【コミューン】企業のコミュニティサービス「Commune」に不正アクセス、約30.7万人の会員情報が漏えい

公表：2026年10月9日／続報：10月12日（臨時メンテナンスのお知らせ）／続報：10月14日（マツダ「CLUB MAZDA COMMUNITY」が影響を公表）／続報：10月16日（安全を確認できたコミュニティから機能を制限して順次再開）

3行でわかるポイント

1. 企業が顧客や社員向けのコミュニティを作るサービス「Commune」「Commune for Work」が不正アクセスを受け、会員約30.7万人分（推計）の情報が漏れました。
2. うち約12.6万人分はメールアドレスを含みます。144人はパスワードが勝手に仮パスワードに変えられましたが、パスワードそのものの漏えいは確認されていません。
3. 企業のコミュニティに登録した覚えがある人は、その企業やCommuneを名乗る不審なメールに注意し、案内に従ってログインし直してください。

何が起きたか

コミューン株式会社は10月9日、同社のサービスが10月5日18時ごろから6日にかけて外部から不正アクセスを受け、一部のコミュニティで会員情報が漏れたと発表しました。6日に検知し、同日21時ごろから全コミュニティを止めて調査と復旧を進めました。7日にも、メンテナンス中に残っていた通信経路から不正な会員登録と閲覧が一部であり、同日14時58分に遮断しています。

Communeは多くの企業が顧客向けのファンコミュニティなどに使っているサービスで、影響を受けた契約企業には個別に連絡しているとしています。8日正午ごろから、安全を確認できたコミュニティを順次再開しました。

漏れた可能性のある情報

影響／原因

攻撃者は、システムの不備を突いて非公開コミュニティの招待リンクを手に入れ、一般会員として登録しました。さらに管理者になりすまして会員情報を見たり取り出したり、データを書き換えたりしていました。同社は「契約企業の設定や運用が原因ではない」と説明しています。

対策として、不備の修正、ログイン用の署名鍵の更新、不正な通信の遮断、攻撃者のアカウントと書き込みの削除を行いました。データは10月6日18時時点に巻き戻しており、ダイレクトメッセージや「いいね」、その後の新規登録は復元の対象外となる見込みです。10月12日には、漏れたメールアドレスが悪用されるのを防ぐため、10月10日0時50分から臨時メンテナンスを行っていると追加で案内しました。

【続報 10月14日】マツダのコミュニティサイトでも最大4,103人分が漏えいの可能性

Communeを使うコミュニティを運営する企業の側でも、公表が出ています。マツダは10月14日、運営をコミューンに委託しているコミュニティサイト「CLUB MAZDA COMMUNITY」について、会員と運営担当のマツダ従業員の情報、最大4,103人分が漏えいした可能性があると発表しました。対象は会員ID、アカウント名、メールアドレス、性別、居住地（都道府県）、購買・利用状況の履歴、趣味・嗜好・アンケートの回答です。クレジットカード情報は含まれないとしています。マツダは、委託先から10月7日に報告を受けたと説明しています。

【続報 10月16日】臨時メンテナンス中のコミュニティを、機能を制限して順次再開

コミューンは10月16日、「Commune」「Commune for Work」で、10月10日0時50分から止めていたコミュニティを、安全が確認できたところから段階的に再開すると発表しました。契約企業の要望に応じて順次再開するため、コミュニティごとに再開の時期は異なります。

メンテナンス中に、管理者アカウントの二要素認証の必須化、大量リクエストを防ぐ仕組みの追加、ログイン状態を保つ期間の短縮（最大30日以下）、ダイレクトメッセージなど一部機能の一時制限を行いました。新たな不正アクセスや情報漏えいは確認されていないとしています。再開当初はWebブラウザ版のみで、アプリ版やメールアドレスでの新規登録などは使えません。

全会員がログアウトされているため、再開後は改めてログインが必要です。推測されやすいパスワードや他のサービスと同じパスワードを使っている人は、別のパスワードに変えるよう呼びかけています（パスワードを忘れた場合の再設定は現在停止中）。

利用者が今すべきこと

1. 安全のため全会員がログアウトされています。コミュニティの再開後に、公式の画面から改めてログインしてください。
2. 仮パスワードに変えられた144人は、ログイン画面の「パスワードを忘れた場合」から再設定が必要です。
3. 登録したコミュニティの企業やCommuneを名乗るメール・SMSのリンクや添付ファイルは開かないでください。同社がパスワードを聞くことはありません。

私たちが学べること

企業のファンコミュニティなど、自分では「その企業に登録した」つもりでも、実際の運営は外部のサービスが担っていることがあります。招待制の「非公開」の場でも、招待リンクが悪用されれば中に入られてしまいます。登録したサービスは定期的に見直し、使わなくなったものは退会しておくと安心です。

経過

出典

1. コミューン「【重要】当社サービス「Commune」、「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」（2026年10月9日）
2. コミューン「当社サービスの臨時メンテナンスに関するお詫びとお知らせ」（2026年10月12日）
3. セキュリティ対策Lab（10月9日）
4. マツダ「当社コミュニティサービスサイト「CLUB MAZDA COMMUNITY」への不正アクセスに関するお知らせとお詫び」（2026年10月14日）
5. コミューン「当社サービスの一部コミュニティの再開に関するお知らせ」（2026年10月16日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。