适用对象：注册过企业粉丝站点、用户群组或地方政府粉丝社区的人士，以及在Commune等服务上运营社区的企业和机构。本文基于Commune Inc.以及披露了影响情况的客户公司和机构的官方通告撰写，不涉及攻击技术细节。
事态发展中：本文将随机构发布更多信息而更新
截至2026年10月22日（Commune Inc.2026年10月21日的后续通告）尚不明确
- 各社区的人数和项目（正逐一发送给客户）
- 受影响的客户公司数量
- 系统缺陷的详情
- 第三方机构取证调查的结果（筹备中）
- 全面恢复服务的时间（自10月16日起，面向提出申请的客户分阶段重新开放并限制功能）
- 应用程序、使用电子邮件的新注册以及密码重置恢复的时间
- 帖子及其他数据恢复的时间
10月16日，Commune Inc.宣布，确认安全的社区将分阶段重新开放。提出申请的客户的社区将逐一重新开放，仅限网页浏览器版本，且部分功能受限，因此各社区的重新开放日期有所不同。应用程序、使用电子邮件地址的新注册以及其他部分功能在重新开放时不可用，“忘记密码”重置（发放临时密码）目前已暂停。该公司表示，在维护和测试期间未发现新的未经授权访问或泄露。其10月21日的后续通告确认有166,505名受影响会员（累计统计），并称对全部日志的分析未发现攻击者遗留的任何内容。公司正在筹备由第三方机构进行的取证调查，以客观核实原因和范围。
会员今天应该做什么
查看运营您所在社区的公司的通告
Commune是企业和地方政府用来建立自有粉丝站点和用户群组的服务。会员并非直接在Commune Inc.注册，而是在运营者的社区中注册（例如Suzuki Village或Koikeya GOGO! Land）。因此，您是否受影响取决于您加入的是哪个社区。
请打开下方“检查您是否受影响”表格中您所在社区的通告。如果您的社区未在表中列出，请查看运营者官方网站的新闻栏目。Commune Inc.表示，一旦确认详情，将尽快联系受影响的会员。
不要打开声称来自社区或公司的邮件或短信中的链接
泄露的数据包括电子邮件地址、显示名称、个人资料和群组成员信息。有了这些信息的组合，攻击者就可以编写看似来自社区组织者、带有您正确姓名和相关话题的邮件。
Commune Inc.请用户不要打开可疑邮件或短信中的网址或附件，并将其删除，同时表示绝不会通过电子邮件或电话索要密码。请打开重新开放的通告，并通过书签或运营者的官方网站登录，而不是通过邮件中的链接（参见什么是钓鱼？）。
在10月13日的通告中，Commune Inc.表示，第三方可能会利用泄露的电子邮件地址尝试密码重置流程。即便如此，该公司称，新密码无法被攻击者看到或获取，不存在未经授权登录的风险。如果您收到了您未申请的重置邮件，本站建议您不要点击其中的链接，直接忽略。
密码被更改的144名会员应在重新开放后重置
据Commune Inc.称，有144名会员的密码在未经其操作的情况下被更改为临时密码。这些临时密码已经失效，该公司表示未发现这些密码落入攻击者手中的迹象。
这些会员需要在社区重新开放后，通过登录页面上的“忘记密码”设置新密码。不过，该公司表示，截至10月16日，“忘记密码”重置（发放临时密码）已暂停。请查看运营者或Commune Inc.的通告，了解重置功能何时恢复。
为安全起见，所有会员均已被登出，因此其他会员在重新开放后也需要重新登录。重新开放的社区仅限网页浏览器使用；应用程序暂不可用。请通过书签或运营者的官方网站登录。
如果您在其他地方使用相同的密码，请设置不同的密码
Commune Inc.表示，未确认密码本身发生泄露。即便如此，该公司于10月16日请容易猜到密码或在其他服务上使用相同密码的会员，改为不易猜测的不同密码。Suzuki和Bandai Namco Experience也建议，在其他服务上使用相同密码的人作为预防措施考虑更改密码。不重复使用密码，可以防止一处泄露扩散到其他地方（密码管理器可以让这一点更容易做到）。
如果您在个人资料中填写了住址或电话号码，也请注意电话和信件
每个社区和每位会员泄露的项目有所不同。JMAM表示，其Toki Labo社区中，包括姓名、住址、年龄和电话号码在内的个人资料信息也遭泄露。
如果您在个人资料中填写了住址或电话号码，请注意，除了电子邮件之外，冒充公司或社区的短信、电话或信件也有可能出现。如果来电者要求提供密码、银行卡号或验证码，请不要回答；挂断电话，并拨打官方网站上列出的电话号码回拨确认。
如有疑问，请使用通告中列出的联系方式
在Commune Inc.10月13日的通告中，在Commune社区注册的人员可以将问题或退出申请发送至user-security@commune.co.jp（10月9日的通告提供的是会员表单和security@commune.co.jp）。该公司表示，已另行向会员发送了详细情况的邮件。各运营者的通告中也会公布重新开放的日期。
检查您是否受影响（客户公司和机构的通告）
运营社区的各公司和机构均已发布了通告。下表列出的是本站打开并在其官方页面上核实过的通告（截至2026年10月12日）。其他公司和机构也已发布了通告。
各数字均为各运营者所公布的数字，且各自统计口径不同（“泄露”“可能被查看或获取”“最多”），因此不能相加。
| 运营者 | 社区 | 人数（按公布） | 主要项目（按公布） | 状态 | 日期 |
|---|---|---|---|---|---|
| Yamaha | Yamaha Network Engineer Association（YNE） | 约1,600人 | 电子邮件、显示名称、账户名称、个人资料文本、头像、群组 | 已确认泄露（公司） | 10月9日 |
| JMAM（Japan Management Association Management Center） | Toki Labo | 2,950人（5月12日重新上线后注册） | 显示名称、用户名、电子邮件、个人资料信息（包括姓名、住址、年龄和电话号码） | 已确认泄露（公司） | 10月9日 |
| 青森县 | 青森Biiki | 最多2,950人（估计最大被查看人数，共15,847名会员） | 电子邮件、昵称、账户名称、居住都道府县、年龄段、性别、会员ID、个人资料文本等 | 可能（县政府） | 10月8日 |
| Suzuki | Suzuki Village | 约3,000人 | 电子邮件、昵称、加入日期、性别、年龄段、都道府县、拥有的汽车 | 可能（公司） | 10月9日 |
| Sansan | Sansan User Forum | 确认1,325人，可能8,687人 | 确认项目：电子邮件、显示名称、个人资料文本、个人资料图片、群组（可能的群组部分不含电子邮件） | 已确认泄露／可能（公司） | 10月9日 |
| LY Corporation | DS.LAB（位于DS.INSIGHT内） | 1,750人 | 昵称、账户名称、姓名、个人资料文本、头像、群组、电子邮件、自定义个人资料字段等 | 可能（公司） | 10月9日 |
| Koikeya | Koikeya GOGO! Land | 最多1,800条记录 | 电子邮件、昵称、账户名称、个人资料文本、群组、自定义个人资料字段（性别、年龄段、都道府县等）等 | 已确认泄露（公司） | 10月9日 |
| Calbee | Zeppin-bu粉丝站点 | 未公布 | 电子邮件、显示名称、用户名、个人资料文本、个人资料字段、群组 | 已被查看并获取（公司） | 10月9日 |
| Morinaga Milk | Mount Cafe-bu | 291人 | 电子邮件、显示名称和用户名、个人资料文本、自定义个人资料字段、群组等 | 可能（公司） | 10月9日 |
| LIXIL | Sumai Hiroba／Nyanpeki Hiroba | 未公布 | 昵称、账户名称、电子邮件、个人资料文本（各服务字段不同）、积分等 | 可能（公司） | 10月9日 |
| Bandai Namco Experience | Wangan Midnight Arcade Portal | 未公布 | 电子邮件、昵称、账户名称、个人资料文本、个人资料字段、群组等 | 可能（公司） | 10月9日 |
| DyDo DRINCO | dydo Issho ni Lab | — | 告知未发现损害，也未泄露会员数据（服务已暂停） | 未列入（公司） | 10月9日 |
即使在同一社区内，也取决于您登记过的信息
Calbee和Koikeya表示，其社区不收集或持有住址或电话号码。另一方面，JMAM报告称，姓名、住址和电话号码作为个人资料内容的一部分遭到泄露。如果您所在社区的“主要项目”包括自由填写的个人资料，请记住您在其中填写了什么。
事件经过（据Commune Inc.）
以下内容基于Commune Inc.2026年10月9日的通告、10月13日的紧急维护通告、10月16日的重新开放通告以及10月21日的后续通告。时间均为日本时间。
2026年10月5日约18:00
Commune和Commune for Work开始遭外部第三方未经授权访问。10月6日
公司发现该访问，切断通信并采取防护措施。约21:00起，所有社区切换至维护模式并停止。10月7日
在维护期间留下的一条通信路径上，部分地方发生未经授权的会员注册和查看；该路径于14:58被切断。10月8日约12:00
在内部测试社区确认安全后，申请重新开放的社区开始分阶段重新开放。10月8日
公司首次发布关于“青森Biiki”的通告，该社区是公司为青森县运营的青森旅游粉丝社区。10月9日
公司发布泄露事件的致歉和通告。客户公司和机构在前一天至当天之间发布各自的通告。同日，作为电信运营商，公司向总务省（关东综合通信局）提交了初步报告（据10月21日的后续通告）。10月10日00:50
开始紧急维护，以防止泄露的电子邮件地址被滥用（例如自动批量发帖或使用他人电子邮件地址尝试密码重置）（据10月13日的通告）。10月10日起
所有社区仍处于停止状态期间，公司对管理员账户强制启用双重验证，增加请求频率限制，缩短登录保持时间（最长30天），并暂时限制直接消息等部分功能。公司先重新开放了一个内部测试社区，并表示已确认目前可预见的滥用和骚扰风险已被消除（据10月16日的通告）。10月13日
公司发布紧急维护的通告，称自10月9日以来未发现新的未经授权访问或泄露。10月16日（周五）
公司发布部分社区重新开放的通告。提出申请的客户的社区将逐一重新开放，仅限网页浏览器版本，且部分功能受限。应用程序、使用电子邮件地址的新注册以及“忘记密码”重置仍不可用。公司表示正努力实现全面重新开放。10月21日
公司发布后续通告。经过详细调查，确认有166,505名受影响会员（按社区的累计统计，并非唯一人数），其中125,601人的数据包括电子邮件地址。公司表示已开始向警方咨询，对全部日志的分析未发现攻击者遗留的程序、账户或设置，并正在筹备由第三方机构进行的取证调查。
- 泄露时段
- 10月5日约18:00至10月6日约21:00，以及10月7日13:17至14:36
- 受影响会员（10月21日后续通告）
- 166,505人，按社区统计（累计统计，并非唯一人数）。其中125,601人的数据包括电子邮件地址在内遭泄露
- 人数统计方式（10月21日后续通告）
- 按每个社区统计会员ID的合计。同时加入多个社区的人会被每个社区各计一次（累计统计）。包括公司自营社区及测试/演示社区；不包括攻击者创建的账户
- 首次通告数字（10月9日）
- 约307,000人（估计），为可能受影响的最高人数：其中约126,000人的数据包括电子邮件地址（包括公司自身员工及测试/演示账户约42,000人），约181,000人的数据不包括电子邮件地址（显示名称、个人资料、私有群组成员身份等）。首次通告将此描述为唯一人数的估计，排除了重复的会员ID和攻击者创建的账户
- 密码
- 144名会员的密码在未经其操作的情况下被更改为临时密码。未确认密码本身发生泄露
- 未发现的内容
- 未确认会员之间的私信或密码泄露。公司不持有信用卡或其他支付数据
- 其他产品
- Commune CRM和Commune Engage：曾遭尝试访问，但未发生泄露。Commune Voice、Navigator和DataHub：据目前的调查，未遭访问
- 重新开放前的措施（10月16日）
- 对管理员账户强制启用双重验证，增加针对批量请求和自动化攻击的请求频率限制，缩短登录会话期限（最长30天），并暂时限制直接消息等部分功能
- 公布的原因
- 公司系统中的缺陷被利用。攻击者非法获取了私有社区的邀请链接并以普通会员身份注册，并冒充管理员查看、获取会员数据并覆盖数据
- 应对措施
- 修复了缺陷，更新了用于登录的签名密钥，切断了访问路径并封锁了恶意IP地址，删除了攻击者创建的账户和帖子
- 应对措施（10月21日后续通告）
- 更换了私有社区的共享邀请链接，并使未使用的邀请失效。停止所有社区以更新签名密钥，使所有伪造的登录凭据失效。开始监控访问并检测可疑访问。分析了全部日志；公司目前的调查未发现攻击者遗留的程序、账户或设置。正在筹备由第三方机构进行的取证调查
- 报告（10月21日后续通告）
- 作为电信运营商，于10月9日向总务省（关东综合通信局）提交初步报告。已开始向当地警方咨询
- 数据
- 已回滚至10月6日18:00的状态。正在准备恢复帖子；直接消息、点赞和反应，以及新注册的内容预计无法恢复
该公司表示，事件是由其自身系统遭受攻击导致的，并非由客户的设置或操作引起。作为电信运营商，公司已于10月9日向总务省（关东综合通信局）提交初步报告，并正在向客户提供其向个人信息保护委员会报告所需的信息。其10月21日的后续通告称，已开始向当地警方咨询。
我们已知和未知的内容
截至2026年10月22日的状态（Commune Inc.2026年10月21日的后续通告）。后续通告发布后，状态栏将随之更新。
| 项目 | 通告内容 | 状态 |
|---|---|---|
| 泄露时段 | 10月5日约18:00至10月6日约21:00；10月7日13:17至14:36 | 已确认泄露（公司） |
| 受影响人数 | 166,505人（按社区的累计统计；10月21日后续通告）。首次通告的约307,000人为唯一人数的估计，即可能受影响的最高人数 | 已确认（公司） |
| 电子邮件地址 | 125,601人（累计统计；10月21日后续通告） | 已确认泄露（公司） |
| 显示名称、个人资料文本、私有群组成员身份 | 列为泄露项目。首次通告给出约181,000人（估计）不包括电子邮件地址；后续通告未给出数字 | 已确认泄露（公司） |
| 个人资料中的姓名、住址、电话号码 | Commune Inc.的通告未说明。JMAM报告Toki Labo发生泄露 | 已确认泄露（客户） |
| 密码 | 144人被更改为临时密码；未确认密码本身发生泄露 | 未确认（公司） |
| 直接消息 | 未确认泄露 | 未确认（公司） |
| 信用卡及其他支付数据 | 公司不持有 | 未列入（公司） |
| 各社区人数 | 正逐一发送给受影响的客户 | 调查中 |
| 受影响的客户公司数量 | 通告中未说明 | 未说明 |
| 原因 | 非法获取的邀请链接及对管理员的冒充；缺陷详情未说明 | 已说明（详情未说明） |
| 攻击者遗留的内容 | 在分析全部日志后，截至目前未发现程序、账户或设置（10月21日） | 未发现（公司） |
| 第三方调查 | 正在筹备取证调查（10月21日） | 筹备中（公司） |
| 报告与警方 | 10月9日向关东综合通信局提交初步报告；正在向当地警方咨询（10月21日） | 已发布（公司） |
| 新的未经授权访问或泄露 | 自10月9日通告以来（截至10月13日）以及维护和测试期间（10月16日）均未发现 | 未发现（公司） |
| 滥用或次生危害 | 截至10月9日未确认 | 调查中 |
| 重新开放 | 自10月10日00:50起所有社区停止。自10月16日起，提出申请的客户的社区逐一重新开放，仅限网页浏览器版本，部分功能受限（各社区日期不同） | 已确认（公司） |
| 应用程序、新注册 | 重新开放时，应用程序、使用电子邮件地址的新注册及部分其他功能不可用。全面恢复的时间表正在发送给客户 | 已确认（公司） |
| 密码重置 | “忘记密码”重置（发放临时密码）目前已暂停（10月16日） | 已确认（公司） |
客户的通告中时间和数字可能有所不同
Commune Inc.通告中的时间涵盖整个服务。例如，Yamaha表示，据Commune Inc.称，其自有社区的数据访问发生在10月6日约11:59至约20:36之间。各运营者还会按各自的方式统计其自有社区的数字。请查看您所加入社区的通告，确认您自身的情况。
泄露的内容可能被如何利用
一般而言，以下组合可能导致以下滥用。这并不意味着本次事件中已经发生了这些情况。
- 电子邮件＋显示名称＋社区名称：一封看似来自社区组织者、以您的姓名称呼您的逼真“重新开放”或“积分发放”邮件
- 群组成员身份（包括私有群组）：针对内部话题量身定制的虚假消息，例如“致XX群组成员”
- 个人资料文本和字段（年龄段、都道府县、拥有的汽车、喜爱的产品）：通过提及只有您应该知道的事情来建立信任的素材
- 姓名＋住址＋电话号码（如果填写在个人资料中）：冒充公司的虚假短信、电话或信件
另一起由单一服务商的服务导致多家使用该服务的公司客户数据暴露的案例，是2026年10月公布的大和证券外包商入侵事件（多家使用同一外包商的公司披露了影响）。那里的项目和数字也因客户而异，人们通过与之交易的公司的通告来核实自己是否受影响。
社区运营者应检查的内容
Commune Inc.将事件归因于其自身系统的缺陷，并表示并非由客户的设置或操作导致。本节不评判客户的处理方式。它基于已公布的事件经过和泄露的项目，列出在类似服务上运营社区的运营者可以在自身社区中检查的内容。
始终持有
电子邮件、显示名称、群组
如泄露：冒充组织者的邮件
由会员填写
个人资料文本、自由填写的个人资料字段
如泄露：即使运营者也不清楚泄露了什么
由运营者要求填写
年龄段、都道府县、性别、自定义字段
可以减少：只保留您实际使用的字段
设计个人资料，避免会员填写住址或电话号码
在本次事件中，Calbee和Koikeya能够说明，其社区不收集或持有住址和电话号码。自由填写的个人资料则不同：会员在其中填写的内容并非规定的字段，因此运营者原本并不打算持有的信息也可能泄露。
如果您的社区不需要住址或电话号码，请在个人资料示例和说明中明确说明不要填写，并且不要为其创建自定义字段。检查您为分析而要求填写的字段，例如年龄段或都道府县，并删除您实际不使用的字段。
不要将一个邀请链接当作私有社区的共享密码长期使用
Commune Inc.表示，私有社区的邀请链接被非法获取，并用于以普通会员身份注册。获取方式尚未公布。
一般而言，如果一个邀请链接被所有人共享并长期保留，链接一旦外泄，任何人都可以加入。如果服务支持，请按人发放邀请，并设置有效期和使用次数上限。如果您确实使用共享链接，请定期更换，并结合审批（运营者批准每一次注册），以便发现不明注册。
检查管理员账户和近期注册情况
Commune Inc.表示，会员数据是通过冒充管理员而被查看和获取的。在重新开放之前，公司对管理员账户强制启用了双重验证。尽管这源于服务端的缺陷，但定期检查谁持有管理员权限以及有多少人持有的运营者，更有可能发现其不认识的管理员，或在异常时段批量注册的会员。Commune Inc.表示已删除攻击者创建的账户；但在重新开放前检查一次自己社区的会员名单仍然很有价值。
提前确定并公布与会员联系的真实渠道
发生泄露后，能够保护会员的，是知道运营者的哪些消息是真实的。如果您决定通知始终发布在社区的固定页面和官方网站上，并且邮件中从不包含要求会员登录的链接，并在平时予以公布，会员就能分辨虚假邮件和真实邮件。在本次事件中，也有数家客户公司在通告中表明，它们从不通过电子邮件索要密码。
本站观点：平台可以外包，但收集什么信息仍需您自己决定
即使社区平台由外部服务提供，运营者仍然决定要求会员填写什么内容以及哪些字段为必填。将各客户的通告并列来看，尽管它们使用的是同一服务，但各自列出的项目因各社区收集了什么而不同。从未收集的数据不会泄露。
资料来源（公开记录）
本文事实基于以下公开信息。我们未对未公布的攻击技术进行推测。标题为从日文翻译。
- Commune Inc.，《【后续】关于我们服务的未经授权访问》（2026年10月21日，日文）— communeinc.com
- Commune Inc.，《关于部分社区在我们服务中重新开放的通告》（2026年10月16日，日文）— communeinc.com
- Commune Inc.，《关于我们服务紧急维护的致歉与通告》（2026年10月13日）— communeinc.com
- Commune Inc.，《关于因Commune和Commune for Work服务遭未经授权访问导致个人数据泄露的致歉与通告》（2026年10月9日）— communeinc.com
- Yamaha Corporation，《因外包承包商遭未经授权访问导致客户信息泄露》（2026年10月9日）— yamaha.com
- JMAM，《关于我们用户社区网站Toki Labo因未经授权访问导致个人数据泄露的致歉与通告》（2026年10月9日）— jmam.co.jp
- 青森县，《官方粉丝社区“青森Biiki”确认遭未经授权访问》（2026年10月8日）— pref.aomori.lg.jp
- Suzuki Motor Corporation，《关于我们社区网站Suzuki Village遭未经授权访问的通告》（2026年10月9日）— suzuki.co.jp
- Sansan, Inc.，《关于在线社区Sansan User Forum会员数据泄露的致歉与通告》（2026年10月9日）— corp-sansan.com
- LY Corporation，《关于承包商系统遭未经授权访问导致信息泄露的通告与致歉》（2026年10月9日）— lycorp.co.jp
- Koikeya Co., Ltd.，《因承包商遭未经授权访问导致客户信息泄露》（2026年10月9日）— koikeya.co.jp
- Calbee, Inc.，《关于Zeppin-bu粉丝站点因未经授权访问对会员数据造成影响的通告与致歉》（2026年10月9日）— calbee.co.jp
- Morinaga Milk Industry Co., Ltd.，《因承包商系统遭未经授权访问导致Mount Cafe-bu会员数据泄露的致歉与通告》（2026年10月9日）— morinagamilk.co.jp
- LIXIL Corporation，《因LIXIL社区服务所用承包商服务器遭未经授权访问导致个人数据泄露的致歉与报告》（2026年10月9日）— lixil.co.jp
- Bandai Namco Experience Inc.，《因Wangan Midnight Arcade Portal遭未经授权访问可能导致会员数据泄露的致歉，以及持续维护》（2026年10月9日）— wanganmaxi-official.com
- DyDo DRINCO, Inc.，《粉丝站点dydo Issho ni Lab暂停运营》（2026年10月9日）— dydo.co.jp
更新记录
2026-10-22：已反映Commune Inc.2026年10月21日的后续通告。将受影响会员人数更新为166,505人（按社区的累计统计），其中125,601人的数据包括电子邮件地址在内，并修订了标题以及人数统计方式的说明（首次通告的约307,000人为估计的最高人数）。新增向关东综合通信局提交初步报告、向警方咨询、更换邀请链接等措施、全部日志分析结果以及计划由第三方机构进行的取证调查。标题中增加了“按社区计算”，并说明首次通告的约307,000人为唯一人数的估计。客户通告列表仍为10月12日核实的内容。
2026-10-17：已反映Commune Inc.2026年10月16日的通告：自10月16日起部分社区分阶段重新开放（面向提出申请的客户，仅限网页浏览器，部分功能受限），重新开放时不可用的功能（应用程序、使用电子邮件的新注册、“忘记密码”重置），维护期间采取的措施（包括对管理员强制启用双重验证），以及请求更改密码的内容。该公司表示，在维护和测试期间未发现新的未经授权访问或泄露。客户通告列表仍为10月12日核实的内容。
2026-10-14：已反映Commune Inc.2026年10月13日的通告：自10月10日00:50起的紧急维护，自10月16日起分阶段重新开放的计划，可能的密码重置尝试及其影响，以及会员联系地址（user-security@commune.co.jp）。该公司表示，自10月9日以来未发现新的未经授权访问或泄露。
2026-10-12：首个版本，基于Commune Inc.2026年10月9日的通告以及客户公司和机构的12份通告（10月12日我们确认Commune Inc.的通告未有后续或修订）。在公布各社区数字或原因细节时将予以更新。
延伸阅读
- 相关披露：Studio未经授权访问事件及用户指南
- 类似案例：大和证券外包商入侵事件 / SpeeCAN RAIDEN灾害警报服务遭未经授权访问
- 虚假消息与密码：什么是钓鱼？ / 如何检查您的密码是否泄露 / 正确选择多因素认证
- 2026年其他事件：2026年的数据泄露与网络攻击