대상: 기업 팬 사이트, 사용자 그룹, 지방자치단체 팬 커뮤니티에 가입한 모든 분과 Commune 같은 서비스에서 커뮤니티를 운영하는 기업 및 기관. 이 글은 Commune Inc.와 영향을 공개한 고객 기업 및 기관의 공식 공지를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 공개하는 대로 이 글을 업데이트합니다
2026년 10월 22일 기준(Commune Inc. 2026년 10월 21일자 후속 공지)아직 알려지지 않음
- 커뮤니티별 인원 및 항목 수(고객사에 개별 발송 중)
- 영향을 받은 고객 기업 수
- 시스템 결함의 세부 내용
- 제3자 기관의 포렌식 조사 결과(준비 중)
- 전체 서비스 재개 시기(10월 16일부터 요청한 고객사를 대상으로 일부 기능 제한 상태로 단계적 재개)
- 앱, 이메일 신규 등록, 비밀번호 재설정의 재개 시기
- 게시물 등 데이터 복구 시기
10월 16일 Commune Inc.는 안전이 확인된 커뮤니티부터 단계적으로 재개한다고 발표했습니다. 요청한 고객사의 커뮤니티가 하나씩 재개되며, 웹 브라우저 버전에서만 일부 기능을 제한한 상태로 이용할 수 있으므로 재개 날짜는 커뮤니티마다 다릅니다. 재개 시점에는 앱, 이메일 주소를 이용한 신규 등록 및 일부 기능을 이용할 수 없으며, '비밀번호를 잊으셨나요' 재설정(임시 비밀번호 발급)은 현재 중단되어 있습니다. 회사는 점검 및 테스트 과정에서 새로운 무단 접근이나 유출은 발견되지 않았다고 밝혔습니다. 10월 21일 후속 공지는 영향을 받은 회원 166,505명(누적 집계)을 확인했으며, 모든 로그를 분석한 결과 공격자가 남긴 흔적은 없다고 밝혔습니다. 회사는 원인과 범위를 객관적으로 확인하기 위해 제3자 기관의 포렌식 조사를 준비하고 있습니다.
회원이 오늘 해야 할 일
자신의 커뮤니티를 운영하는 회사의 공지를 확인하십시오
Commune은 기업과 지방자치단체가 자체 팬 사이트와 사용자 그룹을 만들 때 사용하는 서비스입니다. 회원은 Commune Inc.에 직접 가입하는 것이 아니라, 운영자의 커뮤니티(예: Suzuki Village 또는 Koikeya GOGO! Land)에 가입합니다. 따라서 영향 여부는 가입한 커뮤니티에 따라 다릅니다.
아래 "영향 여부 확인" 표에서 자신의 커뮤니티 공지를 여십시오. 목록에 없다면 운영자의 공식 웹사이트 뉴스 섹션을 확인하십시오. Commune Inc.는 세부 사항이 확인되는 대로 영향을 받은 회원에게 연락하겠다고 밝혔습니다.
커뮤니티나 회사를 사칭한 이메일이나 문자의 링크는 열지 마십시오
유출된 데이터에는 이메일 주소, 표시 이름, 프로필, 그룹 가입 정보가 포함됩니다. 이 조합으로 본인의 정확한 이름과 관심 주제를 담아 커뮤니티 운영자가 보낸 것처럼 보이는 이메일을 작성할 수 있습니다.
Commune Inc.는 의심스러운 이메일이나 문자 메시지의 URL이나 첨부 파일을 열지 말고 삭제하라고 요청하며, 이메일이나 전화로 비밀번호를 요구하는 일은 절대 없다고 밝혔습니다. 재개 공지는 이메일 링크가 아니라 북마크나 운영자의 공식 웹사이트를 통해 열고 로그인하십시오(피싱이란 무엇인가? 참고).
Commune Inc.는 10월 13일 공지에서 제3자가 유출된 이메일 주소를 이용해 비밀번호 재설정 절차를 시도할 수 있다고 밝혔습니다. 그래도 새 비밀번호는 공격자가 보거나 얻을 수 없으므로 무단 로그인 위험은 없다고 설명합니다. 요청하지 않은 재설정 이메일을 받았다면, 이 사이트는 링크를 열지 말고 그대로 두기를 권장합니다.
비밀번호가 변경된 144명의 회원은 재개 후 재설정하십시오
Commune Inc.에 따르면 144명의 회원은 본인 조작 없이 비밀번호가 임시 비밀번호로 변경되었습니다. 임시 비밀번호는 이미 만료되었으며, 회사는 이것이 공격자에게 전달되었다는 흔적은 발견하지 못했다고 밝혔습니다.
해당 회원은 커뮤니티가 재개된 후 로그인 화면의 "비밀번호를 잊으셨나요"를 이용해 새 비밀번호를 설정해야 합니다. 다만 회사는 10월 16일 기준으로 "비밀번호를 잊으셨나요" 재설정(임시 비밀번호 발급)이 중단되어 있다고 밝혔습니다. 재설정 재개 시기는 운영자 또는 Commune Inc.의 공지를 확인하십시오.
안전을 위해 모든 회원은 로그아웃되었으므로, 나머지 회원도 재개 후 다시 로그인해야 합니다. 재개된 커뮤니티는 웹 브라우저에서만 작동하며, 앱은 아직 이용할 수 없습니다. 북마크나 운영자의 공식 웹사이트를 통해 로그인하십시오.
다른 곳에서도 같은 비밀번호를 쓴다면 다르게 바꾸십시오
Commune Inc.는 비밀번호 자체의 유출은 확인되지 않았다고 밝혔습니다. 그래도 10월 16일에는 추측하기 쉬운 비밀번호나 다른 서비스와 같은 비밀번호를 쓰는 회원에게 추측하기 어려운 다른 비밀번호로 바꾸라고 요청했습니다. 스즈키와 Bandai Namco Experience도 다른 서비스에서 같은 비밀번호를 쓰는 사람에게 예방 차원의 변경을 고려하라고 권고했습니다. 비밀번호를 재사용하지 않으면 한 곳의 유출이 다른 곳으로 번지는 것을 막을 수 있습니다(비밀번호 관리자를 사용하면 이를 쉽게 실천할 수 있습니다).
프로필에 주소나 전화번호를 적었다면 전화와 우편물도 주의하십시오
항목은 커뮤니티와 회원에 따라 다릅니다. JMAM은 자사 Toki Labo 커뮤니티에서 이름, 주소, 나이, 전화번호를 포함한 프로필 정보도 유출되었다고 밝혔습니다.
프로필에 주소나 전화번호를 적었다면, 회사나 커뮤니티를 사칭한 문자, 전화, 우편물도 이메일뿐 아니라 가능하다는 점을 염두에 두십시오. 전화로 비밀번호, 카드 번호, 인증 번호를 요구하면 응답하지 말고 전화를 끊은 뒤 공식 웹사이트에 적힌 번호로 다시 거십시오.
문의는 공지에 적힌 연락처를 이용하십시오
Commune Inc.의 10월 13일 공지에서 Commune 커뮤니티에 가입한 분은 user-security@commune.co.jp로 문의나 탈퇴 요청을 보낼 수 있습니다(10월 9일 공지에는 회원 문의 양식과 security@commune.co.jp가 안내되었습니다). 회사는 별도로 회원에게 이메일로 상세 내용을 안내했다고 밝혔습니다. 재개 일정은 각 운영자의 공지에서도 발표됩니다.
영향 여부 확인(고객 기업 및 기관의 공지)
커뮤니티를 운영하는 기업과 기관은 각각 공지를 게시했습니다. 아래 표는 이 사이트가 공식 페이지에서 열어 확인한 공지입니다(2026년 10월 12일 기준). 그 밖의 기업과 기관도 공지를 게시했습니다.
수치는 각 운영자가 발표한 그대로이며, 집계 방식도 다릅니다("유출", "열람 또는 탈취 가능성", "최대"). 따라서 수치를 합산할 수 없습니다.
| 운영자 | 커뮤니티 | 인원(발표 기준) | 주요 항목(발표 기준) | 상태 | 날짜 |
|---|---|---|---|---|---|
| Yamaha | Yamaha Network Engineer Association (YNE) | 약 1,600명 | 이메일, 표시 이름, 계정 이름, 프로필 텍스트, 아이콘, 그룹 | 유출 확인(회사) | 10월 9일 |
| JMAM (Japan Management Association Management Center) | Toki Labo | 2,950명(5월 12일 재개 이후 등록) | 표시 이름, 사용자 이름, 이메일, 프로필 정보(이름, 주소, 나이, 전화번호 포함) | 유출 확인(회사) | 10월 9일 |
| Aomori Prefecture | Aomori Biiki | 최대 2,950명(열람 가능성이 있는 최대 추정치, 회원 15,847명 중) | 이메일, 닉네임, 계정 이름, 거주 현, 연령대, 성별, 회원 ID, 프로필 텍스트 등 | 가능성 있음(현청) | 10월 8일 |
| Suzuki | Suzuki Village | 약 3,000명 | 이메일, 닉네임, 가입일, 성별, 연령대, 거주 현, 보유 차량 | 가능성 있음(회사) | 10월 9일 |
| Sansan | Sansan User Forum | 확인 1,325명, 가능성 8,687명 | 확인: 이메일, 표시 이름, 프로필 텍스트, 프로필 사진, 그룹(가능성 있는 그룹에는 이메일 제외) | 유출 확인 / 가능성 있음(회사) | 10월 9일 |
| LY Corporation | DS.LAB (DS.INSIGHT 내) | 1,750명 | 닉네임, 계정 이름, 이름, 프로필 텍스트, 아이콘, 그룹, 이메일, 사용자 지정 프로필 필드 등 | 가능성 있음(회사) | 10월 9일 |
| Koikeya | Koikeya GOGO! Land | 최대 1,800건 | 이메일, 닉네임, 계정 이름, 프로필 텍스트, 그룹, 사용자 지정 프로필 필드(성별, 연령대, 거주 현 등) 등 | 유출 확인(회사) | 10월 9일 |
| Calbee | Zeppin-bu 팬 사이트 | 발표 없음 | 이메일, 표시 이름, 사용자 이름, 프로필 텍스트, 프로필 필드, 그룹 | 열람 및 탈취 확인(회사) | 10월 9일 |
| Morinaga Milk | Mount Cafe-bu | 291명 | 이메일, 표시 및 사용자 이름, 프로필 텍스트, 사용자 지정 프로필 필드, 그룹 등 | 가능성 있음(회사) | 10월 9일 |
| LIXIL | Sumai Hiroba / Nyanpeki Hiroba | 발표 없음 | 닉네임, 계정 이름, 이메일, 프로필 텍스트(서비스별로 필드 다름), 포인트 등 | 가능성 있음(회사) | 10월 9일 |
| Bandai Namco Experience | Wangan Midnight Arcade Portal | 발표 없음 | 이메일, 닉네임, 계정 이름, 프로필 텍스트, 프로필 필드, 그룹 등 | 가능성 있음(회사) | 10월 9일 |
| DyDo DRINCO | dydo Issho ni Lab | — | 피해가 확인되지 않았고 회원 데이터 유출이 없었다고 통보받음(서비스 중단) | 포함되지 않음(회사) | 10월 9일 |
같은 커뮤니티 안에서도 등록한 내용에 따라 다릅니다
Calbee와 Koikeya는 커뮤니티에서 주소나 전화번호를 수집하거나 보유하지 않는다고 밝혔습니다. 반면 JMAM은 프로필 내용의 일부로 이름, 주소, 전화번호가 유출되었다고 보고했습니다. 자신의 커뮤니티의 "주요 항목"에 자유 입력 프로필이 포함되어 있다면, 그곳에 무엇을 적었는지 기억하십시오.
무슨 일이 있었나(Commune Inc. 발표 기준)
아래 내용은 2026년 10월 9일 Commune Inc.의 공지, 10월 13일 긴급 점검 공지, 10월 16일 재개 공지, 10월 21일 후속 공지를 바탕으로 합니다. 시간은 일본 시간입니다.
2026년 10월 5일 18:00경
Commune과 Commune for Work가 외부 제3자의 무단 접근을 받기 시작합니다.10월 6일
회사는 접근을 감지하고 통신을 차단하며 방어 조치를 적용합니다. 21시경부터 모든 커뮤니티가 점검 모드로 전환되어 중단됩니다.10월 7일
점검 중 열려 있던 통신 경로를 통해 일부에서 무단 회원 등록과 열람이 발생하며, 14:58에 차단됩니다.10월 8일 12:00경
내부 테스트 커뮤니티에서 안전을 확인한 뒤, 재개를 요청한 커뮤니티가 단계적으로 재개되기 시작합니다.10월 8일
회사는 아오모리현을 위해 운영하는 아오모리 관광 팬 커뮤니티 "Aomori Biiki"에 관한 공지를 처음 게시합니다.10월 9일
회사는 유출에 대한 사과와 공지를 게시합니다. 고객 기업 및 기관은 전날과 이날 사이에 각자 공지를 게시합니다. 같은 날 회사는 전기통신사업자로서 총무성(간토종합통신국)에 예비 보고서를 제출합니다(10월 21일 후속 공지 기준).10월 10일 00:50
유출된 이메일 주소의 악용(다른 사람의 이메일 주소를 이용한 자동 대량 게시나 비밀번호 재설정 시도 등)을 막기 위해 긴급 점검이 시작됩니다(10월 13일 공지 기준).10월 10일 이후
모든 커뮤니티가 여전히 중단된 상태에서, 회사는 관리자 계정에 2단계 인증을 의무화하고, 요청 빈도 제한을 추가하며, 로그인 유지 시간을 최대 30일로 줄이고, 다이렉트 메시지 등 일부 기능을 일시적으로 제한합니다. 먼저 내부 테스트 커뮤니티를 재개했으며, 현재 예상 가능한 악용 및 방해 위험이 제거되었다고 확인했다고 밝혔습니다(10월 16일 공지 기준).10월 13일
회사는 긴급 점검에 관한 공지를 게시하며, 10월 9일 이후 새로운 무단 접근이나 유출은 발견되지 않았다고 밝힙니다.10월 16일(금)
회사는 일부 커뮤니티 재개에 관한 공지를 게시합니다. 요청한 고객사의 커뮤니티가 하나씩 재개되며, 웹 브라우저 버전에서만, 일부 기능을 제한한 상태로 이용할 수 있습니다. 앱, 이메일 주소를 이용한 신규 등록, "비밀번호를 잊으셨나요" 재설정은 여전히 이용할 수 없습니다. 회사는 전면 재개를 향해 작업 중이라고 밝혔습니다.10월 21일
회사는 후속 공지를 게시합니다. 상세 조사 후 166,505명의 영향 회원(커뮤니티별 누적 집계, 고유 인원 아님)을 확인했으며, 그중 125,601명은 이메일 주소를 포함한 데이터가 유출되었습니다. 회사는 경찰과 상담을 시작했고, 모든 로그를 분석한 결과 공격자가 남긴 프로그램, 계정, 설정은 발견되지 않았다고 밝혔으며, 제3자 기관의 포렌식 조사를 준비 중이라고 밝혔습니다.
- 유출 기간
- 2026년 10월 5일 18:00경부터 10월 6일 21:00경까지, 그리고 10월 7일 13:17부터 14:36까지
- 영향을 받은 회원(10월 21일 후속 공지)
- 166,505명, 커뮤니티별 집계(누적 집계, 고유 인원 아님). 이 중 125,601명은 이메일 주소를 포함한 데이터가 유출됨
- 집계 방법(10월 21일 후속 공지)
- 회원 ID를 커뮤니티별로 합산한 수치입니다. 여러 커뮤니티에 속한 사람은 커뮤니티마다 한 번씩 계산됩니다(누적 집계). 회사가 운영하는 커뮤니티와 테스트·데모 커뮤니티를 포함하며, 공격자가 만든 계정은 제외합니다
- 최초 공지 수치(10월 9일)
- 최대 영향 가능 인원 약 307,000명(추정): 이메일 주소를 포함한 데이터 약 126,000명(회사 직원 및 테스트·데모 계정 약 42,000명 포함), 이메일 주소가 없는 데이터(표시 이름, 프로필, 비공개 그룹 가입 정보 등) 약 181,000명. 최초 공지는 중복 회원 ID와 공격자가 만든 계정을 제외한 고유 인원 추정치라고 설명했습니다
- 비밀번호
- 144명의 회원은 본인 조작 없이 비밀번호가 임시 비밀번호로 변경되었습니다. 비밀번호 자체의 유출은 확인되지 않았습니다
- 확인되지 않은 항목
- 회원 간 다이렉트 메시지나 비밀번호의 유출은 확인되지 않았습니다. 회사는 신용카드 또는 기타 결제 정보를 보유하지 않습니다
- 다른 제품
- Commune CRM 및 Commune Engage: 접근 시도는 있었으나 유출은 없었습니다. Commune Voice, Navigator, DataHub: 현재까지 조사에서 접근되지 않았습니다
- 재개 전 조치(10월 16일)
- 관리자 계정 2단계 인증 의무화, 대량 요청 및 자동화 공격에 대비한 요청 빈도 제한 추가, 로그인 세션 제한 단축(최대 30일), 다이렉트 메시지 등 일부 기능의 일시 제한
- 발표된 원인
- 회사 시스템의 결함이 악용되었습니다. 공격자는 비공개 커뮤니티의 초대 링크를 부정한 방법으로 얻어 일반 회원으로 등록했고, 관리자를 사칭해 회원 데이터를 열람·탈취하고 데이터를 덮어썼습니다
- 대응
- 결함을 수정하고, 로그인에 사용하는 서명 키를 갱신하고, 접근 경로를 차단하고, 악성 IP 주소를 차단하고, 공격자가 만든 계정과 게시물을 삭제했습니다
- 대응(10월 21일 후속 공지)
- 비공개 커뮤니티의 공유 초대 링크를 교체하고 사용되지 않은 초대를 무효화했습니다. 서명 키를 갱신하기 위해 모든 커뮤니티를 중단하여 위조된 로그인 인증 정보를 모두 무효화했습니다. 접근 모니터링과 의심스러운 접근 탐지를 시작했습니다. 모든 로그를 분석했으며, 지금까지의 조사에서 공격자가 남긴 프로그램, 계정, 설정은 발견되지 않았습니다. 제3자 기관의 포렌식 조사를 준비 중입니다
- 보고(10월 21일 후속 공지)
- 10월 9일 전기통신사업자로서 총무성(간토종합통신국)에 예비 보고서를 제출했습니다. 지역 경찰과 상담을 시작했습니다
- 데이터
- 2026년 10월 6일 18:00 시점의 상태로 롤백했습니다. 게시물 복구를 준비 중이며, 다이렉트 메시지, 좋아요 및 반응, 신규 등록분은 복구되지 않을 것으로 예상합니다
회사는 이번 사고가 자사 시스템에 대한 공격으로 발생했으며 고객사의 설정이나 운영으로 인한 것이 아니라고 밝혔습니다. 전기통신사업자로서 10월 9일 총무성(간토종합통신국)에 예비 보고서를 제출했으며, 고객사가 개인정보보호위원회에 보고하는 데 필요한 정보를 제공하고 있다고 밝혔습니다. 10월 21일 후속 공지는 지역 경찰과 상담을 시작했다고 밝혔습니다.
확인된 내용과 확인되지 않은 내용
2026년 10월 22일 기준 상태(Commune Inc. 2026년 10월 21일자 후속 공지). 후속 공지가 게시되면 상태 열을 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 유출 기간 | 10월 5일 18:00경부터 10월 6일 21:00경까지; 10월 7일 13:17부터 14:36까지 | 유출 확인(회사) |
| 영향을 받은 인원 | 166,505명(커뮤니티별 누적 집계; 10월 21일 후속 공지). 최초 공지의 약 307,000명은 최대 영향 가능 인원에 대한 고유 인원 추정치였음 | 확인(회사) |
| 이메일 주소 | 125,601명(누적 집계; 10월 21일 후속 공지) | 유출 확인(회사) |
| 표시 이름, 프로필 텍스트, 비공개 그룹 가입 정보 | 유출 항목으로 명시됨. 최초 공지는 이메일 주소가 없는 약 181,000명(추정)을 제시했으며, 후속 공지에는 수치가 없음 | 유출 확인(회사) |
| 프로필의 이름, 주소, 전화번호 | Commune Inc.의 공지에는 명시되지 않음. JMAM은 Toki Labo에서 유출을 보고함 | 유출 확인(고객사) |
| 비밀번호 | 144명이 임시 비밀번호로 변경됨; 비밀번호 자체의 유출은 확인되지 않음 | 확인되지 않음(회사) |
| 다이렉트 메시지 | 유출 확인되지 않음 | 확인되지 않음(회사) |
| 신용카드 및 기타 결제 정보 | 회사가 보유하지 않음 | 포함되지 않음(회사) |
| 커뮤니티별 인원 | 영향을 받은 고객사에 개별 발송 중 | 조사 중 |
| 영향을 받은 고객 기업 수 | 공지에 명시되지 않음 | 명시되지 않음 |
| 원인 | 부정한 방법으로 얻은 초대 링크와 관리자 사칭; 결함의 세부 내용은 명시되지 않음 | 설명됨(세부 내용 미공개) |
| 공격자가 남긴 흔적 | 모든 로그 분석 후, 지금까지 프로그램, 계정, 설정은 발견되지 않음(10월 21일) | 발견되지 않음(회사) |
| 제3자 조사 | 포렌식 조사 준비 중(10월 21일) | 준비 중(회사) |
| 보고 및 경찰 | 10월 9일 간토종합통신국에 예비 보고서 제출; 지역 경찰과 상담 중(10월 21일) | 게시됨(회사) |
| 새로운 무단 접근 또는 유출 | 10월 9일 공지 이후(10월 13일 기준) 및 점검·테스트 중(10월 16일) 발견되지 않음 | 발견되지 않음(회사) |
| 악용 또는 2차 피해 | 10월 9일 기준 확인되지 않음 | 조사 중 |
| 재개 | 10월 10일 00:50부터 모든 커뮤니티 중단. 10월 16일부터 요청한 고객사의 커뮤니티가 하나씩 웹 브라우저 버전에서만, 일부 기능 제한 상태로 재개(날짜는 커뮤니티마다 다름) | 확인(회사) |
| 앱, 신규 등록 | 재개 시점에 앱, 이메일 주소를 이용한 신규 등록 및 일부 기능은 이용할 수 없음. 전면 복구 일정은 고객사에 발송 중 | 확인(회사) |
| 비밀번호 재설정 | "비밀번호를 잊으셨나요" 재설정(임시 비밀번호 발급)은 현재 중단됨(10월 16일) | 확인(회사) |
고객사 공지는 시간과 수치가 다를 수 있습니다
Commune Inc.의 공지 시간은 서비스 전체를 기준으로 합니다. 예를 들어 Yamaha는 Commune Inc.에 따르면 자사 커뮤니티 데이터에 대한 접근이 10월 6일 약 11:59부터 약 20:36까지 있었다고 밝혔습니다. 각 운영자는 자사 커뮤니티의 수치도 자체 방식으로 집계하여 발표합니다. 가입한 커뮤니티의 공지에서 자신의 상황을 확인하십시오.
유출된 항목이 악용될 수 있는 방식
일반적으로 다음과 같은 조합은 아래와 같은 악용을 가능하게 합니다. 이는 이번 사고에서 실제로 일어났다는 뜻이 아닙니다.
- 이메일 + 표시 이름 + 커뮤니티 이름: 이름으로 본인을 지칭하며 커뮤니티 운영자가 보낸 것처럼 보이는 그럴듯한 "재개" 또는 "포인트 지급" 이메일
- 그룹 가입 정보(비공개 그룹 포함): "XX 그룹 회원님께"처럼 내부 주제에 맞춘 가짜 메시지
- 프로필 텍스트 및 필드(연령대, 거주 현, 보유 차량, 선호 제품): 본인만 알 법한 내용을 언급해 신뢰를 쌓는 자료
- 이름 + 주소 + 전화번호(프로필에 적은 경우): 회사를 사칭한 가짜 문자, 전화, 우편물
하나의 서비스 제공업체가 이를 이용하는 여러 회사의 고객 데이터를 노출한 또 다른 사례는 2026년 10월에 공개된 다이와증권 외주업체 침해입니다(같은 외주업체를 이용하는 여러 회사가 영향을 공개함). 이 사례에서도 항목과 수치는 고객사마다 달랐으며, 사람들은 거래하는 회사의 공지를 통해 영향 여부를 확인했습니다.
커뮤니티 운영자가 점검해야 할 사항
Commune Inc.는 이번 사고를 자사 시스템의 결함 탓으로 돌리며, 고객사의 설정이나 운영으로 인한 것이 아니라고 밝혔습니다. 이 섹션은 고객사의 대응을 평가하지 않습니다. 공개된 사건 경과와 유출 항목을 바탕으로, 유사한 서비스에서 커뮤니티를 운영하는 운영자가 자신의 커뮤니티에서 확인할 수 있는 사항을 정리합니다.
항상 보유
이메일, 표시 이름, 그룹
유출 시: 운영자를 사칭한 이메일
회원이 직접 입력
프로필 텍스트, 자유 입력 프로필 필드
유출 시: 운영자도 무엇이 유출되었는지 모를 수 있음
운영자가 요청
연령대, 거주 현, 성별, 사용자 지정 필드
줄일 수 있음: 실제로 쓰는 필드만 보관
회원이 주소나 전화번호를 적지 않도록 프로필을 설계하십시오
이번 사례에서 Calbee와 Koikeya는 자신들의 커뮤니티에서 주소와 전화번호를 수집하거나 보유하지 않는다고 말할 수 있었습니다. 자유 입력 프로필은 다릅니다. 회원이 그곳에 적는 내용은 정해진 필드가 아니므로, 운영자가 보유할 의도가 없던 정보도 유출될 수 있습니다.
커뮤니티에 주소나 전화번호가 필요하지 않다면, 프로필 예시와 안내에 적지 말라고 분명히 밝히고, 이를 위한 사용자 지정 필드를 만들지 마십시오. 연령대나 거주 현처럼 분석을 위해 요청하는 필드를 검토하고, 실제로 쓰지 않는 필드는 삭제하십시오.
비공개 커뮤니티의 초대 링크를 공유 비밀번호처럼 계속 쓰지 마십시오
Commune Inc.는 비공개 커뮤니티의 초대 링크가 부정한 방법으로 입수되어 일반 회원으로 등록하는 데 쓰였다고 밝혔습니다. 어떻게 입수되었는지는 공개되지 않았습니다.
일반적으로 하나의 초대 링크를 모든 사람과 공유하고 오래 유지하면, 링크가 유출된 뒤 누구나 가입할 수 있습니다. 서비스가 지원한다면 사람별로 만료일과 사용 횟수 제한을 둔 초대를 발급하십시오. 공유 링크를 쓴다면 정기적으로 교체하고, 승인 절차(운영자가 가입마다 승인)와 함께 사용해 알 수 없는 가입을 알아챌 수 있도록 하십시오.
관리자 계정과 최근 등록 내역을 검토하십시오
Commune Inc.는 관리자를 사칭해 회원 데이터가 열람되고 탈취되었다고 밝혔습니다. 재개 전 회사는 관리자 계정에 2단계 인증을 의무화했습니다. 이는 서비스 측 결함에서 비롯되었지만, 관리자 권한을 누가 가졌고 몇 명인지 정기적으로 확인하는 운영자는 알 수 없는 관리자나 이상한 시간대에 이루어진 대량 회원 등록을 더 쉽게 알아챌 수 있습니다. Commune Inc.는 공격자가 만든 계정을 삭제했다고 밝혔지만, 재개 전에 자신의 커뮤니티 회원 목록을 한 번 검토하는 것은 여전히 가치가 있습니다.
회원과 연락하는 정식 채널을 미리 정하고 공지하십시오
유출 후 회원을 보호하는 것은 운영자가 보내는 메시지 중 무엇이 진짜인지 아는 것입니다. 공지는 커뮤니티의 고정 페이지와 공식 웹사이트에만 게시하고, 이메일에는 회원에게 로그인을 요구하는 링크를 절대 넣지 않는다고 정하여 평소에 알리십시오. 그러면 회원은 가짜 이메일과 진짜 이메일을 구별할 수 있습니다. 이번 사례에서도 여러 고객 기업이 공지에서 이메일로 비밀번호를 요구하지 않는다고 밝혔습니다.
이 사이트의 견해: 플랫폼은 외부에 맡길 수 있지만, 무엇을 수집할지는 운영자가 결정합니다
커뮤니티 플랫폼을 외부 서비스가 제공하더라도, 회원에게 무엇을 적도록 요청할지와 어떤 필드를 필수로 할지는 운영자가 결정합니다. 고객사 공지를 나란히 보면, 같은 서비스를 사용했음에도 각 공지에 나온 항목은 각 커뮤니티가 무엇을 수집했는지에 따라 달랐습니다. 수집하지 않은 데이터는 유출될 수 없습니다.
출처(공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 기법에 대해서는 추측하지 않았습니다. 제목은 일본어 원문을 번역한 것입니다.
- Commune Inc., "[후속] 서비스에 대한 무단 접근"(2026년 10월 21일, 일본어) — communeinc.com
- Commune Inc., "서비스 일부 커뮤니티 재개에 관한 안내"(2026년 10월 16일, 일본어) — communeinc.com
- Commune Inc., "서비스 긴급 점검에 관한 사과 및 안내"(2026년 10월 13일) — communeinc.com
- Commune Inc., "Commune 및 Commune for Work 서비스에 대한 무단 접근으로 인한 개인정보 유출에 관한 사과 및 안내"(2026년 10월 9일) — communeinc.com
- Yamaha Corporation, "외주 계약업체에 대한 무단 접근으로 인한 고객 정보 유출"(2026년 10월 9일) — yamaha.com
- JMAM, "사용자 커뮤니티 사이트 Toki Labo에서 무단 접근으로 인한 개인정보 유출에 관한 사과 및 안내"(2026년 10월 9일) — jmam.co.jp
- 아오모리현, "공식 팬 커뮤니티 Aomori Biiki에서 무단 접근 확인"(2026년 10월 8일) — pref.aomori.lg.jp
- Suzuki Motor Corporation, "커뮤니티 사이트 Suzuki Village에 대한 무단 접근 공지"(2026년 10월 9일) — suzuki.co.jp
- Sansan, Inc., "온라인 커뮤니티 Sansan User Forum의 회원 데이터 유출에 관한 사과 및 안내"(2026년 10월 9일) — corp-sansan.com
- LY Corporation, "외주업체 시스템에 대한 무단 접근으로 인한 정보 유출에 관한 안내 및 사과"(2026년 10월 9일) — lycorp.co.jp
- Koikeya Co., Ltd., "외주업체에 대한 무단 접근으로 인한 고객 정보 유출"(2026년 10월 9일) — koikeya.co.jp
- Calbee, Inc., "팬 사이트 Zeppin-bu의 무단 접근으로 인한 회원 데이터 영향에 관한 안내 및 사과"(2026년 10월 9일) — calbee.co.jp
- Morinaga Milk Industry Co., Ltd., "외주업체 시스템에 대한 무단 접근으로 인한 Mount Cafe-bu 회원 데이터 유출에 관한 사과 및 안내"(2026년 10월 9일) — morinagamilk.co.jp
- LIXIL Corporation, "LIXIL 커뮤니티 서비스에 사용되는 외주업체 서버에 대한 무단 접근으로 인한 개인정보 유출에 관한 사과 및 보고"(2026년 10월 9일) — lixil.co.jp
- Bandai Namco Experience Inc., "Wangan Midnight Arcade Portal에 대한 무단 접근으로 인한 회원 데이터 유출 가능성에 관한 사과 및 점검 지속"(2026년 10월 9일) — wanganmaxi-official.com
- DyDo DRINCO, Inc., "팬 사이트 dydo Issho ni Lab 운영 중단"(2026년 10월 9일) — dydo.co.jp
업데이트 기록
2026-10-22: Commune Inc.의 10월 21일 후속 공지를 반영했습니다. 영향 회원 수를 166,505명(커뮤니티별 누적 집계)으로, 그중 125,601명은 이메일 주소를 포함한 데이터로 업데이트했고, 제목과 집계 방법 설명을 수정했습니다(최초 공지의 약 307,000명은 추정 최대치였음). 간토종합통신국 예비 보고서, 경찰 상담, 초대 링크 교체 등의 조치, 전체 로그 분석 결과, 제3자 기관의 포렌식 조사 계획을 추가했습니다. 제목에 "커뮤니티별 집계"를 추가했고, 최초 공지의 약 307,000명은 고유 인원 추정치였음을 명시했습니다. 고객사 공지 목록은 여전히 10월 12일 확인 기준입니다.
2026-10-17: Commune Inc.의 10월 16일 공지를 반영했습니다. 10월 16일부터 일부 커뮤니티의 단계적 재개(요청한 고객사 대상, 웹 브라우저 전용, 일부 기능 제한), 재개 시점에 이용할 수 없는 기능(앱, 이메일 신규 등록, "비밀번호를 잊으셨나요" 재설정), 점검 중 취한 조치(관리자 2단계 인증 의무화 포함), 비밀번호 변경 요청을 반영했습니다. 회사는 점검이나 테스트 중 새로운 무단 접근이나 유출은 발견되지 않았다고 밝혔습니다. 고객사 공지 목록은 여전히 10월 12일 확인 기준입니다.
2026-10-14: Commune Inc.의 10월 13일 공지를 반영했습니다. 10월 10일 00:50부터의 긴급 점검, 10월 16일부터 단계적 재개 계획, 가능한 비밀번호 재설정 시도와 그 영향, 회원 문의 주소(user-security@commune.co.jp)를 반영했습니다. 회사는 10월 9일 이후 새로운 무단 접근이나 유출은 발견되지 않았다고 밝혔습니다.
2026-10-12: 최초 버전입니다. Commune Inc.의 10월 9일 공지와 고객 기업 및 기관의 공지 12건을 바탕으로 작성했습니다(10월 12일에 Commune Inc.의 공지에 대한 후속 또는 수정이 없음을 확인했습니다). 커뮤니티별 수치나 원인의 세부 내용이 공개되면 업데이트합니다.
다음으로 읽기
- 관련 공개 자료: Studio 무단 접근 및 이용자 안내
- 유사 사례: 다이와증권 외주업체 침해 / SpeeCAN RAIDEN 재해 경보 서비스 무단 접근
- 가짜 메시지와 비밀번호: 피싱이란 무엇인가? / 비밀번호 유출 여부 확인 방법 / MFA를 올바르게 선택하는 방법
- 2026년 기타 사고: 2026년 데이터 유출 및 사이버 공격