対象：企業のファンサイト、ユーザー会、自治体のファンコミュニティなどに登録している人と、Communeのようなサービスでコミュニティを運営している企業・団体。本記事はコミューン株式会社と、影響を公表した利用企業・団体の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月12日時点まだ分かっていないこと
- コミュニティごとの人数と項目（利用企業へ個別に案内中）
- 影響を受けた利用企業の数
- システムの不備の詳しい内容
- 全コミュニティの再開時期
- 投稿などのデータの復元時期
コミューンは「新たにお知らせすべき事実が判明した場合は、本ページにて公表いたします」としています。10月12日に確認した時点で、10月9日の発表に続報や改訂は出ていません。
会員が今日やること
登録しているコミュニティの運営企業のお知らせを確かめる
Communeは、企業や自治体が自分たちのファンサイトやユーザー会を作るためのサービスです。会員はコミューンではなく、運営企業のコミュニティ（例：「スズキヴィレッジ」「湖池屋GOGO！ランド」）に登録しています。そのため、対象かどうかはどのコミュニティに登録しているかで決まります。
下の「自分が対象か確かめる」の表で、登録しているコミュニティのお知らせを開いてください。表にないコミュニティは、運営企業の公式サイトのお知らせ欄を確認します。コミューンは、対象の会員には詳細の確認が取れしだい順次案内するとしています。
コミュニティや企業を名乗るメール・SMSのリンクは開かない
漏れたのはメールアドレス、表示名、自己紹介、所属グループなどです。この組み合わせがあると、そのコミュニティの事務局を装った、宛名も話題も正しいメールが作れます。
コミューンは、不審なメールやSMSのURLを開かず、添付ファイルも開かずに削除するよう呼びかけています。同社がメールや電話でパスワード等を尋ねることは一切ないとしています。再開の案内やログインは、メールのリンクではなくブックマークや運営企業の公式サイトから開いてください（見分け方は フィッシングとは）。
仮パスワードに変えられた144人は、再開後に再設定する
コミューンによれば、144人の会員はパスワードが本人の操作によらず仮パスワードに変更されました。仮パスワードはすでに失効しており、攻撃者に仮パスワードが渡った形跡は確認されていないとしています。
該当する人は、コミュニティの再開後にログイン画面の「パスワードを忘れた場合」から再設定が必要です。なお、安全のため全会員が一度ログアウトされた状態になっているので、該当しない人も再開後に改めてログインします。
同じパスワードを他でも使っているなら、別々にしておく
コミューンは、パスワードそのものの漏えいは確認されていないとしています。それでも、スズキやバンダイナムコエクスペリエンスは、同じパスワードを他のサービスでも使っている人に念のため変更を検討するよう呼びかけています。使い回しをやめておけば、どこかで漏れたときに被害が広がりません（パスワードマネージャー を使うと現実的です）。
プロフィール欄に住所・電話番号を書いていた人は、電話や郵便の連絡にも注意する
対象の項目はコミュニティと会員によって異なります。日本能率協会マネジメントセンターの「時間〈とき〉ラボ」では、プロフィール情報に含まれる氏名・住所・年齢・電話番号も漏えいしたと発表されています。
プロフィール欄に住所や電話番号を書いていた人は、メールだけでなく、SMS、電話、郵便で企業やコミュニティを名乗る連絡が来る可能性も考えてください。電話でパスワード、カード番号、認証コードを聞かれても答えず、いったん切って公式サイトに載っている窓口にかけ直します。
分からないことは、発表に載っている窓口へ
コミューンの発表では、会員からの問い合わせや退会の希望は同社のフォーム（communeinc.com/ja/contact-user）、不正アクセス事案についての問い合わせは security@commune.co.jp が窓口です。コミュニティの再開時期は、運営企業のお知らせで案内されています。
自分が対象か確かめる（利用企業・団体のお知らせ）
コミュニティを運営する企業・団体が、それぞれお知らせを出しています。以下は、当サイトが各社・各団体の公式ページを開いて内容を確認したものです（2026年10月12日時点）。ほかにも発表している企業・団体があります。
人数は各社の発表の値で、数え方（「漏えい」「閲覧・取得の可能性」「最大」）が社ごとに違うため、足し合わせることはできません。
| 運営企業・団体 | コミュニティ | 人数（各社の発表） | 主な項目（各社の発表） | 状態 | 発表日 |
|---|---|---|---|---|---|
| ヤマハ | ヤマハネットワークエンジニア会（YNE） | 約1,600名 | メールアドレス、表示名、アカウント名、自己紹介、アイコン、所属グループ | 漏えいを確認（同社） | 10月9日 |
| 日本能率協会マネジメントセンター | 時間〈とき〉ラボ | 2,950名（5月12日のリニューアル後の登録者） | 表示名、ユーザー名、メールアドレス、プロフィール情報（氏名・住所・年齢・電話番号を含む） | 漏えいを確認（同社） | 10月9日 |
| 青森県 | 青森びいき | 最大2,950人（閲覧された数の想定最大。会員15,847人中） | メールアドレス、ニックネーム、アカウント名、居住都道府県、年代、性別、会員ID、自己紹介など | 可能性（県） | 10月8日 |
| スズキ | スズキヴィレッジ | 約3,000名 | メールアドレス、ニックネーム、参加日、性別、年代、居住地（都道府県）、所有車名 | 可能性（同社） | 10月9日 |
| Sansan | Sansan User Forum | 漏えい確認1,325名、可能性8,687名 | 確認分はメールアドレス、表示名、自己紹介、プロフィール画像、グループ所属（可能性分はメールアドレスを含まない） | 漏えいを確認／可能性（同社） | 10月9日 |
| LINEヤフー | DS.LAB（DS.INSIGHT内） | 1,750名 | ニックネーム、アカウント名、氏名、自己紹介、アイコン、所属グループ、メールアドレス、カスタムプロフィール項目など | 可能性（同社） | 10月9日 |
| 湖池屋 | 湖池屋GOGO！ランド | 最大1,800件 | メールアドレス、ニックネーム、アカウント名、自己紹介、所属グループ、カスタムプロフィール項目（性別・年代・都道府県など）など | 漏えいを確認（同社） | 10月9日 |
| カルビー | 絶品部「やめられない、とまらない」課 | 記載なし | メールアドレス、表示名、ユーザー名、自己紹介、プロフィール項目、所属グループ | 閲覧・取得を確認（同社） | 10月9日 |
| 森永乳業 | マウントカフェ部 | 291名 | メールアドレス、表示名・ユーザー名、自己紹介、カスタムプロフィール項目、所属グループなど | 可能性（同社） | 10月9日 |
| LIXIL | すまいひろば／猫壁ひろば | 記載なし | ニックネーム、アカウント名、メールアドレス、自己紹介（項目はサービスごと）、ポイントなど | 可能性（同社） | 10月9日 |
| バンダイナムコエクスペリエンス | 湾岸ミッドナイト アーケードポータル | 記載なし | メールアドレス、ニックネーム、アカウント名、自己紹介、プロフィール項目、所属グループなど | 可能性（同社） | 10月9日 |
| ダイドードリンコ | dydoいっしょにラボ | ― | 被害は確認されず、会員情報の漏えいは発生していないとの報告を受けた（サービスは停止中） | 含まれない（同社） | 10月9日 |
同じコミュニティでも、自分が何を登録していたかで変わる
カルビーと湖池屋は、住所や電話番号などはそのコミュニティでは取得・保有していないとしています。一方、日本能率協会マネジメントセンターのように、プロフィール欄の内容として氏名・住所・電話番号まで漏えいした例もあります。表の「主な項目」に自由記入のプロフィール欄が含まれている場合は、自分がそこに何を書いたかを思い出してください。
何が起きたのか（コミューンの発表より）
以下は、コミューンの2026年10月9日の発表にもとづきます。
2026年10月5日18時ごろ
「Commune」「Commune for Work」が外部の第三者による不正アクセスを受け始める。10月6日
同社が不正アクセスを検知し、通信遮断と防御措置を実施。21時ごろから全コミュニティをメンテナンスモードに切り替えて停止。10月7日
メンテナンス中に残っていた通信経路を悪用した不正な会員登録と閲覧が一部で発生し、14時58分に遮断。10月8日12時ごろ
社内の検証用コミュニティで安全性を確認したうえで、再開を希望したコミュニティから順次再開。10月8日
同社が、青森県から受託運営する観光ファンコミュニティ「青森びいき」について先行してお知らせを公表。10月9日
漏えいについてお詫びとお知らせを公表。利用企業・団体も前日から同日にかけて各自のお知らせを出した。10月12日時点
続報は出ていない。メンテナンスを続けているコミュニティは、利用企業と確認のうえ順次再開するとしている。
- 漏えいした期間
- 10月5日18時ごろ〜10月6日21時ごろ、および10月7日13時17分〜14時36分
- メールアドレスを含む情報
- 約12.6万人（うち同社の従業員・テスト用デモアカウント合計約4.2万人）
- メールアドレスを含まない情報
- 約18.1万人（表示名、自己紹介、非公開グループの所属など）
- 人数の数え方
- 同一会員IDの重複と攻撃者が作ったアカウントを除いた実人数の推計。調査の進展で変わる場合がある
- パスワード
- 144人が本人の操作によらず仮パスワードに変更された。パスワードそのものの漏えいは確認されていない
- 確認されていないもの
- 会員間のダイレクトメッセージとパスワードの漏えいは確認されていない。クレジットカード等の決済情報は同社では保持していない
- 他の製品
- Commune CRM・Commune Engage は不正アクセスを試みられたが漏えいなし。Commune Voice・Navigator・DataHub は不正アクセスを受けていない（現時点の調査）
- 原因として説明されたこと
- 同社システムの不備を突かれた。非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行った
- 対応
- 不備の修正、ログイン用の署名鍵の更新、不正アクセス経路の遮断と不正なIPアドレスからのアクセス拒否、攻撃者が作ったアカウントの退会処理と書き込みの除去
- データ
- 10月6日18時時点の状態に巻き戻し。投稿は復元を準備中で、ダイレクトメッセージ、いいね・リアクション、新規登録は復元の対象外となる見込み
同社は、本件は同社システムへの攻撃により発生したもので、利用企業の設定や運用に起因するものではないとしています。また、電気通信事業者として総務省へ報告し、利用企業が個人情報保護委員会へ報告するために必要な情報を提供しているとしています。
分かっていること・分かっていないこと
2026年10月12日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 漏えいした期間 | 10月5日18時ごろ〜6日21時ごろ、10月7日13時17分〜14時36分 | 漏えいを確認（同社） |
| 漏えいした人数 | 約30.7万人（推計。調査の進展で変わる場合がある） | 漏えいを確認（同社） |
| メールアドレス | 約12.6万人分（うち同社の従業員・デモ約4.2万人） | 漏えいを確認（同社） |
| 表示名・自己紹介・非公開グループの所属 | 約18.1万人分（メールアドレスを含まない） | 漏えいを確認（同社） |
| プロフィール欄の氏名・住所・電話番号 | コミューンの発表には記載なし。日本能率協会マネジメントセンターは「時間〈とき〉ラボ」での漏えいを発表 | 漏えいを確認（利用企業） |
| パスワード | 144人が仮パスワードに変更された。パスワードそのものの漏えいは確認されていない | 含まれない（同社） |
| ダイレクトメッセージ | 漏えいは確認されていない | 含まれない（同社） |
| クレジットカード等の決済情報 | 同社では保持していない | 含まれない（同社） |
| コミュニティごとの人数 | 影響が確認された利用企業へ個別に案内 | 調査中 |
| 影響を受けた利用企業の数 | 発表に記載なし | 記載なし |
| 原因 | 招待リンクの不正な取得と、管理者へのなりすまし。不備の詳しい内容は記載なし | 説明あり（詳細は記載なし） |
| 悪用・二次被害 | 10月9日時点で確認されていない | 調査中 |
| 再開 | 10月8日12時ごろから、希望したコミュニティから順次 | 再開中 |
利用企業のお知らせで、時間帯や数が違って見えることがある
コミューンの発表の時間帯はサービス全体のものです。たとえばヤマハは、コミューンの説明として、同社のコミュニティの情報への不正アクセスは10月6日11時59分ごろ〜20時36分ごろと発表しています。人数も、各社は自社のコミュニティの分を、それぞれの数え方で出しています。自分のことは、登録しているコミュニティのお知らせで確かめるのが確実です。
漏れた項目で何が起きうるか
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- メールアドレス＋表示名＋コミュニティ名：「◯◯コミュニティ事務局」を名乗り、宛名の正しい再開案内やポイント付与のメールが作れる
- 所属グループ（非公開グループを含む）：「◯◯グループのメンバーの皆さまへ」のように、内輪の話題に合わせた偽の連絡が作れる
- 自己紹介・プロフィール項目（年代・都道府県・所有車名・好きな商品など）：本人しか知らないはずの話題を持ち出して信用させる材料になる
- 氏名＋住所＋電話番号（プロフィール欄に書いていた場合）：SMSや電話、郵便で企業を名乗る連絡が作れる
1つの事業者のサービスから、それを使う複数の会社の顧客情報が漏れた事案には、2026年10月に公表された 大和証券の委託先への不正アクセス（同じ委託先を使う複数の会社が影響を公表）もあります。そこでも、利用企業ごとに項目と人数が違い、自分が対象かは利用している会社のお知らせで確かめる形でした。
コミュニティを運営する企業・団体が見直すこと
コミューンは、原因を同社システムの不備とし、利用企業の設定や運用に起因するものではないとしています。本節は利用企業の対応を評価するものではありません。公表された経緯と漏れた項目から、同じようなサービスでコミュニティを運営する側が、自分のコミュニティで確かめられることをまとめます。
必ず持つ
メールアドレス、表示名、所属グループ
漏れると：事務局を装うメール
会員が書く
自己紹介、自由記入のプロフィール欄
漏れると：何が漏れたか運営者にも分からない
運営者が聞く
年代、都道府県、性別、カスタム項目
減らせる：本当に使う項目だけにする
プロフィール欄に、住所や電話番号を書かせない設計にする
今回、カルビーや湖池屋は、住所や電話番号などはそのコミュニティでは取得・保有していないと説明しています。一方で、自由記入のプロフィール欄に会員が書いた内容は、項目として決まっていないため、運営者が持っているつもりのない情報まで漏れることがあります。
コミュニティの目的に住所や電話番号が要らないなら、プロフィール欄の入力例や案内文で書かないよう明記し、カスタム項目に住所・電話番号の欄を作らないようにします。年代・都道府県のように分析のために聞いている項目も、実際に使っているかを見直し、使っていなければ削ります。
非公開コミュニティの招待リンクを、共通の合言葉として使い続けない
コミューンは、非公開コミュニティの招待リンクが不正に取得され、一般会員として登録されたと説明しています。どう取得されたかは公表されていません。
一般に、1本の招待リンクを全員で共有し、長く使い続ける運用では、リンクが一度外に出ると、だれでも会員として入れてしまいます。サービスに機能があれば、招待は1人ずつ発行し、有効期限と使える回数を決めます。共通のリンクを使う場合も、定期的に差し替え、承認制（運営者が登録を承認してから入れる）を併用すると、知らない登録に気づけます。
管理者アカウントと、最近の会員登録を棚卸しする
コミューンは、管理者へのなりすましで会員情報が閲覧・取得されたとしています。サービス側の不備による事象ですが、運営者側でも、管理者権限を持つアカウントがだれで、何人いるかを定期的に確かめておくと、身に覚えのない管理者や、不審な時間帯にまとめて登録された会員に気づきやすくなります。再開時には、攻撃者が作ったアカウントの退会処理はコミューン側で行ったとされていますが、自分のコミュニティの会員一覧も一度見直しておくと安心です。
会員への連絡の「正しい経路」を、平時から決めて告知しておく
漏えい後に会員を守るのは、「事務局からの本物の連絡はどれか」が分かることです。お知らせはコミュニティ内の固定ページと公式サイトに必ず載せる、メールにはログインを求めるリンクを入れない、と決めて平時から告知しておけば、偽のメールが届いても会員が見分けられます。今回も、複数の利用企業がお知らせで「メールでパスワードなどを尋ねることはない」と明記していました。
当サイトの視点：外部サービスに任せても、「何を集めるか」は運営者が決めている
コミュニティの仕組みそのものは外部のサービスに任せていても、会員に何を書いてもらうか、どの項目を必須にするかは運営者が決めています。今回の利用企業のお知らせを並べると、同じサービスを使っていても、各社が挙げた項目はコミュニティごとに集めていた項目に応じて違っていました。集めていない情報は漏れません。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない不正アクセスの手口は推測していません。
- コミューン株式会社「【重要】当社サービス「Commune」、「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」（2026年10月9日） — communeinc.com
- ヤマハ株式会社「外部委託先への不正アクセスによるお客様情報漏えいについて」（2026年10月9日） — yamaha.com
- 株式会社日本能率協会マネジメントセンター「当社ユーザー向けコミュニティサイト『時間〈とき〉ラボ』における不正アクセスによる個人情報漏洩のお詫びとお知らせ」（2026年10月9日） — jmam.co.jp
- 青森県「青森県公式ファンコミュニティ「青森びいき」への不正アクセスが確認されました」（2026年10月8日） — pref.aomori.lg.jp
- スズキ株式会社「当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ」（2026年10月9日） — suzuki.co.jp
- Sansan株式会社「オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ」（2026年10月9日） — corp-sansan.com
- LINEヤフー株式会社「委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び」（2026年10月9日） — lycorp.co.jp
- 株式会社湖池屋「委託先事業者に対する不正アクセスによるお客様情報の漏えいについて」（2026年10月9日） — koikeya.co.jp
- カルビー株式会社「『絶品部「やめられない、とまらない」課』における不正アクセスによる会員情報への影響に関するお知らせとお詫び」（2026年10月9日） — calbee.co.jp
- 森永乳業株式会社「委託先システムへの不正アクセスによる「マウントカフェ部」会員情報漏洩に関するお詫びとお知らせ」（2026年10月9日） — morinagamilk.co.jp
- 株式会社LIXIL「LIXILが運営するコミュニティサービスにおける委託先サーバーへの不正アクセスに伴う個人情報漏えいについてのお詫びとご報告」（2026年10月9日） — lixil.co.jp
- 株式会社バンダイナムコエクスペリエンス「『湾岸ミッドナイト アーケードポータル』への不正アクセスによる会員情報漏洩の可能性に関するお詫びと臨時メンテナンス継続のお知らせ」（2026年10月9日） — wanganmaxi-official.com
- ダイドードリンコ株式会社「ファンサイト「dydoいっしょにラボ」のサービス停止について」（2026年10月9日） — dydo.co.jp
更新履歴
2026-10-12：初版。コミューンの10月9日の発表と、利用企業・団体12件のお知らせにもとづく（10月12日に、コミューンの発表に続報や改訂がないことを確認）。コミュニティごとの人数や原因の詳細が公表され次第更新します。
次に読む
- 同じ型の事案：大和証券の委託先への不正アクセス
- 偽の連絡とパスワード：フィッシングとは ／ パスワード漏えいの確認方法 ／ 2段階認証（多要素認証）の設定ガイド
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
QCommuneの件で何が漏れたのですか？
コミューンの2026年10月9日の発表によれば、漏えいした会員は約30.7万人（推計）です。約12.6万人はメールアドレスを含む情報、約18.1万人はメールアドレスを含まない情報（表示名、自己紹介、非公開グループの所属など）でした。対象の項目はコミュニティと会員によって異なり、プロフィール欄に何を書いていたかで変わります。日本能率協会マネジメントセンターの「時間〈とき〉ラボ」では、プロフィール情報に含まれる氏名・住所・年齢・電話番号も漏えいしたと同社が発表しています。
Q自分は対象ですか？
Communeは企業や自治体が自社のファンサイトやユーザー会を作るためのサービスなので、対象かどうかは「どのコミュニティに登録しているか」で決まります。まず、登録しているコミュニティを運営する企業・団体のお知らせを確認してください（本文の表に、当サイトが公式ページで確認したものをまとめました）。コミューンは、対象の会員には確認が取れしだい順次案内するとしています。案内のメールが届いても、本文のリンクではなく、自分で開いた公式サイトで確かめてください。
Qパスワードは変えたほうがいいですか？
コミューンは、パスワードそのものの漏えいは確認されていないとしています。ただし144人は、パスワードが本人の操作によらず仮パスワードに変更されました。仮パスワードはすでに失効しており、該当する人はコミュニティの再開後に、ログイン画面の「パスワードを忘れた場合」から再設定が必要です。全会員が一度ログアウトされているので、再開後は改めてログインします。同じパスワードを他のサービスでも使っているなら、スズキなど一部の利用企業が呼びかけているとおり、念のため別のパスワードに変えておくと安全です。
Q原因は何ですか？
コミューンは、外部の第三者が同社システムの不備を突いたと説明しています。具体的には、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行ったとしています。利用企業の設定や運用に起因するものではないとしています。不備の詳しい内容は公表されていません。
Qコミュニティ名や企業名を名乗るメールが来たらどうすればいいですか？
漏れたメールアドレスと表示名・所属グループがそろうと、そのコミュニティの運営事務局を装った本物らしいメールが作れます。コミューンは、不審なメールやSMSのURLを開かず、添付ファイルも開かずに削除するよう呼びかけ、同社がメールや電話でパスワード等を尋ねることは一切ないとしています。ログインや再開の確認は、ブックマークや運営企業の公式サイトから行ってください。
Qプロフィール欄に住所や電話番号を書いていました。何に気をつければいいですか？
プロフィール欄に何を書いていたかで、漏れた情報は変わります。住所や電話番号まで書いていた場合は、メールだけでなく、SMS、電話、郵便でコミュニティや企業を名乗る連絡が来る可能性も考えてください。電話でパスワード、カード番号、認証コードを聞かれても答えず、いったん切って公式サイトに載っている窓口にかけ直します。コミュニティの再開後は、プロフィール欄に必要以上の情報が残っていないかを見直してください。