対象：Notion AIを使っているワークスペースの管理者とメンバー。本記事はNotionの公式のセキュリティ告知にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Notion AIを使っているワークスペースの管理者とメンバー。
- 影響が確認された範囲表で見る ↓
- Insights機能で使われたNotion AIのチャット記録
- Notion AIの合成テストデータ
- 影響を受けたワークスペースの範囲
さらに4件
- チャットの作成者・ワークスペースの印
- 委託先のデータ保持
- 委託先上でのモデルの訓練の実験
- 露出したNotionのAPIキー
可能性があるとされた項目
- チャットに貼られた機微な情報・認証情報
- 未確認事項
- 影響を受けたワークスペースの数と、チャット記録の件数（1%未満以外は記載なし）
- 事案の期間（入れ替えを勧める「期間」の具体的な日付）
- 委託先がどのように侵害されたか（同社の告知には書かれていない）
さらに1件
- 調査の最終結果と、Insights機能の再開時期
- 今やること手順を見る ↓
- 同社からの通知メールが来ているか確かめる
- 通知が来たら、手順に沿って対象データを確かめる
- 対象のデータは、露出したものとして扱う
さらに3件
- Notion AIに貼った認証情報を入れ替える
- Notionを名乗る連絡に注意する
- 管理者：AIに入れてよい情報を決め、委託先との関係を洗い出す
- 確認先（出典）出典の一覧 ↓
- Notion「Notice about the Fireworks AI incident that may impact some Notion workspaces」（Notionのヘルプ。英語。2026年11月13日に確認）
- 最終確認日時
- 2026年11月13日時点
発表の続報予定と確認の記録
同社は、調査は続いており、影響を受けたと判断したワークスペースには直接連絡する、告知はわかり次第更新するとしています。告知は11月10日に文体と分かりやすさのために更新され、同社は既出の事実に変更はないとしています。11月11日の更新では、調査中に見つけた、露出したNotionのAPIキーを失効させたと追記されました。2026年11月13日に確認した範囲では、これより新しい更新は見当たりませんでした。
今日やること
同社からの通知メールが来ているか確かめる
同社は、影響を受けたワークスペースには連絡したとしています。連絡が来ていなければ、同社が影響を受けたと確認していないワークスペースで、現時点で対応は不要です。調査は続いており、影響が分かれば同社から直接連絡があります。迷惑メールのフォルダも見てください。
通知が来たら、手順に沿って対象データを確かめる
同社は、影響を受けた顧客が、対象のデータをワークスペースの中で安全に取り出して確かめられるようにし、手順をメールで送ったとしています。ヘルプによれば、ワークスペースの所有者は、サイドバーの「?」→「Security incident review」から確かめます（最新版のNotionを使ったデスクトップのブラウザのみ。モバイルでは見られません）。影響を受けたメンバーの一覧のCSVと、メンバーが自分のデータを確かめるためのリンクがあり、ドメインを確認済みのワークスペースでは、影響を受けた内容のCSVもあります。メールの中のリンクから開く前に、Notionのアプリや管理画面を自分で開いて、同じ内容の案内があるかを確かめてください（当サイトの見解。通知を装う偽メールは、こうした事案のあとによく出回る）。
対象のデータは、露出したものとして扱う
同社は、影響を受けた顧客に、このデータが露出したものとして扱うよう勧めています。確かめたチャットに、顧客の個人情報、社内の機密、契約の内容などが書かれていないかを見て、含まれていれば、それぞれの扱いのルールに沿って判断します（当サイトの見解）。
Notion AIに貼った認証情報を入れ替える
同社は、影響を受けたワークスペースの人が、事案の期間にNotion AIに機微な情報、パスワード、APIキーなどの認証情報を貼っていたなら、入れ替えるよう勧めています。期間の具体的な日付は告知に書かれていないため、迷うときは、Notion AIに貼ったことのある認証情報を、発行元で作り直し、古い値を無効にします（当サイトの見解）。同社は11月11日に、影響を受けた利用者のメッセージの中に見つけた、露出したNotionのAPIキーを失効させたと書いています。ほかの認証情報は失効させたと書いていないため、自分で入れ替えます（当サイトの見解）。ヘルプによれば、確認画面のCSVでは、機微な情報が含まれていそうな会話に印が付くので、入れ替えの手がかりにできます。キーの扱いは 環境変数とAPIキーの基本 にまとめています。
Notionを名乗る連絡に注意する
通知の対象は、メールで案内を受けます。メールのリンクを開く前に、アプリや管理画面を自分で開いて確かめてください。パスワードやログインのコードを聞く連絡は、本物ではないと考えます（一般に言えること）。詳しくは フィッシングとは にあります。
管理者：AIに入れてよい情報を決め、委託先との関係を洗い出す
詳しくは、下の「AIの機能を使う側・提供する側が見直すこと」にまとめています。
何が起きたのか（Notionの発表より）
以下は、Notionの公式のセキュリティ告知（2026年11月9日公表、11月10日・11日更新）と、Notionのヘルプの案内にもとづきます。同社自身の説明であり、第三者による検証を受けたものではありません。告知の見出しや本文には委託先の事業者名がありますが、本記事では役割で書きます。時刻やタイムゾーンは、告知に書かれていません。
11月2日（夜）
AIの処理を任せていた委託先が、小さなデータの集まりが悪意のある者にアクセスされたと同社に連絡。調べると、Notion AIの合成テストデータで、顧客のデータはなかった。11月3日（朝まで）
同社は念のため、委託先との接続を切り、委託先の中のデータをすべて削除し、同社のシステムから委託先への通信をすべて止めた。11月6日
委託先が、悪意のある者が顧客のデータの可能性があるデータにアクセスしたかもしれないと連絡。同社は、ワークスペースの1%未満に影響する事案として受け止め、すぐに別の調査を始めた。11月8日
委託先が、この新しいデータを確認した。同社が調べると、Insights機能で使われたNotion AIのチャット記録だった。11月9日
同社が告知を公表（11月10日に文体と分かりやすさのために更新。既出の事実に変更なし）。11月11日
同社が、調査中に、影響を受けた利用者のメッセージの中に見つけた、露出したNotionのAPIキーを失効させたと追記。
11月2日
委託先から最初の連絡（合成テストデータ）→11月3日に接続を切断
↓→
11月6〜8日
顧客データの可能性→Insights用のチャット記録と判明
↓→
11月9日
告知を公表（10日更新）・影響を受けた顧客に連絡
- 最初の連絡（11月2日）
- 小さなデータの集まりへのアクセス。Notion AIの合成テストデータが含まれ、顧客のデータは含まれていなかった
- 2回目の連絡（11月6日・8日確認）
- 顧客のデータの可能性があるデータ。Insights機能で使われたNotion AIのチャット記録だった
- 「印がない」の意味（同社）
- チャットに、誰が書いたか、どのワークスペースのものかの印がなく、ツール呼び出しの結果も含まれない。チャットの文面そのものを除けば、ワークスペース、利用者、会社に結びつける情報はない。ただし「影響を受けたワークスペースの大半」と書かれており、例外の数は書かれていない
- 委託先の使い方（同社）
- Insights（自分たちのAI利用を知るための機能）のための分類処理と、オープンウェイトのモデルを製品の中で動かす推論の提供元として使っていた
- 同社の対応
- 委託先との接続の切断、委託先の中のデータの削除、通信の停止（11月3日朝まで）。影響を受けた顧客への連絡。調査中、Insights機能を無効に。オープンウェイトのモデルは委託先経由では提供しない
- 委託先の契約と保持（同社）
- 委託先は、同社の利用についてゼロデータ保持を契約で約束していたが、調査で、同社が使っていたエンドポイントにデータが保持されていたと分かった。Insightsのように保存が必要な機能は、企業向けのゼロデータ保持の対象に含まれない
- 訓練の実験（同社）
- 以前、学習・早期利用プログラム（LEAP）の顧客が提供したデータで、特定の用途のモデルを委託先上で訓練する実験をしていた。11月3日の時点で、訓練はすべて止めた
- チャット記録の中身（同社）
- チャットに書かれた、モデルへの入力と出力のすべて。AI Meeting Notesの音声・文字起こし・要約は、Notion AIとのチャットに入力として使われた場合を除き、影響を受けていない
- 露出したAPIキー（11月11日）
- 調査中に、影響を受けた利用者のメッセージの中に見つけた、露出したNotionのAPIキーを失効させた
- 確認画面（ヘルプ）
- 所有者はサイドバーの「?」→「Security incident review」から確認。デスクトップのブラウザのみ。メンバー一覧のCSV、メンバー向けのリンク、ドメイン確認済みなら内容のCSV。確認用の補足情報（元のレコードやワークスペースのIDなど）は同社が足したもので、露出したものではない
- 含まれないとされたもの
- Notionのシステムの侵害ではない。他のNotionの機能は影響を受けていない（同社）
- 推奨する対応
- 対象データをワークスペース内で確かめる（手順はメール）。露出したものとして扱う。事案の期間にNotion AIに貼った機微な情報・パスワード・APIキーなどは入れ替える
分かっていること・分かっていないこと
2026年11月13日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| Insights機能で使われたNotion AIのチャット記録 | 悪意のある者にアクセスされた。委託先が11月8日に確認 | 確認済み（同社） |
| Notion AIの合成テストデータ | 最初の連絡のデータ。顧客のデータはなかった | 確認済み（同社） |
| 影響を受けたワークスペースの範囲 | 1%未満 | 確認済み（同社） |
| チャットの作成者・ワークスペースの印 | 大半の影響を受けたワークスペースで、ない | 確認済み（同社） |
| ツール呼び出しの結果 | 含まれない | 含まれない（同社） |
| Notionの他の機能 | 影響を受けていない | 含まれない（同社） |
| AI Meeting Notes（音声・文字起こし・要約） | Notion AIのチャットに入力として使われた場合を除き、影響なし | 含まれない（同社） |
| 委託先のデータ保持 | 契約はゼロデータ保持だったが、同社が使っていたエンドポイントでデータが保持されていた | 確認済み（同社） |
| 委託先上でのモデルの訓練の実験 | LEAPの顧客のデータを使った実験があった。11月3日の時点で止めた | 確認済み（同社） |
| 露出したNotionのAPIキー | 影響を受けた利用者のメッセージの中に見つかり、11月11日に失効させた | 確認済み（同社） |
| Notionのシステムの侵害 | 侵害ではないと説明 | 含まれない（同社） |
| チャットに貼られた機微な情報・認証情報 | 事案の期間に貼っていれば入れ替えを勧める | 可能性（同社） |
| 事案の期間 | 具体的な日付は書かれていない | 記載なし |
| 影響を受けたワークスペースの数・チャットの件数 | 1%未満以外は書かれていない | 記載なし |
| 委託先の侵害の原因 | 書かれていない | 記載なし |
| 調査の最終結果、Insightsの再開 | 調査は続いている。再開の時期は書かれていない | 調査中 |
読み方の注意：「印がない」は、書いた内容が安全という意味ではない
同社が「印がない」としているのは、チャットを書いた人とワークスペースを示す情報が付いていない、という意味です。チャットの文面に、名前、社名、顧客の情報、パスワードやAPIキーが書かれていれば、その文面は見られうるため、同社も入れ替えを勧めています。また「大半」という書き方のため、印のあるものが少数あるかどうかは、告知からは分かりません。
別の事案との関係
Notionの告知は、委託先として、AIの推論基盤を提供する事業者を挙げ、その事業者の公式の更新を見るよう案内しています。この事業者の10月と11月9日の公式発表は、当サイトの別記事 Fireworks AIの不正アクセス（請求情報・データセットに影響） にまとめています。
Notionは自社の事案を委託先の事案として案内し、委託先の公式の更新へのリンクを載せています。ただし、その事業者の公式発表（11月9日更新）には、Notionについての記述はありません。Notionの告知が書く11月2日〜8日の経緯と、その事業者の告知が書く10月23〜25日の経緯の対応関係も、どちらの告知にも書かれていません。当サイトは、両者を結ぶ説明を公式の外から足しません。
チャット記録が外部にアクセスされると、何が起きうるか
以下は一般に言えることで、今回これらが起きたという意味ではありません。今回起きたとして同社が公表しているのは、上の「何が起きたのか」の範囲です。
AIのチャットには、仕事の相談の流れで、顧客の名前、社内の数字、契約の内容、コードの断片、パスワードやAPIキーが入ることがあります。印のないチャットでも、文面から会社や人が推測できる場合があります。貼った認証情報は、発行元で無効にするまで使えるため、入れ替えるまでが危険な期間になります。
AIの機能を使う側・提供する側が見直すこと
本節は同社の対応を評価するものではなく、委託先の侵害の中身も推測しません。同社が公表した経過から、当サイトの見解として、自社で確かめる点に絞ります。
AIのチャットに入れてよい情報の線引きを決める
同社の勧めは、パスワードやAPIキーを貼っていたなら入れ替えることでした。そもそも、AIのチャットに認証情報や顧客の個人情報を入れない、と決めておけば、入れ替えるべき範囲が小さくなります。ルールは、禁止する情報の例を具体的に書いておくと、守られやすくなります（当サイトの見解）。
AIの処理を任せる委託先に、どのデータを渡しているかを洗い出す
同社が委託先に渡していたのは、Insightsの分類処理のためのチャット記録でした。AI機能を提供する側は、外部の事業者に、どの機能で、どのデータを、どの期間渡しているかの一覧を持っておくと、事案のときに影響の範囲をすぐ言えます（当サイトの見解）。
渡すデータは、誰のものか分からない形にする
同社の説明では、影響を受けたワークスペースの大半で、チャットは誰のものか分からない形でした。外部に渡すデータから、作成者とワークスペースの識別子を外す設計は、委託先が侵害されたときの被害を小さくします（Notionの説明から言えること。当サイトの見解）。
委託先を切り離す手順を、普段から用意しておく
同社は、最初の連絡の翌日の朝までに、接続を切り、委託先の中のデータを削除し、通信を止めたと書いています。接続の停止、データの削除の依頼、鍵の失効を、何時間で行えるかを手順にしておくと、このような初動ができます（当サイトの見解）。
委託先の侵害の連絡を、利用者に知らせる窓口を決める
同社は、委託先から11月6日に連絡を受け、11月9日に公表しています。委託先から連絡が来たとき、誰が影響を調べ、いつまでに利用者へ知らせるかを決めておきます（当サイトの見解）。同じようにAIの基盤の事案が利用者に波及した例は Fireworks AIの不正アクセス にあります。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。攻撃の手順は扱っていません。
- Notion「Notice about the Fireworks AI incident that may impact some Notion workspaces」（Notionのヘルプ。英語。2026年11月13日に確認） — notion.com
- Notion「〔AI委託先〕のセキュリティインシデント」（Notionの公式のセキュリティ告知。英語。2026年11月9日公表、11月10日・11日更新。11月13日に確認。最新版は -nov9 のないURL） — notion.com（11月9日版：-nov9）
- 委託先の公式のセキュリティ告知の一覧（Notionの告知が案内するもの。11月13日に確認） — fireworks.ai
更新履歴
2026-11-13：Notionの告知の11月11日の更新（露出したNotionのAPIキーの失効）と、Notionのヘルプの案内を反映した。委託先は契約でデータを保存しないと約束していたが同社が使っていたエンドポイントでデータが保持されていたこと、委託先上でのモデルの訓練の実験（停止済み）、AI Meeting Notesは影響なし、所有者向けの確認画面（CSV）を加え、「11月11日の更新は既出の事実の変更ではない」とした従来の記述を直した。事案の期間や、影響を受けたワークスペースの数は、引き続き書かれていない。
2026-11-12：初版。Notionの公式のセキュリティ告知（11月9日公表、11月10日・11日更新）にもとづく。続報が出たら更新する。
次に読む
- AIの基盤の側の事案：Fireworks AIの不正アクセス（請求情報・データセットに影響）
- AI基盤のキーが焦点になった事案：Northflankのセキュリティインシデント
- キーの扱い：環境変数とAPIキーの基本 ／ フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）