Commune約30.7万人の情報漏えい、漏れたメールアドレスとプロフィールで何をされるのかまとめました

2026年10月9日、コミューン株式会社は、同社が運営するコミュニティ基盤「Commune」「Commune for Work」が外部の第三者による不正アクセスを受け、約30.7万人（推計）の会員情報が漏えいしたと公表しました[1]。Commune は、企業がファンや顧客、社員とつながるためのコミュニティを作る仕組みです。そのため、被害に遭ったのは「Commune の会員」というより、Commune の上で動いていた各社のコミュニティの会員です。パスワードの漏えいは確認されていないとされていますが、それで安心とは言い切れません。

「自分のメールアドレスやプロフィールで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、コミュニティの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• パスワードは漏れていないとされる一方、コミュニティの名前や自分の表示名まで正しく入った偽メールが届きやすくなります。
• コミュニティと同じメールアドレス・同じパスワードを他のサービスで使っている人は、変えておくと安心です。
• 会社側がまず見直したいのは、管理者の権限を使う場面と、非公開コミュニティへの入り方です。

なお、本記事は公表文など公開情報だけをもとにしています。サービスの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

漏れた項目はコミュニティによって違います。たとえばヤマハ発動機の「YAMAHA PAS Life」では、氏名・生年月日・住所・メールアドレス等の約1,600名分が閲覧・取得された可能性があるとしています[2]。VALXの「VALX "FUN"コミュニティ」では、会員3,813名のうち2,950名分のメールアドレスやプロフィール情報等が対象になった可能性があるとしています[3]。コミューン社は、なりすましメールやフィッシングへの注意を呼びかけています[1]。

漏れた情報で、何ができてしまうか

パスワードが漏れていないとされている点は、不幸中の幸いです。ただ、今回の情報には他の漏えいと違う特徴があります――「どのコミュニティに入っているか」「その中でどう名乗っているか」まで一緒に出たことです。

特に気をつけたいのは、今回のような事故の直後には「再ログインしてください」「パスワードを再設定してください」という本物の案内も届くことです。実際に、全ての会員が一度ログアウトされた状態になっており、144名にはパスワードの再設定が求められています[1]。本物の案内と同じ形の偽メールは見分けにくくなります。

このサービスで認証が使われる場所

公開情報で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、不備の修正、ログイン用の署名鍵の更新、不正アクセス経路の遮断、攻撃者が作ったアカウントの退会処理などが挙げられています[1]。一方で、会員や管理者のログインに確認の手順を足すといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 管理者の権限を使う場面に、追加の確認を入れる。会員一覧の出力や会員情報の変更など、まとめて情報が動く操作です。今回の手口が管理者へのなりすましだったため、ここが一番の優先です。

2. 非公開コミュニティへの入り方を、「リンクを持っている」だけにしない。招待リンクに加えて、参加する本人をもう一段確かめる手順があれば、リンクが漏れても入られにくくなります。

3. パスワード再設定に、メール以外の確認をもう一つ足す。メールだけで再設定が完了する形だと、偽メールに引っかかった人や、メールを乗っ取られた人を守れません。

Commune を使ってコミュニティを運営している企業の側でも、自社の会員に送る案内の出し方（どこから・どんな文面で送るか）をあらかじめ決めて伝えておくと、偽メールとの見分けを助けられます。

認証の観点から：「リンクを持っている」と「その人である」は違う

今回の事故で目立つのは、「招待リンクを持っている」「管理者として振る舞える」といった、持ち物や権限の確認だけで中に入れてしまった点です。リンクも権限も、手に入れてしまえば誰でも使えます。

一方で、「その人の電話回線を持っているか」は、情報が漏れても変わりません。認証の土台を「知っているか」「リンクを持っているか」から「その人の端末と回線を持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[5]。禁止ではありませんが、SIMの切り替えや電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

コミュニティの使いやすさを保ったまま、管理者や会員の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら