コミューン共通の署名鍵を奪われ、会員情報が漏えい

概要

• 企業や自治体がファンコミュニティやユーザー会を作るためのSaaS「Commune」が不正アクセスを受け、約30.7万人（推計）の会員情報が漏れた。
• 攻撃者は全コミュニティ共通のログイン用の署名鍵を入手して管理者になりすまし、会員一覧などを取得したとされる。コミューンは鍵を更新し、全コミュニティを10月6日18時時点のデータに巻き戻して順次再開している。
• 利用していたヤマハ、スズキ、LINEヤフー、Sansan、カルビー、湖池屋、青森県などが、それぞれのコミュニティの会員に影響を知らせている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

発表内容の整理

事実（コミューン、10月9日）

• 原因：攻撃者が同社システムの不備を突き、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行った。
• 対応：攻撃に使われた不備の修正、ログイン用の署名鍵の更新、不正アクセス経路の遮断と不正IPアドレスの拒否、攻撃者が作ったアカウントの退会処理と書き込みの除去。電気通信事業者として総務省へ報告する。
• データ：攻撃の影響を取り除くため、10月6日18時時点の状態に巻き戻した。投稿は巻き戻す前のデータから復元する準備中で、ダイレクトメッセージ、いいね・リアクション、新規登録は復元の対象外となる見込み。
• 会員へのお願い：全会員がいったんログアウトされた状態のため、再開後に再ログインする。仮パスワードに変更された144名は「パスワードを忘れた場合」から再設定する。

事実（ちとせグループ、10月9日）

• コミューンの調査により、攻撃者は同社が運営管理する全コミュニティ共通のログイン用の署名鍵を入手し、コミュニティの管理者になりすましていた。この経路は公開・非公開を問わず全てのコミュニティが対象となり得る。
• 攻撃は複数のIPアドレスから短時間に大量の操作を同時に行うもので、「AI等を用いて自動化された攻撃であったと推定されます」としている。
• コミューンからは、署名鍵の更新、攻撃者が作ったアカウントの退会処理、乗っ取られたアカウントの停止、10月6日18時00分時点への復元を実施したとの報告を受けた。

事実（契約企業・自治体の公表。piyolog集計、人数は各組織の公表値）

• 【2026-10-10追記】パナソニック（LUMIXコミュニティ／ヘアサプ by Panasonic Beauty）も10月9日、それぞれ約2,000名・約3,000名のメールアドレスを含む会員情報が漏えいしたとの報告を受けたと公表した（piyologの集計外、パナソニックの公表値）。
• 【2026-10-12追記】ヤマハ発動機（YAMAHA PAS Life）も10月12日、約1,600名分の会員情報が閲覧・取得された可能性を公表した。項目は氏名、生年月日、性別、住所、メールアドレス、会員ID、ニックネーム、自己紹介、所属グループで、住所や生年月日まで含む点で、メールアドレスや表示名が中心のコミュニティより項目が多い（ヤマハ発動機の公表値）。
• 【2026-10-14追記】ユニリタ（おしごと改革らぼ・最大1,169名）、セゾンテクノロジー（DMS Cube・最大約1,200名）、Hakuhodo DY ONE（DIGIFUL BASE・推定1,940名）が漏えいの可能性を追加公表した。freee（ソダテルコミュニティ）は漏えい・不正利用は確認されていないとしつつ停止を続けている。
• 【2026-10-15追記】マツダ（CLUB MAZDA COMMUNITY・最大4,103名）とMIXI（コトポータル・750名）も10月14日に公表した。マツダの対象には購買・利用状況履歴や趣味・嗜好・アンケート回答が、MIXIの対象にはゲーム内のフレンドIDなどのプロフィール項目が含まれる。
• このほか、ダイドードリンコは「dydoいっしょにラボ」で漏えいは発生していないとの報告を受けたと公表し、しずおか産業創造プラットフォームは利用停止のみを告知した。
• 漏えいした項目はコミュニティごとに異なり、メールアドレス、表示名、自己紹介、所属グループ、ポイントなどが中心。日本能率協会マネジメントセンターやウイングアーク1stなど、氏名・住所・会社名などを登録させていたコミュニティでは、それらも含まれる。

考察

コミューンの説明は「招待リンクの不正取得」と「管理者へのなりすまし」の二つを挙げ、ちとせグループの説明は後者の具体的な方法として「全コミュニティ共通のログイン用の署名鍵」を挙げている。署名鍵があれば、個々の管理者のパスワードや多要素認証に関係なく管理者としてログインした状態を作れるので、契約企業側でどれだけ管理者アカウントを厳重にしていても防げなかったと考えられる。コミューンが「契約企業の設定や運用に起因するものではない」と書いているのは、この点と整合する。

一方で、鍵をどうやって入手したかは書かれていない。ソースコードや設定ファイル、環境変数などに保存された鍵が、何らかの不備から外部に読み出せた可能性もあるが、本件で何が起きたかは公表されておらず、わからない。署名鍵の更新を再発防止策に挙げている以上、少なくとも鍵そのものが攻撃者の手元にあった前提で対応していると読める。

144名のパスワードが仮パスワードに変えられていた点は、管理者としての権限で会員のアカウントを操作できたことを示している。攻撃者に仮パスワードが渡った形跡はないとされるが、会員のアカウントを乗っ取ろうとした操作なのか、別の目的なのかは説明がない。

被害の大きさは、30.7万人という人数よりも、16以上の組織が同時に自らの顧客へ説明を迫られたところにある。利用者から見ると、ヤマハやスズキのコミュニティに登録したつもりでも、データは裏でコミューンという一つの基盤に預けられていた。10月の国内の事例では、IDCFクラウドや問い合わせ管理のスカラコミュニケーションズのように、一つの委託先・基盤が攻撃されて多数の企業が影響を公表する形が続いている。

【2026-10-12追記】ヤマハ発動機の公表で、同社のコミュニティへの不正アクセスが10月6日19時18分ごろから21時02分ごろまでだったことがわかった。コミューンが全コミュニティをメンテナンスモードに切り替えたのが同日21時ごろなので、少なくともヤマハ発動機のコミュニティでは、全体を止める直前まで攻撃者のアクセスが続いていたことになる（考察）。コミューンが10月9日に全体の公表をしてから3日たっても、新たな利用企業の公表が出てきている。コミューンは契約企業へ個別に案内するとしており、影響を受けたコミュニティの総数はまだわからない。

【2026-10-14追記】全体公表から約5日たっても、利用企業の個別公表が続いている。漏えいを確認した組織と、freeeのように「漏えいは確認されていない」としつつ基盤停止の影響だけを知らせる組織が並ぶ。コミューン側の約30.7万人という推計と、個別公表の合計は一致しないまま拡大している（考察）。

【2026-10-15追記】MIXIは原因を「コミューン社が提供するシステム上の複数の不備」と書いた。コミューン自身の発表は招待リンクの不正取得と管理者へのなりすましを挙げており、不備が一つではなかったことと整合する（考察）。マツダの対象に運営担当の自社従業員が含まれている点は、利用企業の担当者も同じ基盤上に管理者や会員として登録されていることを示しており、利用企業側でも担当者宛ての不審メールに備える必要がある（考察）。

【2026-10-20追記】カシオヒューマンシステムズの10月19日の続報からは、コミューンが利用企業に制限付きの再開を案内しながら、調査・対策はまだ途中だと伝えていることがわかる。影響が確認されていない利用企業でも、基盤側の調査が終わるまで再開を待つ判断が出ている（考察）。基盤の提供元が原因と恒久対策を示さない限り、利用企業は自社の顧客に安全だと説明する材料を持てない。

関係しそうな既知の手口

事実（既知の事例）

• 2023年、攻撃者Storm-0558は、使われていなかったMicrosoftの消費者向けアカウント（MSA）の署名鍵を入手して認証トークンを偽造し、2023年5月15日以降、政府機関を含む約25の組織の利用者のメール（OWA・Outlook.com）に不正アクセスした（Microsoftの分析）。

考察

• 共通の署名鍵による全テナントへのなりすまし：マルチテナントのSaaSで、全テナントのログインを一つの鍵で署名している場合、その鍵一つで全テナントの管理者になりすませる。テナントごとに鍵を分ける、鍵を専用の保管庫（HSMやKMS）から出さない、鍵の更新を定期的に行う、といった設計がこの影響を小さくする。本件の鍵の保管方法やトークンの形式は公表されていない。
• 招待リンクの推測・横取り：非公開コミュニティの招待リンクが推測しやすい値だったり、有効期限がなかったり、管理画面やAPIから他のコミュニティのリンクを読み出せたりすると、非公開の場に部外者が入れる。本件で招待リンクをどう取得したかは公表されていない。
• 短時間・大量の自動化された操作：ちとせグループは攻撃を「AI等を用いて自動化された攻撃」と推定している。JPCERT/CCは10月8日、国内組織で不正アクセスによる情報漏えいが相次いでいるとして注意喚起を出し、API経由の不正な操作の例として「ユーザー権限を変更する」「不正なアカウントを作成する」などを挙げている。本件の不正な会員登録や管理者へのなりすましと似ているが、同じ攻撃者や同じ手口によるものかはわからない。

利用者・運用者がいまできること

事実（発表に基づく）

• 登録しているコミュニティから案内が届いていないか確認する。コミューンは対象者に順次案内するとしている。
• 漏えいした情報を悪用したなりすましメールやフィッシングに注意する。コミューンがメールや電話でパスワードを尋ねることはない。
• 再開後は改めてログインする。仮パスワードに変えられた144名は、ログイン画面の「パスワードを忘れた場合」から再設定する。

考察（会員向け）

• コミュニティに登録したメールアドレス宛てに、そのコミュニティやブランド名を名乗るキャンペーン当選・ポイント失効などの連絡が来たら、メール内のリンクではなく公式サイトから確認する。表示名や所属グループも漏れているため、コミュニティ内のやり取りを踏まえた本物らしい文面が作られるおそれがある。
• Communeのパスワードをほかのサービスでも使っている場合は、念のためそちらも変更する（コミューンはパスワードの漏えいを確認していない）。

考察（SaaSを使ってコミュニティを運営する企業向け）

• 委託先のSaaSに預けている会員情報の項目を見直し、氏名・住所・電話番号など、コミュニティの運営に不要な項目は集めない。今回、氏名や住所を登録させていたコミュニティほど影響が重くなった。
• 委託先のSaaSで事故が起きたときに、どの会員の何が漏れたかを自社で特定できるか（会員一覧のエクスポートや監査ログを取得できるか）を確認しておく。

考察（SaaS事業者向け）

• ログイン用の署名鍵がテナント共通になっていないか、鍵がアプリケーションのコードや設定から読み出せる場所に置かれていないかを確認する。
• 署名鍵を緊急に更新する手順（全セッションの失効を含む）を用意しておく。コミューンは鍵の更新と全会員のログアウトで対処している。

参考リンク

1. 【重要】当社サービス「Commune」、「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ（コミューン、2026-10-09）
2. 【重要】当社が青森県より受託運営する青森県観光ファンコミュニティにおける個人情報漏えいの可能性についてのお詫びとお知らせ（コミューン、2026-10-08）
3. 【重要】コミュニティサイト「ちとせアカデミー」への不正アクセスによる個人情報流出可能性に関するお知らせとお詫び（速報）（ちとせグループ、2026-10-09）
4. 外部委託先への不正アクセスによるお客様情報漏えいについて（ヤマハ、2026-10-09）
5. 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ（スズキ、2026-10-09）
6. 委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び（LINEヤフー、2026-10-09）
7. オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ（Sansan、2026-10-09）
8. 青森県公式ファンコミュニティ「青森びいき」への不正アクセスが確認されました（青森県、2026-10-08）
9. コミューンの「Commune」への不正アクセスについてまとめてみた（piyolog、2026-10-10）
10. ヤマハ・スズキも漏えいか　交流サイト基盤「コミューン」不正アクセス、計30万会員に影響の恐れ（ITmedia NEWS、2026-10-09）
11. 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）
12. Analysis of Storm-0558 techniques for unauthorized email access（Microsoft、2023-07-14）
13. 外部委託先への不正アクセスによる当社コミュニティ会員情報の漏えいについて（パナソニック、2026-10-09）
14. 「コミューン」不正アクセスでLINEヤフー、Sansan、パナソニックでも会員情報漏えいの可能性（ITmedia NEWS、2026-10-10）
15. 外部委託先への不正アクセスによるお客様情報漏えいの可能性について（ヤマハ発動機、2026-10-12）
16. 当社コミュニティサービスサイト「CLUB MAZDA COMMUNITY」への不正アクセスに関するお知らせとお詫び（マツダ、2026-10-14）
17. 外部委託先への不正アクセスによる「コトダマン」公式コミュニティの一部会員情報漏えいに関するお知らせとお詫び（MIXI、2026-10-14）
18. 【続報】メンバーズサイト再開に向けた状況について（カシオヒューマンシステムズ、2026-10-19）

• 【お詫びとお知らせ】「ミキハウスパーク」の臨時メンテナンスについて（ミキハウス、2026-10-13）