Commune不正アクセス共通基盤の被害と各社の影響範囲を分けて読む

資料で確認できること

約30.7万人の会員情報漏えいをプラットフォーム提供会社が公表

コミューンは2026年10月9日、10月5日18時ごろから6日にかけて「Commune」「Commune for Work」が不正アクセスを受け、一部コミュニティーで会員情報が漏えいしたと公表しました。10月6日21時ごろから全コミュニティーを停止し、7日にはメンテナンス中に残った通信経路を悪用した不正登録・閲覧も一部で発生したため、同日14時58分に遮断したと説明しています。

公表上の漏えい会員数は約30.7万人の推計です。約12.6万人はメールアドレスを含む情報、約18.1万人はメールアドレスを含まない表示名、自己紹介、非公開グループ所属などが対象とされています。144名は本人の操作によらず仮パスワードへ変更されましたが、パスワードそのものの漏えいは確認されていないとしています。

原因について同社は、非公開コミュニティーの招待リンクを不正に取得して一般会員として登録し、管理者になりすまして会員情報の閲覧・取得やデータ上書きを行ったと説明しました。これはコミューンの公表内容であり、JBJが攻撃経路を独立に再現・検証した結果ではありません。

• 資料 01コミューン株式会社：【重要】当社サービス『Commune』『Commune for Work』への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ

当事者の説明

利用企業の発表は、対象人数と影響しなかった範囲が異なる

LINEヤフーは、DS.INSIGHT内のコミュニティー機能「DS.LAB」の利用者1,750名について、氏名、メールアドレスなどが閲覧・取得された可能性があると公表しました。同社システムへの関連する不正アクセスは確認されていないとしています。

LIXILは「すまいひろば」「猫壁ひろば」を10月6日21時ごろから停止し、登録内容に応じてメールアドレスや自己紹介などが漏えいした可能性を公表しました。投稿本文、画像、ダイレクトメッセージ、パスワードの漏えいは確認されず、LIXILのその他のシステムへの関連する不正アクセスも確認されていないとしています。

Sansanは「Sansan User Forum」で、漏えいが確認された対象1,325名と、漏えいの可能性がある対象8,687名を分けて示しました。営業AXサービス「Sansan」、Bill One、Contract One、Eightなどのシステムや、それらで預かる情報への影響はないと説明しています。

ヤマハ発動機は10月12日、「YAMAHA PAS Life」の登録者約1,600名分について、氏名、生年月日、住所、メールアドレス、会員IDなどが閲覧・取得された可能性を公表しました。クレジットカード情報・決済情報は含まれず、ヤマハ発動機のシステムへの不正アクセスは確認されていないとしています。

• 資料 02LINEヤフー株式会社：委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び
• 資料 03株式会社LIXIL：LIXILが運営するコミュニティサービスにおける委託先サーバーへの不正アクセスに伴う個人情報漏えいについてのお詫びとご報告
• 資料 04Sansan株式会社：オンラインコミュニティー『Sansan User Forum』における会員情報漏えいに関するお詫びとお知らせ
• 資料 05ヤマハ発動機株式会社：外部委託先への不正アクセスによるお客様情報漏えいの可能性について

未確認の点

推計人数、個別会員の対象情報、二次被害は今後も更新確認が必要

コミューンの約30.7万人は記録から算出した推計値で、調査により変わる場合があるとされています。コミュニティーごとに対象情報が異なるため、全対象者に同じ項目が漏えいしたとは限りません。

10月13日の確認時点で、各社は漏えい情報の悪用や二次被害を確認していないとしています。ただし、将来の悪用が起きないことまで保証する説明ではありません。個々の会員がどの項目の対象か、全コミュニティーの再開時期、復元対象外となるデータの確定範囲も、公開資料だけでは一律に判断できません。

確認の範囲

このコラムの確認範囲

本稿は2026年10月10日に取得したコミューン、LINEヤフー、LIXIL、Sansanの10月9日付公表に、10月13日に確認したヤマハ発動機の10月12日付公表を追記したものです。JBJは各社のログ、個別会員の通知、攻撃者、流出データを独立に調査していません。掲載画像は共通基盤と複数組織の影響範囲を照合する姿勢を表した説明用イメージで、実際の会社・職員・システム・被害記録ではありません。

• 資料 01コミューン株式会社：【重要】当社サービス『Commune』『Commune for Work』への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
• 資料 02LINEヤフー株式会社：委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び
• 資料 03株式会社LIXIL：LIXILが運営するコミュニティサービスにおける委託先サーバーへの不正アクセスに伴う個人情報漏えいについてのお詫びとご報告
• 資料 04Sansan株式会社：オンラインコミュニティー『Sansan User Forum』における会員情報漏えいに関するお詫びとお知らせ
• 資料 05ヤマハ発動機株式会社：外部委託先への不正アクセスによるお客様情報漏えいの可能性について

JBJの見解

複数社の発表は、一つの共通基盤の事案につながっている

LINEヤフー、LIXIL、Sansanなどが10月9日に相次いで情報を公表しました。見出しだけを並べると、各社の主要システムがそれぞれ攻撃されたように受け取られかねません。各発表はいずれも、コミューン株式会社が提供する外部クラウドサービス「Commune」への不正アクセスを起点として説明しています。

被害の重大さを小さく見せる必要はありません。一方で、共通基盤で起きた事案、各企業が運営するコミュニティー、各社のその他のサービスを混ぜないことが、対象者の不安を具体的な確認と行動につなげます。

JBJの見解

会社名だけが拡散すると、主要サービス全体の被害に見えやすい

利用企業の社名と「情報漏えい」という言葉だけが切り取られると、各社の主要サービスや全顧客情報まで侵害されたような印象が広がります。一方で「委託先の問題」とだけ表現すると、委託元が負う利用者への説明や安全管理の確認が見えにくくなります。

今回の公表を読むときは、攻撃を受けたシステム、対象コミュニティー、漏えいが確認された範囲、漏えいの可能性がある範囲、影響が確認されていない別サービスを一つずつ対応させる必要があります。

JBJの見解

会員は公式通知と不審な連絡を分けて記録する

対象サービスに登録している場合は、利用しているコミュニティー名、登録メールアドレス、運営企業またはコミューンから届いた通知、受信日時、公式サイトの案内URLを保存してください。公開投稿に氏名、メールアドレス、通知本文の個別情報を載せる必要はありません。

公表後は便乗したフィッシングにも注意が必要です。メール内のリンクからではなく、公式サイトを自分で開いて案内を確認し、パスワードや決済情報の入力を求める連絡は送信元を確かめます。不審なメールやSMSは、URL、送信元、受信時刻を記録したうえで開かないでください。

• 資料 01コミューン株式会社：【重要】当社サービス『Commune』『Commune for Work』への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
• 資料 02LINEヤフー株式会社：委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び
• 資料 03株式会社LIXIL：LIXILが運営するコミュニティサービスにおける委託先サーバーへの不正アクセスに伴う個人情報漏えいについてのお詫びとご報告
• 資料 04Sansan株式会社：オンラインコミュニティー『Sansan User Forum』における会員情報漏えいに関するお詫びとお知らせ
• 資料 05ヤマハ発動機株式会社：外部委託先への不正アクセスによるお客様情報漏えいの可能性について

JBJの見解

責任と影響範囲を同時に示すことが、混乱を減らす

コミューンは自社システムの不備が悪用されたことを公表し、停止、経路遮断、署名鍵更新、アカウント除去などを説明しました。利用企業も、対象者への通知、サービス停止、管理監督の強化を示しています。これらの対応は、漏えいした事実や利用者が負う確認の手間を打ち消すものではありません。

JBJは、提供会社の責任を曖昧にせず、同時に各利用企業の全サービスへ根拠なく被害を広げないことが必要だと考えます。続報では、推計値の更新、再開条件、個別通知、二次被害の確認状況を追います。