30万人超の個人情報漏えい：コミューン不正アクセスの全貌

事件の概要：1社への攻撃が16組織・30万人超に波及

2026年10月、日本のサイバーセキュリティ史に残る規模のサプライチェーン型情報漏えい事件が発生した。企業向けコミュニティプラットフォーム「Commune」「Commune for Work」を提供するコミューン株式会社（東京都品川区）が外部からの不正アクセスを受け、推計約30万7,000人分の会員情報が漏えいした可能性が明らかになった。

単一プラットフォームへの攻撃が、そのサービスを利用する多数の大手企業・自治体に連鎖的な被害をもたらしたこの事案は、クラウドサービス依存が進む現代企業にとって「他人事ではない」重大な警鐘となっている。

不正アクセスの手口と発覚の経緯

コミューン社によると、今回の不正アクセスは2026年10月5日18時ごろから開始された。攻撃者はシステムの不備を悪用し、本来非公開であるコミュニティの招待リンクを不正に取得。一般会員として登録したうえで、管理者になりすまして会員情報の閲覧やデータの上書きを行ったとされている。

その後、同社が状況をメンテナンスモードに切り替えて調査・対策を進めたが、10月7日にはメンテナンス中に残っていた通信経路を悪用した不正な会員登録と閲覧が一部で発生し、同日14時58分に遮断したという。

漏えいが発生した時間帯は以下の2区間と確認されている。

第1波：10月5日18時ごろ〜10月6日21時ごろ
第2波：10月7日13時17分〜14時36分

漏えいした情報の種類と規模

コミューン社の発表によると、漏えいした（または漏えいした可能性がある）情報の内訳は以下のとおりだ。

メールアドレスを含む情報が漏えいした会員：約12万6,000人（うちコミューンの従業員・テスト用デモアカウントが合計約4万2,000人）
メールアドレスを含まない情報が漏えいした会員：約18万1,000人（表示名、自己紹介、非公開グループの所属等）
合計：推計約30万7,000人分

また、144名の会員のパスワードが本人の操作によらず仮パスワードに変更される事象も発生した。なお、パスワードそのものの漏えいや、会員間のダイレクトメッセージ・クレジットカード等の決済情報の漏えいは確認されていない。

漏えいした可能性がある情報の種類は、利用者のニックネーム、アカウント名、氏名、自己紹介、アイコン、所属グループ、メールアドレス、カスタムプロフィール項目、ポイント、最終アクティブ日時など多岐にわたる。

影響を受けた16組織の一覧

1社のプラットフォームへの攻撃が、多数の企業・自治体に連鎖したことがこの事件の最大の特徴だ。影響を公表した主な組織は以下のとおり。

LINEヤフー：事業者向けコミュニティ「DS.LAB」で1,750名の情報が閲覧された可能性（ニックネーム、アカウント名、氏名、メールアドレス等）
Sansan：「Sansan User Forum」で1,325名の漏えい確認・8,687名に漏えいの可能性（合計約1万人）。メールアドレス、アカウント名、自己紹介欄等が対象
パナソニック：「LUMIXコミュニティ」で約2,000人、「ヘアサプ by Panasonic Beauty」で約3,000人の計約5,000名についてメールアドレスを含む会員情報が漏えい
スズキ：自動車オーナー向けコミュニティで約3,000名に影響
ヤマハ：約1,600名の会員情報に影響
LIXIL：「すまいひろば」「猫壁ひろば」でニックネーム・メールアドレス等が漏えいの可能性
カルビー：絶品部「やめられない、とまらない」課の会員情報の一部が漏えい
ZENB JAPAN：897名（最大949名）の漏えいを確認
日本能率協会マネジメントセンター：2,950名の情報に影響
高知県「高知の知」：全会員358名の情報に影響
青森県観光ファンコミュニティ：個人情報漏えいの可能性を公表（10月8日）
その他：VALX、ウイングアーク1st、ちとせグループなど複数組織

なお、Sansanの「Sansan」「Bill One」「Contract One」「Eight」などの自社主要サービスへの影響はないとされている。

ビジネス視点：企業・経営者にとっての重大な意味

サプライチェーンリスクの顕在化

今回の事案が企業経営にとって特に深刻なのは、自社システムではなく委託先クラウドサービスへの攻撃が直接的な原因となっている点だ。利用企業側はセキュリティ対策を講じていたとしても、ツールを提供するSaaS事業者に脆弱性があれば被害を防ぎきれない。まさに「サプライチェーン攻撃」の典型的な事例といえる。

業務で使う外部サービスが攻撃を受けて漏えいにつながるケースは近年顕著に増加しており、今回はその象徴的な事件として業界全体に衝撃を与えた。

法的・レピュテーションリスク

個人情報保護法の改正（2022年施行）により、個人情報漏えい時の報告義務・本人通知義務は強化されている。Sansanなど複数の企業はすでに個人情報保護委員会への報告を行っており、コミューン側も各社の報告に必要な情報提供を進めている。不適切な対応は行政指導・課徴金の対象となりうるため、迅速かつ適切な初動対応がこれまで以上に求められる。

SaaS導入企業に求められるリスク管理の見直し

今回の事件を受け、企業は以下の点を緊急に見直す必要があると見られる。

利用中のSaaS・クラウドサービスのセキュリティポリシー・監査状況の確認
委託先事業者との契約における情報管理責任の明確化
万が一の際のインシデント対応計画（BCP）の整備
最小権限の原則に基づくアクセス権限設計の徹底

消費者・生活者への影響と取るべき行動

今回の漏えいで最も警戒すべき二次被害はフィッシング詐欺・なりすましメールだ。パナソニックをはじめ各社が「同社や関係者を装ったメールによる詐欺などに注意を呼び掛けている」ことからも、この点が大きなリスクとして認識されている。

現時点では、漏えいした情報が悪用された事実や具体的な二次被害は確認されていない。しかし、メールアドレスが漏えいした可能性のある利用者は十分な警戒が必要だ。

今すぐできる具体的な対策を以下に示す。

不審なメールのリンクは絶対にクリックしない：送信元が企業名になっていても、公式サイトで直接確認する
パスワードの変更：144名については既にパスワードが仮パスワードに書き換えられているが、該当する可能性があれば即座に変更を
多要素認証（MFA）の設定：対象サービスで利用可能な場合は必ず有効化する
公式発表の確認：各社の公式サイト・お知らせページを直接参照し、正確な情報を入手する

専門家・業界の見解

セキュリティ専門家の間では、今回の事案は「管理者権限を狙った攻撃」という観点から注目を集めている。攻撃者はシステムの不備を巧みに利用し、招待リンクを不正取得したうえで管理者になりすますという、高度に計画された手口を用いた。

国内企業への不正アクセスによる個人情報の漏えいは相次いでおり、同時期にはローソンでも約215万件の情報漏えいが報告されるなど、サイバー攻撃の被害は広範にわたっている。今後は、SaaSプラットフォームを提供する事業者側が、多層的なセキュリティ設計（招待リンクの有効期限設定・管理者操作の多要素認証必須化など）を徹底することが業界標準として求められるようになると見られる。

また、製品の種類別に見ると、Commune CRMとCommune Engageの契約企業は不正アクセスが試みられたものの情報漏えいは発生していないことが確認されており、Commune Voice・Commune Navigator・Commune DataHubの契約企業は現時点の調査では不正アクセスを受けていないとされている。被害範囲の詳細な調査は現在も継続中だ。

国際比較：世界で多発するSaaS起点のサプライチェーン攻撃

SaaS事業者を踏み台にした「サプライチェーン型サイバー攻撃」は、日本に限らず世界的な脅威となっている。2020年のSolarWinds事件では、IT管理ソフトウェアへの不正コード埋め込みにより、米国政府機関を含む約1万8,000組織が影響を受けた。また、2023年のMOVEitファイル転送ソフトウェアの脆弱性を悪用した攻撃では、世界で2,000以上の組織・数千万人規模の個人情報が流出した。

こうした国際的な事例と比較しても、今回のコミューン社への攻撃は「共有プラットフォームの管理権限を乗っ取ることで、複数の利用組織に同時に被害を与える」という点で非常に類似した構造を持つ。欧米ではGDPR（EU一般データ保護規則）などの厳格な規制のもとで多額の制裁金が科されるケースが増えており、日本においても今後の法規制強化の議論が加速する可能性がある。

今後の展望と注目ポイント

今回の事件を踏まえ、今後注目すべきポイントは以下のとおりだ。

個人情報保護委員会の調査・行政指導の有無：複数の企業がすでに報告を行っており、委員会の判断が今後のデータ保護基準に影響を与える可能性がある
二次被害（フィッシング・詐欺）の発生状況：メールアドレスを中心とする情報が流出しており、今後数か月にわたり悪用リスクが続く
コミューン社のサービス再開と再発防止策の内容：どのようなセキュリティ強化措置を実施するかが業界全体の基準策定に影響する
SaaS事業者に対するセキュリティ審査の義務化議論：今回の事案を契機に、企業がSaaSを導入する際の第三者セキュリティ監査の義務化を求める声が高まると見られる
被害組織による損害賠償・責任追及の動向：委託先の不備に起因する漏えいについて、契約上の責任がどう扱われるかが注目される

まとめ：この事件から学ぶ3つの教訓

🔴 委託先SaaSのリスクは自社リスク：「自社は何もしていないのに被害に遭う」時代が到来している。サプライチェーン全体のセキュリティ管理が経営課題となった
🟡 管理者権限・招待リンクの厳格管理が急務：今回は「管理者なりすまし」と「招待リンクの不正取得」が突破口となった。権限設計とアクセス制御の見直しが全企業で必要だ
🟢 消費者は「公式発表」の直接確認を習慣化する：フィッシング詐欺の被害を防ぐには、メールやSNSのリンクを踏まず、必ず企業の公式サイトで最新情報を確認することが最大の自衛策となる

参考情報

著者プロフィール

伊東雄歩（いとうゆうほ） / ゆぽゆぽ

株式会社ウォーカー代表取締役 / MENSA会員 / NLPマスタープラクティショナー

IQ130超のADHD経営者。「社会不適合」ゆえに会社員を2年で挫折し、フリーランスを経由せずいきなり起業。訴訟4回、2000万円の損失、役員の裏切り、オフショア開発の地獄を乗り越え10年生き残る。心理学・教育学に1000万円投資し、独自の「成長力学」を確立。現在は生成AI教育に注力し、「3年を2日に変える」AIプログラミング2Daysキャンプを全国展開中。AIフレンズコミュニティを運営。

夢は「世界征服」——世界の常識を変え、新しい価値観を提示すること。