Communeの不正アクセス｜約30.7万人と利用企業への広がりと偽メールの見分け方 2026

コミュニティを作るためのサービス「Commune」「Commune for Work」を提供するコミューン株式会社は2026年10月9日、2026年10月5日から7日にかけて外部の第三者から不正アクセスを受け、一部のコミュニティで会員情報が漏えいしたと発表しました。漏えいした会員数は約30.7万人（推計）で、うちメールアドレスを含む情報が漏えいしたのは約12.6万人です。パスワードそのものとダイレクトメッセージの漏えいは確認されていません。Communeを使ったコミュニティに登録している人がまずすることは、再開したコミュニティに改めてログインすることと、ほかのサービスと同じパスワードを使っていれば別のものに変えること、そしてCommuneや利用企業を名乗るメールのリンクを開かないことです。

この記事では、2026年10月20日時点で公表されている内容を、コミューン株式会社と、Communeを利用していた企業の公式発表だけをもとに整理します。何が漏れて何が漏れていないのか、どの企業のコミュニティに影響が広がったのか、パスワードの変え方と再ログインの注意、偽メールの見分け方まで順に説明します。

発表の要点（2026年10月20日時点）

コミューン株式会社は、この件について2026年10月9日、13日、16日の3回、お知らせを出しています。10月9日の発表の要点は次のとおりです。

• 不正アクセスの期間：2026年10月5日18時ごろから10月6日21時ごろまで、および10月7日13時17分から14時36分まで
• 対象：Commune、Commune for Workを利用している一部の契約企業のコミュニティ
• 漏えいした会員数：約30.7万人（推計）
• うちメールアドレスを含む情報が漏えいした会員：約12.6万人（このうち同社の従業員とテスト用のデモアカウントが合計約4.2万人）
• メールアドレスを含まない情報（表示名、自己紹介、非公開グループの所属など）が漏えいした会員：約18.1万人
• 144名の会員は、本人の操作によらずパスワードが仮パスワードに変更された
• パスワードそのもの、会員間のダイレクトメッセージの漏えいは確認されていない
• クレジットカード等の決済情報は、同社では保持していない

人数は「推計」と明記されています。同じ会員IDの重複と、攻撃者が作ったアカウントを除いた実人数を記録から算出した値で、調査が進むと変わる場合があるとされています。

Commune CRMとCommune Engageについては、不正アクセスが試みられたものの情報漏えいは発生していないことを確認したとしています。Commune Voice、Commune Navigator、Commune DataHubは、現時点の調査では不正アクセスを受けていないとされています。

Communeとはどんなサービスか

Communeは、企業が自社の顧客や利用者、従業員と交流するためのオンラインのコミュニティを作り、運営するためのサービスです。コミューン株式会社は会社概要で、Communeを「コミュニティ構築・運営支援プラットフォーム」と説明し、大手企業をはじめとする多くの企業に提供しているとしています。名前のよく似た「Commune for Work」も、今回の不正アクセスの対象になったサービスです。

利用者から見ると、Communeのコミュニティは「企業の名前が付いたファンサイト」や「製品のユーザー向けの交流の場」に見えます。画面の隅にCommuneの表示があっても、登録した本人は「Sansanのコミュニティ」「マツダのコミュニティ」に入ったという感覚で、Communeというサービスに登録した意識は薄いはずです。そのため、今回のニュースを見ても、自分が関係するかどうかにすぐ気づけない人が多いと考えられます。

心当たりを探すときは、企業の製品やサービスの「ユーザーコミュニティ」「ファンコミュニティ」「会員コミュニティ」に登録したことがないかを振り返ります。登録したときの確認メールが残っていれば、本文やリンクのアドレスに「commune」の文字が入っていないかを見ると手がかりになります。

公表の経緯：不正アクセスから一部再開まで

コミューン株式会社の3回の発表を時系列に並べると、次のようになります。

日時	起きたこと・分かったこと
2026年10月5日18時ごろ	第三者による不正アクセスが始まる
2026年10月6日	同社が不正アクセスを検知し、通信の遮断と防御措置を実施。21時ごろから全コミュニティをメンテナンスモードに切り替え
2026年10月7日	メンテナンス中に残っていた通信経路を悪用した不正な会員登録と閲覧が一部で発生。14時58分に遮断
2026年10月8日12時ごろ	再開を希望したコミュニティから順次再開
2026年10月9日	不正アクセスと会員情報の漏えいを公表
2026年10月10日0時50分	流出したメールアドレスの悪用を防ぐため、臨時メンテナンスを開始（10月13日に公表）
2026年10月16日	安全性が確認できたコミュニティから、機能を一部制限して順次再開

10月9日の発表は、公表がこの日になった理由を、対策と安全性の確認、契約企業への個別の報告を優先したためと説明しています。

本件に係る対策および再発防止策の実施と安全性の確認、ご契約企業様への個別のご報告を優先して進めてまいりました。そのため、広く皆様への公表はこのタイミングとなりました。 出典: communeinc.com

10月13日の発表では、10月9日以降、新たな不正アクセスや情報漏えいは確認されていないとしたうえで、流出したメールアドレスが悪用されないよう対応と調査を続ける必要があるとして、臨時メンテナンスに入ったことを伝えています。悪影響の例としては、自動化ツールを使った連続的な投稿やコメント、第三者のメールアドレスを使ったパスワード再発行の試行が挙げられています。

漏れた項目と、漏れていないとされた項目

10月9日の発表に書かれた項目を、漏えいしたものと、漏えいが確認されていない、または対象外とされたものに分けると、次のようになります。

区分	項目	発表での書き方
漏えいした	メールアドレス	メールアドレスを含む情報が漏えいした会員は約12.6万人
漏えいした	表示名	メールアドレスを含まない情報の例として明記
漏えいした	自己紹介	同上
漏えいした	非公開グループの所属など	同上
漏えいは確認されていない	パスワードそのもの	144名は仮パスワードに変更されたが、パスワード自体の漏えいは確認されていない
漏えいは確認されていない	会員間のダイレクトメッセージ	漏えいは確認されていない
対象外	クレジットカード等の決済情報	同社では保持していない

大事な注意点があります。発表は、対象となる情報がコミュニティと会員によって異なると書いています。Communeは企業ごとにコミュニティを作れるサービスなので、プロフィールにどんな項目を設けるかもコミュニティによって違います。自分が登録していたコミュニティで、どの項目が漏えいしたのかは、そのコミュニティを運営する企業の発表で確かめる必要があります。

たとえば、利用企業の発表を見ると、プロフィール画像、ポイント、最終アクティブ日時、居住地（都道府県）、購買・利用状況の履歴、アンケートの回答といった項目が挙がっているものもあります。項目はコミュニティごとに大きく違うので、次の節で利用企業の発表を見ていきます。

利用企業への広がり：公式に発表した企業

Communeは多くの企業がファンコミュニティや利用者向けのコミュニティを作るのに使っているため、利用企業もそれぞれ発表を出しています。2026年10月20日時点で、公式の発表を確かめられた主なものは次のとおりです。

企業	コミュニティ	発表日	件数・範囲
Sansan株式会社	Sansan User Forum	2026年10月9日	漏えいが確認された1325名、漏えいの可能性がある8687名
LINEヤフー株式会社	DS.INSIGHTのコミュニティ機能「DS.LAB」	2026年10月9日	1,750名の情報が閲覧・取得された可能性
マツダ株式会社	CLUB MAZDA COMMUNITY	2026年10月14日	会員と運営担当の従業員を含む最大4,103名分が閲覧・取得された可能性
コミューン株式会社（青森県から受託）	観光ファンコミュニティ「青森びいき」	2026年10月8日	一部の会員情報が漏えいした可能性

各社の発表には、件数だけでなく項目の違いも表れています。Sansanの発表では、漏えいが確認された人はメールアドレス、アカウント名、自己紹介欄、プロフィール画像、グループの所属が対象で、漏えいの可能性がある人はメールアドレスを除く項目が対象です。LINEヤフーの発表では、ニックネーム、氏名、メールアドレス、カスタムプロフィール項目、ポイント、最終アクティブ日時なども挙がっています。マツダの発表では、性別、居住地（都道府県）、購買・利用状況の履歴、趣味・嗜好・アンケートの回答が含まれ、クレジットカード情報は含まれないとしています。

コミューン株式会社は、10月9日の発表で、本件は同社のシステムへの攻撃で起きたもので、契約企業の設定や運用に起因するものではないと明記しています。利用企業の発表も、そろって自社のシステムへの影響は確認されていないと書いています。たとえばSansanは、名刺管理の「Sansan」や名刺アプリ「Eight」などのシステムへの影響はないとしています。

件数を比べると、Sansanは漏えいが確認された人と可能性がある人を分けて示し、LINEヤフーとマツダは「閲覧・取得された可能性」として示しています。同じ事案でも、会社ごとに確かめられた範囲と書き方が違うので、件数だけを横に並べて大小を比べるより、自分が入っていたコミュニティの発表を読むことが大切です。

ここに挙げた以外の企業のコミュニティにも、影響が出ている可能性があります。コミューン株式会社は、コミュニティごとの人数は影響が確認された契約企業へ個別に案内するとしており、すべての利用企業が公表しているわけではありません。

原因：招待リンクの不正取得と、管理者のなりすまし

10月9日の発表は、原因を次のように説明しています。

外部の第三者が当社システムの不備を突き、不正アクセスを行ったことが判明しております。具体的には、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行いました。 出典: communeinc.com

非公開コミュニティとは、招待された人だけが入れるコミュニティのことです。本来は招待リンクを受け取った人しか登録できないはずのところに、攻撃者がリンクを不正に手に入れて入り込みました。さらに、コミュニティを運営する管理者になりすまし、会員の情報を見たり取得したり、データを書き換えたりしたとされています。

招待リンクは、受け取った人がメールやチャットで気軽に転送できるため、いったん外に出ると誰の手に渡ったか分からなくなりやすいものです。今回の不正取得の方法は公表されていませんが、自分がコミュニティの運営に関わっている場合は、招待リンクに有効期限を設ける、使い終わったリンクは無効にする、参加の申請を管理者が確認してから承認する、といった設定ができないかを確かめておくと安心です。

「不備」の具体的な中身は公表されていません。攻撃に使われた不備はすでに修正したとされているので、どんな穴だったかを推測するより、利用者としてできることに目を向けるほうが役に立ちます。

会社の対応

10月9日と10月16日の発表に書かれた対応を、まとめて並べます。

• 10月6日21時ごろから全コミュニティを停止
• 攻撃に使われた不備の修正
• ログイン用の署名鍵（ログインした状態を証明するための電子的な鍵）の更新
• 不正アクセスの経路の遮断と、不正なIPアドレスからのアクセスの拒否
• 攻撃者が作ったアカウントの退会処理と、攻撃者の書き込みの除去
• 電気通信事業者として総務省へ報告。契約企業による個人情報保護委員会への報告に必要な情報を提供
• 10月10日0時50分から臨時メンテナンス
• 管理者アカウントの二要素認証の必須化
• 大量のリクエストや自動化された攻撃を遮断するための、アクセス頻度の制御
• ログイン状態を保つ期限の短縮（最大30日以下）
• ダイレクトメッセージなど一部機能の一時的な制限

10月16日からの再開は、まずWebブラウザ版に限り、一部の機能を制限した形です。アプリ版の利用や、メールアドレスを使った新規登録などは、再開の時点では使えないとされています。発表には、会員へのお詫びの品や金銭の補償についての記載はありません。

再ログインとパスワードの変え方

この件の発表で、会員に向けて書かれているお願いは、再ログイン、パスワードの見直し、不審なメールへの注意の3つです。順に見ていきます。

再開したコミュニティに改めてログインする

安全のため、すべての会員がいったんログアウトされた状態になっています。自分が登録しているコミュニティが再開したら、改めてログインします。10月16日の時点では、再開はWebブラウザ版に限られているので、スマートフォンのアプリでログインできなくても故障ではありません。

ログインするときは、メールで届いたリンクではなく、コミュニティを運営する企業の公式サイトからたどるか、以前からブックマークしていたページを使います。

ほかのサービスと同じパスワードを使っていたら変える

10月16日の発表は、パスワードについて次のように呼びかけています。

推測されやすいパスワードや、他社サービスと同一のパスワードを設定されている場合は、安全のため推測されにくい別のパスワードへ変更していただきますようお願いいたします。 出典: communeinc.com

パスワードそのものの漏えいは確認されていませんが、メールアドレスが漏れた会員は、そのアドレスをログインIDとして、よくあるパスワードや別のところで漏れたパスワードを順番に試す攻撃の対象になり得ます。パスワードを使い回していなければ、この攻撃は1つのサービスで止まります。

変えるときの手順は次のとおりです。

1. まず、Communeに登録したメールアドレスのメールアカウントのパスワードを変える
2. Communeのコミュニティにログインし、設定画面からパスワードを変える
3. 同じパスワードを使っていたほかのサービスを洗い出し、1つずつ別のパスワードに変える
4. 二段階認証（パスワードのほかに確認コードなどを入力させる仕組み）が使えるサービスでは設定する

メールアカウントから始めるのは、メールを乗っ取られると、ほかのサービスのパスワード再設定のメールを受け取られてしまうためです。新しいパスワードは、ほかで使っていない長い文字列にします。覚えきれない場合は、パスワード管理アプリに保存しておくと、サービスごとに違うパスワードを無理なく使えます。

パスワードを忘れたときと、144名の会員

10月9日の発表では、仮パスワードに変更された144名は、再開後に「パスワードを忘れた場合」から再設定が必要とされていました。仮パスワードはすでに失効しており、攻撃者に仮パスワードが渡った形跡は確認されていないとしています。

一方で、10月16日の発表は、パスワードを忘れた場合の再設定（仮パスワードの発行）を現在停止していると書いています。144名に当たる人や、パスワードを忘れてしまった人は、すぐにログインできないことがあります。その場合は、コミュニティを運営する企業からの案内か、次に挙げるコミューン株式会社の問い合わせ窓口で確かめてください。

投稿とデータの巻き戻しについて

10月9日の発表によると、攻撃者による不正アクセスの影響を取り除くため、データは2026年10月6日18時時点の状態に巻き戻されています。投稿は巻き戻す前のデータから復元する準備を進めているとされ、その他のデータの復元の対象と時期は、契約企業に事前に知らせたうえで実施するとしています。

ダイレクトメッセージ、いいね・リアクション、新規登録は、復元の対象外となる見込みです。10月6日18時以降に投稿したものや、新しく登録したアカウントが見当たらなくても、それは今回の巻き戻しによるものと考えられます。仕事の連絡などをダイレクトメッセージでやり取りしていた人は、相手と別の手段で連絡を取り直しておくと安心です。

退会したいとき、使い続けるとき

今回の件をきっかけに、コミュニティを退会したいと考える人もいるはずです。コミューン株式会社の発表は、コミュニティに登録している人の問い合わせと退会の希望を、本件専用の窓口（[email protected]）で受け付けるとしています。コミュニティを運営する企業の画面から退会できる場合もあるので、まずは運営企業の案内を確かめます。

使い続ける場合は、再ログインしたついでに、プロフィールの内容を見直しておくと安心です。自己紹介に本名、勤め先、ほかのSNSのアカウントなどを書いていたなら、本当に載せておく必要があるかを考え、要らないものは削除します。プロフィール画像に顔写真を使っている人は、イラストやロゴに替えることもできます。

退会するにしても使い続けるにしても、すでに漏えいした情報が取り戻せるわけではありません。退会は今後の情報の預け先を減らすための手段で、今回漏れた情報への対策としては、偽メールへの注意とパスワードの見直しが中心になります。

偽メールとパスワード再発行メールへの注意

10月9日の発表は、漏えいした情報を悪用したなりすましメールやフィッシング詐欺が発生する可能性があるとして、不審なメールやSMSのURLを開かず、添付ファイルも開かずに削除するよう求めています。同時に、同社が電子メールや電話でパスワード等を尋ねることは一切ないと明記しています。

見分けるときのポイントは次のとおりです。

• パスワードや確認コードを聞いてきたら偽物：コミューン株式会社はパスワード等を尋ねないと明言している
• 急がせる言葉がないか：「本日中に再登録しないと退会になります」など
• 発表にない手続きを案内していないか：補償金の受け取り、アカウントの本人確認のための書類の提出など
• 差出人の表示を信用しない：表示名やアドレスは簡単に偽装できる

10月13日の発表にあるとおり、第三者のメールアドレスを使ったパスワード再発行の試行も想定されています。自分で手続きをしていないのに「パスワード再発行」のメールが届いても、慌てる必要はありません。発表は、仮にパスワード再発行が試行されても攻撃者に新しいパスワードが見られることはなく、不正ログインのリスクはないと説明しています。身に覚えのない再発行のメールは、リンクを開かずに削除して構いません。

Communeのコミュニティは企業ごとに運営されているので、偽メールは「Commune」ではなく、コミュニティを運営する企業の名前を名乗ってくることも考えられます。LINEヤフーやマツダの発表も、便乗した不審なメールへの注意を呼びかけています。届いたメールの内容が本当か気になったら、その企業の公式サイトのお知らせ欄に同じ案内が出ているかを確かめます。

SMS（携帯電話番号あてのショートメッセージ）や電話にも注意が要ります。コミューン株式会社の発表は、漏えいした項目に電話番号を挙げていませんが、偽のSMSや電話は漏えいとは関係なく無差別に届くものです。コミュニティの運営事務局を名乗って、電話でパスワードや確認コードを聞いてきたら、それだけで偽物と判断できます。同社は、電子メールや電話でパスワード等を尋ねることは一切ないと明言しているためです。

職場の同僚や家族が同じコミュニティに参加していることもあります。自分が気づいた注意点は、参加している知り合いにも伝えておくと、1人がだまされて被害が広がるのを防げます。

偽メールに何か入力してしまったときは、入力したパスワードを使っているすべてのサービスで、すぐにパスワードを変更します。お金の被害が出たときは、支払いに使った銀行やカード会社、最寄りの警察署に相談します。警察庁のフィッシング対策のページには、被害に遭ったときの相談先がまとめられています。

問い合わせ窓口

コミューン株式会社の発表に書かれた問い合わせ先は、次のとおりです。

• Communeを使ったコミュニティに登録している人の問い合わせや退会の希望：[email protected]（10月13日と16日の発表に記載。10月9日の発表では問い合わせフォームが案内されていた）
• 不正アクセス事案に関する問い合わせ：[email protected]（10月9日の発表に記載）
• 報道関係の問い合わせ：[email protected]

電話の窓口と受付時間は、発表には書かれていません。マツダの発表では、問い合わせ先としてコミューン株式会社の本件専用窓口（[email protected]）が案内され、メール本文に利用しているコミュニティ名とユーザー名を書くよう求めています。ほかのコミュニティの会員も、問い合わせるときはコミュニティ名と自分の表示名を書いておくと、話が早く進みます。

コミュニティを運営する企業が独自の窓口を設けている場合もあります。Sansanの場合は、Sansan Innovation Community運営事務局（[email protected]）が問い合わせ先です。自分が登録しているコミュニティの運営企業の発表を、まず確かめてください。

在宅で仕事をする人が気をつけること

仕事に関係するコミュニティに、本名や勤め先、仕事の実績を自己紹介に書いて参加している人は多いはずです。今回の件では、自己紹介や非公開グループの所属も漏えいした項目に含まれています。どの業界の、どんな非公開グループに入っていたかが知られると、「グループの運営事務局」を名乗る、もっともらしい偽メールが作られやすくなります。仕事用のアドレスで登録していたなら、取引先からの連絡と取り違えないよう、普段以上に注意しておきます。

もう1つ気をつけたいのは、企業からコミュニティの運営を任されている人です。在宅で、企業のファンコミュニティの管理者や運営スタッフを務めている人もいます。この場合、会員の情報を企業から預かって扱う立場にあり、事故が起きたときは、企業（委託元）に速やかに事実を伝えることが求められます。

個人情報保護委員会のガイドラインは、委託先が事故を知ったときの委託元への連絡について、次のように目安を示しています。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。 出典: ppc.go.jp

国への報告が必要になる場面は、本人の数が1,000人を超える場合や、不正アクセスなど不正な目的によるおそれがある場合などで、個人情報保護委員会の漏えい等の対応のページに要件が並んでいます。誰が報告し、誰が本人に知らせるかは、契約の内容で変わります。今回のように、ツールを提供する会社が契約企業に個別に報告している事案でも、運営を任されている立場で気づいたことがあれば、自分だけで判断せずに企業の担当者に伝え、次の動きを一緒に決めるのが安全です。

コミュニティの管理者を務めているなら、今回コミューン株式会社が管理者アカウントの二要素認証を必須にしたことも参考になります。管理者のアカウントは多くの会員情報を見られるため、ほかのサービスでも、管理者や運営者の権限を持つアカウントには、必ず二段階認証を設定しておきます。

運営者の視点：プロフィールに書く情報は最小限に

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの運営で見てきた限りでは、長く仕事が続く人ほど、オンラインで公開するプロフィールの書き方が慎重です。実績や得意分野はきちんと書く一方で、自宅の住所や個人の電話番号、家族のことなど、仕事に要らない情報は載せません。今回のように非公開のつもりの情報が外に出ることがあっても、書いていない情報は漏れようがありません。取引先が業務委託の相手を選ぶときも、情報の扱いが丁寧かどうかを見ています。直接取引には中間のマージンが乗らない分、受け手の手取りが厚くなる一方で、こうした丁寧さがそのまま信用になります。

情報セキュリティやコミュニティ運営の知識は、それ自体が仕事にもなります。企業のセキュリティ対策や社内ルールづくりを支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で、Webサービスやアプリを作る仕事の内容はアプリケーション開発のお仕事で紹介しています。取引先への報告文を書く力を示したい人には、ビジネス文書の作成能力を認定するビジネス文書検定が参考になります。

管理者のアカウントやチームのログインを守る方法を比べたい人は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が、偽メールに気づく力を付ける方法を知りたい人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが役に立ちます。自分のメールアドレスがほかの漏えいに含まれていないかを調べたいときは、Have I Been Pwnedの使い方で手順を説明しています。

よくある質問

Q. Communeの不正アクセスで、パスワードは漏れましたか？

コミューン株式会社の2026年10月9日の発表では、パスワードそのものの漏えいは確認されていません。ただし144名の会員は、本人の操作によらず仮パスワードに変更されました。仮パスワードは失効しており、攻撃者に渡った形跡は確認されていないとされています。

Q. 自分が登録しているコミュニティが対象かどうかは、どうすれば分かりますか？

コミューン株式会社は、対象となる会員に詳細の確認が取れ次第、順次案内するとしています。あわせて、コミュニティを運営する企業の公式サイトに発表が出ていないかを確かめてください。Sansan、LINEヤフー、マツダなどは、それぞれ自社の発表で件数と項目を公表しています。

Q. 身に覚えのないパスワード再発行のメールが届きました。どうすればよいですか？

コミューン株式会社の10月13日の発表では、第三者のメールアドレスを使ったパスワード再発行の試行が想定されるとしたうえで、試行されても攻撃者に新しいパスワードが見られることはなく、不正ログインのリスクはないと説明しています。リンクを開かずに削除して構いません。

Q. Communeの件の問い合わせ先はどこですか？

コミュニティに登録している人の問い合わせや退会の希望は、[email protected] が案内されています。不正アクセス事案に関する問い合わせは [email protected] です。コミュニティを運営する企業が独自の窓口を設けている場合もあるので、その企業の発表もあわせて確かめてください。