Commune の不正アクセス（2026年10月）

経緯

入り口（経路）

サービスのシステムの不備。攻撃者は非公開コミュニティの招待リンクを不正に取って一般会員として登録し、管理者になりすまして会員情報を閲覧・取得し、データを上書きした。契約企業の設定や運用によるものではないとしている

起きた期間

2026-10-05 18時ごろ〜2026-10-06 21時ごろ。加えて 2026-10-07 13時17分〜14時36分（メンテナンス中に残っていた通信経路から）

会社が気づいた日

2026-10-06

漏れた、または漏れたおそれのある情報

個人情報

会員情報。メールアドレスを含む情報が漏れた会員と、表示名・自己紹介・非公開グループの所属など、メールアドレスを含まない情報が漏れた会員がいる。項目はコミュニティと会員によって違う

そのほか

144人の会員のパスワードが、本人の操作によらず仮パスワードに変えられた。攻撃者に仮パスワードが渡った形跡は確認されていない

そのほか

含まれないもの：会員どうしのダイレクトメッセージとパスワード（漏えいは確認されていない）。クレジットカードなどの決済情報（会社が持っていない）

会社の対応

2026-10-06 に不正アクセスを検知し、通信を遮断して防御の措置をとった。同じ日の21時ごろから全コミュニティを止めた。攻撃に使われた不備を直し、ログイン用の署名鍵（ログインした状態を示すデータに、本物である印を付けるための秘密のデータ）を更新し、不正アクセスの経路と不正なIPアドレス（インターネット上で通信の送り元を示す番号）からのアクセスを遮断した。2026-10-07 にメンテナンス中に残っていた経路から不正な会員登録と閲覧があり、同じ日の14時58分に遮断した。攻撃者が作ったアカウントを退会させ、書き込みを取り除いた。データを 2026-10-06 18時の状態に戻した。投稿は戻す前のデータから復元する準備をしている（ダイレクトメッセージ・いいねやリアクション・新規登録は、復元の対象外になる見込み）。2026-10-08 12時ごろから、再開を希望したコミュニティから順に再開している。漏えいした情報の悪用や二次被害は、現時点で確認されていない。調査と恒久の再発防止策を続ける

届け出

電気通信事業者として総務省へ報告する。契約企業が個人情報保護委員会へ報告するのに必要な情報を提供している