企業向けコミュニティープラットフォーム「Commune」および社内向けサービス「Commune for Work」を運営するコミューン（東京都品川区）は2026年10月9日、第三者による不正アクセスを受け、約30万7000会員分の情報が漏えいした可能性があると発表した。サービスを利用するヤマハ、スズキなど複数企業も影響を公表している。
事案の詳細
コミューンによると、2026年10月5日夕方から不正アクセスを受け、10月6日に検知した。対象となったのは、同社の「Commune」および「Commune for Work」を利用して運営されていた複数のコミュニティーで、会員情報の一部が第三者に閲覧・取得された可能性がある。
漏えいの可能性がある情報には、会員ID、表示名・アカウント名、メールアドレス、プロフィール画像、その他のプロフィール設定情報などが含まれる。約30万7000会員分のうち、約12万6000人分にはメールアドレスが含まれていた。パスワードの流出は確認されていないが、144人についてはパスワードが仮パスワードに変更されていた。
ヤマハでは「ヤマハネットワークエンジニア会」の利用者1600人分について、メールアドレスやアカウント名などが漏えいした可能性がある。スズキではコミュニティーサイト「スズキヴィレッジ」の会員3000人分について、メールアドレス、性別、居住地、年代などが漏えいした可能性がある。
このほか、コミューンのサービスを利用するパナソニック、LINEヤフー、Sansanなども影響を公表している。パナソニックでは「LUMIXコミュニティ」の約2000人分と「ヘアサプ by Panasonic Beauty」の約3000人分について、メールアドレスを含む会員情報が漏えいしたと報告を受けた。侵入経路や全ての対象情報の確定状況など、詳細は現時点で調査中とされている。
【2026年10月13日追記】二輪車メーカーのヤマハ発動機（ヤマハ株式会社とは別法人）も10月12日、同社が運営する電動アシスト自転車のコミュニティサイト「PAS Life」でコミューン基盤経由の不正アクセスがあったと発表した。不正アクセスは10月6日19時18分頃から21時02分頃にかけて行われ、PAS Life登録者約1600名分の会員情報（氏名・生年月日・性別・住所・メールアドレス・会員ID・ニックネーム・自己紹介・所属グループ）が閲覧・取得された可能性がある。クレジットカード情報や決済情報は含まれていない。前述の「ヤマハネットワークエンジニア会」（楽器メーカーのヤマハ株式会社が運営）とは別法人・別コミュニティの事案であり、偶然にも対象人数がともに約1600名である点に注意されたい。
影響と背景
会員向けコミュニティーやサポートサイトの運営を外部プラットフォームに委託すると、基盤側で不正アクセスが発生した場合、複数の利用企業やサービスに影響が波及する。今回も、コミューンの共通基盤を介して、約30万7000会員分の情報が漏えいした可能性がある。
影響の内容や範囲は利用企業ごとに異なり、メールアドレス、アカウント名、性別、居住地、年代などのプロフィール情報が対象となった事例が確認されている。氏名、住所、決済情報、パスワードなどが一律に漏えいしたと確認されたわけではなく、サービスごとの対象範囲は各社の案内で確認する必要がある。
対策・今後の展望
コミューンは通信遮断などの対策を実施し、影響範囲や原因を調査している。利用企業は、自社が運営するコミュニティーの対象情報を確認し、該当する会員への個別連絡やサービス停止などを進める必要がある。
- 利用企業側：自社がCommuneまたはCommune for Workを利用しているかを確認し、対象となる会員情報、影響人数、漏えいの可能性がある項目を整理する。公式サイトや会員向けメールで、確認できた事実と調査中の事項を分けて案内する。
- 利用者側：登録している企業コミュニティーや会員サイトからの公式案内を確認する。パスワード流出は確認されていないが、同じパスワードを他サービスで使い回している場合は、念のため変更を検討する。
- 共通：不審なメールやリンク、本人確認を求める連絡に注意し、問い合わせは各企業が公表する窓口を利用する。被害範囲や侵入経路など、調査結果が更新された場合は最新の発表を確認する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、自社ではなく外部サービス側のアカウントや連携設定が起点となり、利用者情報の扱いが揺らぐケースが目立つ。診断でも「委託先任せで確認手順がない」「連絡網が整っていない」状態が未対策のまま残りがちだ。
【平易な解説】例えるなら、複数社が同じビルの受付システムを共有していて、その受付が不正に操作されると入館記録がまとめて影響を受けるようなものだ。つまり、自社のサイトが直接狙われていなくても、使っている基盤の出来事で会員対応が必要になるということだ。
【今週中にできること】まず自社で使っている会員向け基盤や委託サービスを棚卸しし、窓口担当と責任者を1人ずつ決めて連絡体制を整える。次に、会員への告知文面をひな形で用意し、掲出場所と承認手順を確認する。最後に、会員からの問い合わせを受ける部署へ、想定問答の準備を依頼しておく。