Sansanの情報漏洩｜Sansan User Forumの約1万名と偽メールの見分け方 2026

Sansan株式会社は2026年10月9日、ユーザー向けのオンラインコミュニティ「Sansan User Forum」が使っている外部のクラウドサービス「Commune」で第三者による不正アクセスが起き、会員の個人情報の一部が漏えいしたと発表しました。漏えいが確認されたのは1325名、漏えいの可能性があるのは8687名で、合わせて約1万名です。パスワードは含まれておらず、営業AXサービス「Sansan」や名刺アプリ「Eight」などのシステムへの影響はないとしています。会員がまずすることは、Sansanから個別に届いた案内を確かめることと、ほかのサービスと同じパスワードを使っていれば変えること、Sansanを名乗る不審なメールのリンクを開かないことです。

この記事では、2026年10月20日時点で公表されている内容を、Sansan株式会社と、Communeを提供するコミューン株式会社の公式発表だけをもとに整理します。何が漏れて何が漏れていないのか、自分が対象かの確かめ方、パスワードの見直し方、偽メールへの注意、問い合わせ先まで順に説明します。

発表の要点（2026年10月20日時点）

Sansan株式会社の発表の要点は次のとおりです。

• 発表日：2026年10月9日
• 対象：ユーザー向けオンラインコミュニティ「Sansan User Forum」の一部の会員情報
• 原因：コミュニティが使っている外部クラウドサービス「Commune」への第三者による不正アクセス
• 漏えいが確認された人数：1325名
• 漏えいの可能性がある人数：8687名
• パスワード：含まれていない
• Sansan、Bill One、Contract One、Eightなどのシステムと、各サービスで預かっている情報：影響はない
• 会員への案内：対象者には10月9日に個別の案内を実施済み。全会員にも不正アクセスが発生した旨をメールで通知

発表の冒頭には、次のように書かれています。

このたび、当社が運営するユーザー向けオンラインコミュニティー「Sansan User Forum」が利用している外部クラウドサービス「Commune」において、第三者による不正アクセスが発生し、本コミュニティーに登録されている会員の個人情報の一部が漏えいしたことが判明しました。対象の皆さまには、本日10月9日、個別のご案内を実施済みです。 出典: jp.corp-sansan.com

人数は、コミューン株式会社の調査による報告をもとにした、2026年10月9日時点の情報とされています。Sansan株式会社のニュースの一覧を2026年10月20日に確かめたところ、この件の続報は掲載されていませんでした。

Sansan User Forumとはどんな場か

Sansan User Forumは、Sansan株式会社が運営する、ユーザー向けのオンラインコミュニティと発表で説明されています。問い合わせ先も、製品のサポート窓口ではなく「Sansan Innovation Community運営事務局」となっており、製品そのものとは別に運営されている場であることが分かります。

大事なのは、このコミュニティが、Sansanの製品とは別の仕組みの上で動いていたという点です。発表は次のように説明しています。

• 本コミュニティは、当社の各サービスとは独立した外部クラウドサービス上で運営されている
• 営業AXサービス「Sansan」、経理AXサービス「Bill One」、契約AXサービス「Contract One」、名刺アプリ「Eight」などのシステムと、各サービスで預かっている情報への影響はない

つまり、会社でSansanに登録している名刺のデータや、Eightに取り込んだ名刺の情報が漏れたという話ではありません。今回の件で漏えいしたのは、Sansan User Forumに会員として登録したときの情報です。ここを取り違えて、「名刺データが漏れた」と社内や取引先に伝えてしまわないよう注意します。

公表の経緯：Communeの不正アクセスとSansanの対応

Sansan株式会社の発表と、Communeを提供するコミューン株式会社の発表を時系列に並べると、次のようになります。

日付	発表した会社	起きたこと・分かったこと
2026年10月5日18時ごろ	コミューン株式会社	Communeへの第三者による不正アクセスが始まる
2026年10月6日	Sansan株式会社	コミューン社から不正アクセスを受けたと報告を受ける。コミューン社がSansan User Forumのサービスを停止
2026年10月7日	Sansan株式会社	コミューン社から調査結果の報告（速報）を受領
2026年10月9日	Sansan株式会社	個人情報保護委員会に報告。全会員にメールで通知し、対象者に個別に案内。発表を公開
2026年10月9日	コミューン株式会社	約30.7万人（推計）の会員情報の漏えいを公表
2026年10月13日	コミューン株式会社	流出したメールアドレスの悪用を防ぐため、10月10日から臨時メンテナンス中と公表
2026年10月16日	コミューン株式会社	安全性が確認できたコミュニティから、機能を一部制限して順次再開

Sansan株式会社の発表は、コミュニティを「一時的にサービスを停止しており」と書き、再開や新たな事実が判明した場合は、ウェブサイトへの掲載と対象者への個別の連絡で知らせるとしています。2026年10月20日時点で、Sansan User Forumの再開についての発表は確認できませんでした。

漏れた項目と、含まれないとされた項目

Sansan株式会社の発表は、漏えいが確認された人と、漏えいの可能性がある人で、対象の項目を分けて書いています。

項目	漏えいが確認された1325名	漏えいの可能性がある8687名
メールアドレス	対象	対象外
アカウント名（表示名）	対象	対象
自己紹介欄の記載内容	対象	対象
プロフィール画像	対象	対象
コミュニティ内のグループ所属情報	対象	対象
パスワード	含まれない	含まれない

漏えいの可能性がある8687名については、メールアドレスが対象から外れています。つまり、メールアドレスが漏えいしたのは1325名で、8687名は表示名や自己紹介、プロフィール画像、グループの所属が漏えいした可能性がある、という区分です。

この区分は、自分がどちらに当たるかで、取るべき対策の重さが変わることを意味します。メールアドレスが漏えいした1325名は、そのアドレスに偽メールが届く可能性を前提に行動する必要があります。8687名は、メールアドレスは対象外とされていますが、自己紹介に書いていた内容によっては、勤め先や担当業務が知られた可能性を考えておきます。

発表には、クレジットカードなどの決済情報について個別の記載はありません。コミューン株式会社は、クレジットカード等の決済情報を同社では保持していないと発表しています。

「漏えいが確認」と「漏えいの可能性」の違い

Sansan株式会社の発表は、1325名を「漏えいが確認された対象人数」、8687名を「漏えいの可能性がある対象人数」と書き分けています。

漏えいが確認されたとは、調査の記録から、その人の情報が第三者に取得されたことが分かったという意味です。漏えいの可能性があるとは、取得されたと確かめられたわけではないものの、第三者が見られる状態にあったなどの理由で、可能性を否定できないという意味です。どちらも、会社が個別に案内する対象になっています。

どちらに当たる場合でも、偽メールへの注意とパスワードの見直しという基本の対策は同じです。違いは、メールアドレスが漏えいした1325名のほうが、自分のアドレスあてにSansanを名乗る偽メールが届く可能性を、より具体的に考えておく必要があるという点です。8687名に当たる人も、Sansan株式会社の発表がメールアドレスを対象外としているのは2026年10月9日時点の調査に基づく区分なので、新しい発表が出ていないかをときどき確かめておきます。

原因：Communeのシステムの不備を突いた攻撃

Sansan株式会社の発表は、本件はコミューン社のシステムに対する攻撃により発生したものだと説明しています。攻撃の中身は、コミューン株式会社の発表に詳しく書かれています。

外部の第三者が当社システムの不備を突き、不正アクセスを行ったことが判明しております。具体的には、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行いました。 出典: communeinc.com

コミューン株式会社は、本件は同社システムへの攻撃により発生したもので、契約企業の設定や運用に起因するものではないとしています。Communeは多くの企業がコミュニティづくりに使っているサービスで、Sansan User Forumのほかにも、LINEヤフー株式会社のDS.LABや、マツダ株式会社のCLUB MAZDA COMMUNITYなど、利用企業がそれぞれ発表を出しています。コミューン株式会社の発表では、漏えいした会員数は全体で約30.7万人（推計）とされています。

Communeを使っていたほかの企業の発表

同じCommuneの不正アクセスについては、ほかの利用企業も発表を出しています。2026年10月20日時点で、公式の発表を確かめられた主なものは次のとおりです。

企業	コミュニティ	発表日	件数
Sansan株式会社	Sansan User Forum	2026年10月9日	漏えいが確認された1325名、漏えいの可能性がある8687名
LINEヤフー株式会社	DS.INSIGHTのコミュニティ機能「DS.LAB」	2026年10月9日	1,750名の情報が閲覧・取得された可能性
マツダ株式会社	CLUB MAZDA COMMUNITY	2026年10月14日	会員と運営担当の従業員を含む最大4,103名分が閲覧・取得された可能性

複数のコミュニティに参加している人は、それぞれの企業の発表を個別に確かめる必要があります。漏えいした項目は企業ごとに違い、たとえばLINEヤフーの発表には氏名やポイント、マツダの発表には居住地（都道府県）や購買・利用状況の履歴が挙がっています。Sansan User Forumの発表で「パスワードは含まれていません」とされていても、別のコミュニティでは項目が違う、ということがあり得ます。

会社の対応

Sansan株式会社の発表に書かれた対応は、次のとおりです。

• 10月6日：コミューン社によるSansan User Forumのサービス停止
• 10月7日：コミューン社から調査結果の報告（速報）を受領
• 10月9日：個人情報保護委員会に報告
• 10月9日：Sansan User Forumの全会員に、不正アクセスが発生した旨をメールで通知
• 10月9日：漏えいが確認された人と、漏えいの可能性がある人に、登録のメールアドレスあてに個別の案内を実施

個人情報保護委員会への報告は、Sansan株式会社がコミュニティを運営する事業者として行ったものです。ツールを提供するコミューン株式会社は、契約企業による個人情報保護委員会への報告に必要な情報を提供していると発表しています。Sansan User Forumの場合、国への報告と会員への個別の案内は、Sansan株式会社が自ら行っています。

今後については、コミューン社での再発防止に加え、Sansan株式会社による管理監督を徹底するとしています。管理監督とは、業務を任せた先が情報を適切に扱っているかを、任せた側が確かめ、必要なら改めさせることです。発表には、お詫びの品や金銭の補償についての記載はありません。

自分が対象かを確かめる方法

Sansan株式会社は、対象者に10月9日、登録のメールアドレスあてに個別の案内を送ったとしています。次の順で確かめると、自分が対象かどうかが分かります。

1. Sansan User Forumに会員登録した覚えがあるか振り返る
2. 登録したメールアドレスの受信箱で、2026年10月9日ごろに届いたSansanからのメールを探す
3. 迷惑メールのフォルダも確かめる
4. 全会員あての「不正アクセスが発生した」という通知と、対象者あての個別の案内の、どちらが届いているかを見る

全会員あての通知だけが届いていて、個別の案内が届いていないなら、漏えいの対象ではない可能性があります。ただし、会社が「個別の案内が届いていない人は対象外」と明言しているわけではありません。判断に迷ったら、後で挙げる問い合わせ窓口で確かめるのが確実です。

届いたメールが本物かどうか気になるときは、メールのリンクを開かずに、Sansan株式会社の公式サイトのニュースから2026年10月9日の発表を開き、内容が一致しているかを確かめます。

パスワードの見直し方

Sansan株式会社の発表では、パスワードは漏えいした情報に含まれていません。それでも、メールアドレスが漏えいした1325名は、そのアドレスをログインIDとして、よく使われるパスワードや、ほかで漏れたパスワードを試す攻撃の対象になり得ます。パスワードを使い回しているなら、この機会に見直しておきます。

コミューン株式会社も、2026年10月16日の発表で次のように呼びかけています。

推測されやすいパスワードや、他社サービスと同一のパスワードを設定されている場合は、安全のため推測されにくい別のパスワードへ変更していただきますようお願いいたします。 出典: communeinc.com

見直しの手順は次のとおりです。

1. Sansan User Forumに登録したメールアドレスのメールアカウントのパスワードを変える
2. Sansan User Forumと同じパスワードを使っていたサービスを洗い出す
3. 仕事で使うサービス（会社のSansanやBill Oneのアカウント、Eight、クラウドストレージなど）を優先して、1つずつ別のパスワードに変える
4. 二段階認証（パスワードのほかに確認コードなどを入力させる仕組み）が使えるサービスでは設定する

メールアカウントから始めるのは、メールを乗っ取られると、ほかのサービスのパスワード再設定のメールを受け取られてしまうためです。会社で使っているSansanやBill Oneのアカウントのパスワードを変えるときは、勤め先の情報システムの担当者が決めた手順やルールに従ってください。

Sansan User Forumそのものは、2026年10月20日時点で再開の発表が確認できていません。コミューン株式会社の発表によれば、Communeのコミュニティは再開後に改めてログインが必要で、10月16日の時点ではパスワードを忘れた場合の再設定（仮パスワードの発行）は停止されています。Sansan User Forumの再開の案内が届いたら、その案内に従ってログインし、必要ならパスワードを変更します。

自己紹介やプロフィール画像が漏れた場合に考えること

今回の件では、1325名と8687名のどちらでも、アカウント名（表示名）、自己紹介欄の記載内容、プロフィール画像、グループの所属が対象の項目に入っています。メールアドレスやパスワードに比べると軽く見えがちですが、書いていた内容によっては注意が要ります。

まず、自分が自己紹介に何を書いていたかを思い出します。勤め先の会社名、部署、役職、担当している業務、使っている製品の導入の状況などを書いていたなら、それが外に出た可能性があります。こうした情報は、勤め先や取引先を名乗る偽メールの材料になり得ます。「〇〇部の△△様、先日の導入の件で」といった、自分のことを知っているかのような文面のメールが届いたら、本文の情報が正しくても、それだけで本物と判断しないようにします。

プロフィール画像に顔写真を使っていた人は、その写真がSNSのなりすましアカウントに使われる可能性も頭に入れておきます。不安なときは、自分の名前でSNSを検索し、自分になりすましたアカウントが作られていないかを確かめます。見つけた場合は、各SNSのなりすましの報告の窓口から報告できます。

グループの所属は、どの業界や職種のグループに入っていたかを示す情報です。単独では大きな被害につながりにくいものの、自己紹介と組み合わさると、その人の仕事の内容をかなり具体的に推測できるようになります。コミュニティが再開したら、プロフィールの内容を見直し、仕事に必要ない情報は削除しておくと、今後の預け先の情報を減らせます。

勤め先の名前で参加していた場合の社内への連絡

Sansan User Forumに、勤め先の業務としてSansanを使う担当者の立場で参加していた人もいるはずです。その場合、今回の件を勤め先の情報システムの担当者や、情報セキュリティの担当部署に伝えておくと安心です。

伝えるときは、次の点を整理しておくと話が早く進みます。

1. 漏えいしたのは、Sansan User Forumというユーザー向けコミュニティの会員情報で、Sansanの製品のデータではない
2. 自分は1325名（メールアドレスを含む）と8687名（メールアドレスを除く）のどちらの案内を受け取ったか
3. 登録に使っていたのは、会社のメールアドレスか個人のメールアドレスか
4. 自己紹介に、勤め先の名前や担当業務をどこまで書いていたか

会社のメールアドレスが漏えいしていた場合、会社のほかの人にも、同じ差出人を名乗る偽メールが届く可能性があります。社内で注意を呼びかけるかどうかは、勤め先の担当者の判断に任せます。自分で全社に一斉に知らせるより、担当部署を通したほうが、正確な情報が混乱なく伝わります。

コミュニティの再開を待つ間にできること

Sansan User Forumは、2026年10月20日時点で再開の発表が確認できていません。再開を待つ間にも、できることがあります。

1. Sansanから届いた個別の案内と、全会員あての通知を、削除せずに保存しておく
2. 自己紹介やプロフィールに何を書いていたかを、覚えている範囲で書き出しておく
3. Sansan User Forumと同じパスワードを使っていたサービスを洗い出し、変更を済ませておく
4. Sansan株式会社の公式サイトのニュースを、ブックマークからときどき確かめる

届いた案内を保存しておくのは、後で問い合わせるときや、勤め先に説明するときに、いつ何が届いたかを正確に示せるようにするためです。再開の案内は、Sansan株式会社がウェブサイトへの掲載と対象者への個別の連絡で知らせるとしています。メールで再開の知らせが届いたら、公式サイトのニュースにも同じ内容が出ているかを確かめてからログインすると安心です。

偽メールへの注意

メールアドレスが漏えいした1325名は特に、Sansanを名乗る偽メールに注意が要ります。Sansan User Forumは製品のユーザー向けのコミュニティなので、偽メールの作り手は「名刺データの確認」「請求書の受け取り」「契約書の承認」など、仕事の連絡に見せかけた文面を作りやすい相手です。

警察庁は、偽メールの見分け方について次のように注意を促しています。

電子メールは、仕様上、受信者から見える「送信元名称」や「送信元メールアドレス」を変更することが容易であるため、実在の企業等になりすますことができます。 出典: npa.go.jp

差出人の表示が本物と同じでも、それだけで信用はできません。見分けるときは、次の点を見ます。

• ログインやパスワードの入力を求めていないか
• 急がせる言葉がないか：「本日中に確認しないとアカウントが停止されます」
• 発表にない手続きを案内していないか：補償金の受け取り、コミュニティ再開のための再登録、本人確認の書類の提出
• リンク先が公式のアドレスか：パソコンでは、リンクにマウスの矢印を重ねると飛び先が表示される

SMS（携帯電話番号あてのショートメッセージ）や電話にも気をつけます。発表は電話番号を対象の項目に挙げていませんが、偽のSMSや電話は漏えいとは関係なく無差別に届くものです。Sansanのサポートやコミュニティの事務局を名乗る電話で、パスワードや確認コードを聞かれたら、答えずに切ります。

コミューン株式会社は、同社から電子メールや電話でパスワード等を尋ねることは一切ないと明記しています。仕事のサービスにログインするときは、メールのリンクではなく、普段使っているブックマークやアプリから入ります。偽メールに何か入力してしまったときは、そのパスワードを使っているすべてのサービスで、すぐにパスワードを変えます。会社のアカウントの情報を入力してしまったなら、勤め先の情報システムの担当者にすぐ知らせます。

問い合わせ窓口

Sansan株式会社の発表に書かれた問い合わせ先は、次のとおりです。

• Sansan Innovation Community運営事務局
• メール：[email protected]

電話の窓口と受付時間は、発表には書かれていません。問い合わせるときは、届いたメールの返信ボタンではなく、公式サイトの発表に書かれたアドレスを自分で宛先に入れます。偽メールの返信先は、送り主が用意したアドレスであることがあるためです。

問い合わせのメールには、次の内容を書いておくと、やり取りの回数が少なく済みます。

• Sansan User Forumに登録しているメールアドレスと表示名
• 届いた案内の種類（個別の案内か、全会員あての通知か）と、届いた日
• 確かめたいこと（自分が対象か、どの項目が対象か、退会の方法など）

Communeの不正アクセスそのものについては、コミューン株式会社も問い合わせ窓口を設けています。コミュニティに登録している人の問い合わせや退会の希望は [email protected]、不正アクセス事案に関する問い合わせは [email protected] が案内されています。Sansan User Forumについての質問は、まずSansan Innovation Community運営事務局に問い合わせるのが確実です。

在宅で仕事をする人が気をつけること

在宅で営業事務や経理の仕事を受けている人の中には、取引先から任されてSansanやBill Oneを操作している人もいるはずです。今回の件では、Sansanの製品とそこで預かっている情報への影響はないと発表されているので、取引先の名刺データや請求書のデータが漏れたわけではありません。取引先に「Sansanで漏えいがあった」と伝えるときは、漏れたのはユーザー向けコミュニティの会員情報で、製品のデータではないと正確に伝えます。

自分がSansan User Forumに参加していて、自己紹介に取引先の会社名や担当業務を書いていた場合は、少し注意が要ります。自己紹介欄の記載内容は、1325名と8687名のどちらでも対象の項目に入っているためです。取引先の名前を出して参加していたなら、その旨を取引先に伝え、偽メールへの注意を共有しておくと安心です。

取引先から個人データの扱いを任されている立場で、使っているサービスに事故が起きたときは、取引先（委託元）に速やかに知らせることが求められます。個人情報保護委員会のガイドラインは、委託先から委託元への連絡について、次のように目安を示しています。

「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。 出典: ppc.go.jp

国への報告が必要になる場面は、本人の数が1,000人を超える場合や、不正アクセスなど不正な目的によるおそれがある場合などで、個人情報保護委員会の漏えい等の対応のページに要件が並んでいます。今回Sansan株式会社が10月9日に個人情報保護委員会へ報告したのも、この仕組みに沿ったものです。誰が報告し、誰が本人に知らせるかは、契約の内容で変わるので、自分だけで判断せず、取引先の担当者と相談しながら進めるのが安全です。

運営者の視点：仕事のコミュニティに書くことを選ぶ

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの運営で見てきた限りでは、長く仕事が続く人ほど、業界のコミュニティやSNSに書く内容を選んでいます。得意分野や使えるツールは積極的に書く一方で、取引先の名前や進行中の案件のことは、相手の了解がない限り書きません。今回のように、参加者だけが見られるはずの自己紹介が外に出ることがあっても、書いていない情報は漏れようがありません。取引先が業務委託の相手を選ぶときも、情報の扱いが丁寧かどうかを見ています。直接取引には中間のマージンが乗らない分、受け手の手取りが厚くなる一方で、こうした丁寧さがそのまま信用になります。

情報セキュリティの知識や、業務の仕組みを整える力は、それ自体が仕事にもなります。企業のセキュリティ対策や社内ルールづくりを支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で、業務へのAIの活用を支援する仕事の内容はAIコンサル・業務活用支援のお仕事で紹介しています。取引先への報告文を正確に書く力を示したい人には、ビジネス文書の作成能力を認定するビジネス文書検定が参考になります。

チームのログインを守る方法を比べたい人はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版を、偽メールに気づく力を付ける方法を知りたい人は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドを参考にしてください。自分のメールアドレスがほかの漏えいに含まれていないかを調べたいときは、Have I Been Pwnedの使い方で手順を説明しています。

よくある質問

Q. Sansanの情報漏洩で、名刺データは漏れましたか？

2026年10月9日の発表では、漏えいしたのはユーザー向けオンラインコミュニティ「Sansan User Forum」の会員情報の一部です。営業AXサービス「Sansan」、経理AXサービス「Bill One」、契約AXサービス「Contract One」、名刺アプリ「Eight」などのシステムと、各サービスで預かっている情報への影響はないとされています。

Q. Sansan User Forumのパスワードは漏れましたか？

発表では、パスワードは含まれていないとされています。ただし、メールアドレスが漏えいした1325名は、そのアドレスを使った不正ログインの試行の対象になり得るので、同じパスワードをほかのサービスで使っている場合は、サービスごとに別のものへ変えておくと安心です。

Q. 自分が対象かどうかは、どうすれば分かりますか？

Sansan株式会社は、漏えいが確認された人と漏えいの可能性がある人に、2026年10月9日に登録のメールアドレスあてに個別の案内を送ったとしています。受信箱と迷惑メールのフォルダを確かめ、判断に迷う場合はSansan Innovation Community運営事務局に問い合わせてください。

Q. この件の問い合わせ先はどこですか？

Sansan株式会社の発表では、Sansan Innovation Community運営事務局（[email protected]）が問い合わせ先とされています。電話の窓口は書かれていません。届いたメールの返信ボタンではなく、公式サイトの発表に書かれたアドレスを自分で入力して問い合わせてください。