会員として登録した他、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行った」と説明しています（ITmedia NEWSの報道）。合言葉を盗んで裏口から入り込み、さらに「管理人」になりすました、というイメージです。
漏れた可能性がある情報
コミューンの発表では、漏れた可能性があるのは約30万7000会員分です。内訳はこうなっています。
- サービス上の表示名や自己紹介などが約18万1000会員分
- メールアドレスが約12万6000会員分（うち約4万2000会員分は、コミューンの従業員やデモ用アカウントの情報）
- クレジットカード情報、会員間のダイレクトメッセージ、パスワードは対象外
- ただし144会員は、本人が操作していないのにパスワードが仮のものに変わっていた
また、システムは10月6日午後6時時点の状態に巻き戻されました。そのため、それ以降に書き込まれたダイレクトメッセージや「いいね」の記録は元に戻せない見込みだとコミューンは説明しています。
30万7000という数字は、あくまで「漏れた可能性がある人数の推計」です。実際に悪用された事実については、コミューンもヤマハ発動機も、現時点では確認されていないとしています。
どの会社に影響した？ヤマハ・スズキ・パナソニックなど一覧
コミューンのサービスで会員サイトを運営していた企業が、10月9日から12日にかけて、それぞれ影響を発表しました。報道や各社の発表で確認できたものを表にします。人数は、いずれも「漏れた可能性がある」数です。
| 企業・サイト | 人数の目安 | 主な情報 |
|---|---|---|
| ヤマハ発動機（YAMAHA PAS Life） | 約1,600人 | 氏名、生年月日、性別、住所、メールアドレス、会員ID、ニックネームなど |
| スズキ（スズキヴィレッジ） | 約3,000人 | メールアドレス、性別、居住地、年代、所有車名など |
| LINEヤフー（DS.INSIGHT内のDS.LAB） | 1,750人 | ニックネーム、氏名、メールアドレス、自己紹介、アイコンなど |
| Sansan（Sansan User Forum） | 1,325人（確認）＋8,687人（可能性） | メールアドレス、表示名、自己紹介、プロフィール画像、グループ所属 |
| パナソニック（LUMIXコミュニティ） | 約2,000人 | メールアドレスを含む会員情報 |
| パナソニック（ヘアサプ by Panasonic Beauty） | 約3,000人 | メールアドレスを含む会員情報 |
| ソフトブレーン（ユーザーコミュニティ） | 1,164人 | コミュニティの会員情報 |
このほか、湖池屋も顧客向け交流サイトが影響を受けた可能性があると報じられています。10月12日には、ヤマハ発動機が自社のサイトでも約1,600人分の情報が閲覧・取得された可能性があると正式に発表しました。同社は「当社のシステムへの不正アクセスは確認されていません」と説明しています。企業名が並ぶと「大企業が次々にやられた」ように見えますが、どの会社も自分のシステムではなく、預けていた先が破られた、という点が共通しています。
なお、Sansanは「Sansan」「Bill One」「Contract One」「Eight」といった自社の主力サービスへの影響はないと説明しています。コミュニティは、それらとは別の外部クラウドサービス上で動いていたためです。
なぜ話題に？「預けた先」が破られると連鎖する
同じ時期に、別の委託先でも事故が続いていた
今回のニュースがひときわ大きく見えるのは、同じ週に別の「預け先」での事故も重なったからです。10月6日には、FAQシステム「i-ask」を運営するスカラコミュニケーションズへの不正アクセスが発表されました。ITmedia NEWSによると、この件では大和証券、シチズン時計、損保ジャパン、オリックス生命などの利用企業が、相次いで影響を発表しています。
| 委託先 | 影響を公表した企業の例 | 件数の目安（各社発表） |
|---|---|---|
| スカラコミュニケーションズ（i-ask） | 大和証券 | 約11万名 |
| 同上 | シチズン時計 | 約10万名 |
| 同上 | 損保ジャパン | 約6万件（延べ・重複を含む） |
| 同上 | オリックス生命 | 約2万6,500件（延べ・重複を含む） |
| コミューン（Commune） | ヤマハ発動機、スズキ、パナソニックなど | 上の表のとおり |
件数の数え方は会社によって「人数」だったり「問い合わせの延べ件数」だったりするので、足し算はできません。表はあくまで、どの会社がどのくらいの規模で影響を受けたかの目安です。
「預け先」に任せるのは、ごく普通のこと
お問い合わせフォーム、会員サイト、アンケートなどを専門の会社のサービスに任せるのは、企業にとってごく当たり前のやり方です。自社で一から作るより安く、早く、機能もそろっているからです。便利な分、守りの強い大企業でも、預け先が弱ければそこから入られてしまいます。これは「サプライチェーン攻撃」と呼ばれる攻撃の形で、取引先や外部サービスの弱いところを足がかりにします。
個人にたとえるなら、自宅の鍵をしっかり替えても、合鍵を預けた先の管理が甘ければ意味がない、という話に近いでしょう。会員の側からすると、「その会社を信用して登録したつもりが、実際には見えないところで別の会社に預けられていた」ということになり、気づきにくいのが難しいところです。
国と専門機関が、3日連続で注意を呼びかけた
日本時事新聞によると、一連の漏えいを受けて、個人情報保護委員会が10月7日、JPCERTコーディネーションセンターが8日、内閣官房の国家サイバー統括室が9日に、それぞれ注意喚起を出しました。総務省も9日に、所管する事業者などへ同じ内容を伝えています。
3者に共通しているのは、次の3点です。
- ソフトウェアの弱点（脆弱性）への修正を後回しにしない
- パスワードに加えて別の手段でも本人確認をする「多要素認証」を入れる
- 業務を任せている委託先まで含めて対策をする。使わなくなったデータは消す
個人情報保護委員会は、事業者が守るべき安全管理の指針の見直しを2027年4月に確定させる予定で、今回はその中身を先に示した形です。「委託先を軽く見ていると、法律違反と判断される可能性がある」という趣旨の事例集も更新しました。
X上の反応と企業の説明：どう受け止められている？
コミューンの公式Xアカウント（@communecojp）では、10月13日朝の時点で、この件を伝える投稿を確認できませんでした。お詫びとお知らせは、コミューンの公式サイトの「お知らせ」に掲載されています。SNSには個人の感想や憶測も多く出回りますが、出どころが分からないものは、この記事では事実として扱いません。
各社の発表で目立つのは、「メールアドレスを使った、なりすましや詐欺メールに気をつけてほしい」という呼びかけです。パナソニックは「同社や関係者を装ったメールによる詐欺などに注意を」と呼びかけています。ヤマハ発動機も、不審なメールのリンクを開いたり、添付ファイルを開いたり、個人情報やパスワードを入力したりしないよう案内しています。
見方は分かれるところです。「クレジットカードが漏れていないなら、そこまで騒ぐことではない」という意見がある一方、「メールアドレスと、どの会社のファンかという情報がつながるだけで、巧妙な詐欺メールの材料になる」という心配もあります。後者の心配は、実際に企業側が注意喚起していることから、軽く見すぎないほうがよいでしょう。
私たちの生活への影響は？登録していた人は何をすべきか
まず、自分が対象かどうかを確かめる
漏れた可能性がある人には、各社が個別に連絡する方針です。ヤマハ発動機も「速やかに個別にご連絡する」としています。Sansanは「Sansan User Forum」の全会員にメールで通知したと発表しました。次のような心当たりがあれば、念のため受信箱を探してみてください。
- ヤマハ、スズキ、パナソニック（LUMIXやヘアサプ）、LINEヤフーなどの会員サイトやコミュニティに登録したことがある
- 受信箱に「不正アクセスに関するお詫びとお知らせ」といった件名のメールが届いている
- 登録した覚えのないコミュニティから、確認メールが来た
なお、自分が使っているサイトが影響を受けたかどうかは、各社の公式サイトの「お知らせ」で確認できます。メールのリンクから確認するのではなく、公式サイトを自分で開くのが安全です。
今日からできる対策は4つ
- 届いたメールのリンクは押さず、公式サイトを自分で開いて確認する。「パスワードが漏れた」「至急対応を」といった急がせる文面は、とくに疑う
- 同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使い回していないかを見直す。使い回していたら、順番に変える
- パスワードは、サービスごとに別のものにする。パスワード管理アプリを使うと覚える負担が減る
- 可能なら、主要なサービス（メール、通販、銀行など）で多要素認証（ワンタイムコードなど）を設定する
今回の件では、コミューンもヤマハ発動機も、パスワードは漏れていないとしています（ただし、コミューン側ではパスワードが勝手に仮のものへ変更された144会員がいます）。ですので、慌ててすべてのパスワードを変える必要はありません。ただ、「メールアドレスだけ」が漏れた状態でも、フィッシングメールは届きやすくなります。いまのうちに、使い回しや多要素認証を見直しておくのがおすすめです。
会社員なら、職場の「預け先」も気になるところ
今回は一般の会員サイトでしたが、会社でも、お客さん向けの問い合わせフォームや、社内のアンケート、顧客管理などを外部のサービスに預けていることが多いはずです。国の注意喚起は、「預け先の管理画面にも多要素認証を」「使わなくなったデータは消す」といった、会社として確認できることを挙げています。情報システム部門や総務の方は、一度どのサービスに何を預けているかを書き出してみるといいかもしれません。
雑談で使えるひと言ネタ3つ
会社のお昼や飲み会で、今回の話題が出たときに使えそうなひと言を、3つ用意しました。
ネタ1：30万人の漏えいは、会場設営会社が破られたせい
「ヤマハもスズキもパナソニックも、自分のシステムが破られたわけじゃないんだって。ファンサイトを作っている会社が破られて、それを使っていた企業が一斉にお知らせを出したらしいよ」。同じ会社の影響だと分かると、「大企業が次々に狙われた」という印象が少し変わります。
ネタ2：漏れたのはカードやパスワードではなく、メールアドレス中心
「怖いのはカード番号じゃなくて、詐欺メールのほうらしいよ。メールアドレスと『どの会社のファンか』が分かると、それっぽいメールが作りやすいんだって」。大きな数字に驚くだけでなく、実際に何が危ないのかを一言添えられます。
ネタ3：入り口は「招待リンク」だった
「侵入に使われたのは、非公開コミュニティの招待リンクで、それを取得して一般会員として登録したあと、管理者になりすましたって。鍵を壊したというより、招待状を拾って入った感じなんだね」。難しい話を、日常の例で言い換えるとスッと伝わります。
よくある質問
Q1. コミューンの不正アクセスで、パスワードは漏れましたか？
コミューンの発表では、パスワードは漏えい対象外とされています。ただし、144会員については、本人の操作なしにパスワードが仮のものに変更されていたとのことです。該当する人には、各社から個別に連絡が行く見込みです。
Q2. クレジットカード情報は漏れましたか？
コミューンもヤマハ発動機も、クレジットカード情報や決済情報は含まれていないと説明しています。パナソニックやスズキなど、各社の公式発表でもカード情報の漏えいには触れていません。
Q3. 自分が影響を受けたかどうかは、どうやって分かりますか？
漏れた可能性がある人には、各社が個別にメールなどで連絡する方針です。まずは受信箱（迷惑メールフォルダも）を探し、並行して、そのサービスの公式サイトの「お知らせ」を自分で開いて確認してください。
Q4. 詐欺メールが来たら、どうすればいいですか？
リンクを押したり、添付ファイルを開いたり、パスワードやカード番号を入力したりしないでください。不安なときは、公式サイトやアプリを自分で開いて確認するのが安全です。
Q5. このあと、新しい情報は出ますか？
コミューンは、詳しい調査と再発防止策の検討を進めるとしています。企業側も調査中なので、影響を受けた企業の数や人数が追加で発表される可能性があります。最新の状況は、各社のお知らせで確認してください。
まとめ：預けた先が破られる時代、私たちにできること
コミューンへの不正アクセスは、会員サイトを裏側で動かす会社が破られ、そのサービスを使っていた多くの企業の会員情報に影響が及んだ事件です。漏れた可能性があるのは約30万7000会員分で、中心は表示名・自己紹介・メールアドレスです。カード情報やパスワード、ダイレクトメッセージは対象外とされています。
私たちにできるのは、不審なメールのリンクを開かないこと、パスワードの使い回しを見直すこと、可能なら多要素認証を設定することです。今回の企業の発表はこれからも更新される見込みなので、登録していたサイトがある方は、公式サイトのお知らせをときどき確認してみてください。
参考ソース
- ITmedia NEWS：ヤマハ・スズキも漏えいか 交流サイト基盤「コミューン」不正アクセス、計30万会員に影響の恐れ（10月9日）
- ITmedia NEWS：「コミューン」不正アクセスでLINEヤフー、Sansan、パナソニックでも会員情報漏えいの可能性（10月10日）
- コミューン：【重要】当社サービス「Commune」、「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ（10月9日）
- ヤマハ発動機：外部委託先への不正アクセスによるお客様情報漏えいの可能性について（10月12日）
- FNNプライムオンライン：ヤマハ発動機でも個人情報漏えいか 1600人分の氏名や住所（10月12日）
- Sansan：オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ（10月9日）