概要

2026年10月5日18時ごろから不正アクセスが始まり、コミューンは10月6日に検知して通信を遮断した。同日21時ごろには全コミュニティをメンテナンスモードに切り替えて停止した。10月7日にはメンテナンス中に残っていた通信経路が悪用され、13時17分から14時36分にかけて再び漏えいが起き、14時58分に遮断した。漏えいした会員は約30.7万人（推計）で、内訳はメールアドレスを含む情報が約12.6万人（うち従業員とデモアカウントが約4.2万人）、メールアドレスを含まない情報が約18.1万人。原因はシステムの不備で、攻撃者は非公開コミュニティの招待リンクを不正に取得して会員登録したほか、共通のログイン用署名鍵を入手して管理者になりすまし、会員情報の閲覧・取得やデータの上書きを行った。ちとせグループによると、複数のIPアドレスから短時間に大量の操作を同時に行っており、AI等で自動化された攻撃と推定されている。144名はパスワードが本人の操作によらず仮パスワードに変更された。DMの漏えいや二次被害は確認されていない。データは10月6日18時時点の状態に巻き戻され、10月8日12時ごろから再開を希望したコミュニティが順次再開している。

経緯

経緯情報は未登録です。

原因

外部の第三者がコミューンのシステムの不備を突き、非公開コミュニティの招待リンクを不正に取得して一般会員として登録した。さらに全コミュニティ共通のログイン用署名鍵を入手して管理者になりすまし、会員情報の閲覧・取得やデータの上書きを行った。契約企業の設定や運用が原因ではないとされている。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

307,000

サービス停止

あり

金銭的被害

不明

対象システム

Commune、Commune for Work

漏洩した情報

• 確認済みメールアドレス
• 確認済み表示名・ニックネーム・アカウント名
• 確認済み自己紹介・プロフィール情報・アイコン
• 確認済み非公開グループの所属情報
• 確認済みポイント数・最終利用日時
• 確認済み氏名・住所・電話番号・生年月日など（一部コミュニティ）
• 不明パスワード

推計約30.7万人の会員情報が漏えいした。契約企業・自治体のうち、少なくとも21組織（青森県、VALX、ウイングアーク1st、ヤマハ、スズキ、湖池屋、森永乳業、LINEヤフー、Sansan、ヤマハ発動機など）が漏えいまたはその可能性を公表している。全コミュニティが一時停止し、144名のパスワードが仮パスワードに変更された。Commune CRMとCommune Engageでは不正アクセスの試みがあったが、漏えいは発生していない。

対応

不正な通信を遮断し、全コミュニティをメンテナンスモードで停止した。そのうえで不備の修正と署名鍵の更新を行い、データを巻き戻してから順次サービスを再開した。

• 攻撃に使われた不備の修正
• ログイン用署名鍵の更新
• 不正アクセス経路の遮断と不正IPアドレスからのアクセス拒否
• 攻撃者が作成したアカウントの退会処理と書き込みの除去
• データを2026年10月6日18時時点に巻き戻し
• 全会員の強制ログアウト
• 影響を受けた契約企業への個別案内

教訓・対策

• 複数テナントで共通の署名鍵を使うと、鍵が漏えいした際に全テナントへ影響が広がる
• メンテナンス中も残っている通信経路を確実に遮断する必要がある
• 招待リンクなど非公開コミュニティへのアクセス制御を堅牢にする必要がある
• SaaS利用企業は、委託先経由での情報漏えいリスクを想定しておく必要がある

参考資料

1. コミューンの「Commune」への不正アクセスについてまとめてみた
   piyolog公開日: 2026-10-10報道二次情報取得日: 2026-11-01
2. コミューンに不正アクセス、約30.7万人の会員情報が漏えい
   サイバーセキュリティ.com公開日: 不明報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

コミューン

関連するインシデント

関連付けられたインシデントはありません。