Commune侵害がヤマハ発動機へ、1600人分が漏えいの可能性

2026年10月12日にヤマハ発動機が公表した内容によると、コミューン株式会社のサーバーへの不正アクセスにより、同社のコミュニティー「YAMAHA PAS Life」の登録者約1600人分の情報が第三者に閲覧・取得された可能性がある。対象には氏名、住所、メールアドレスなどが含まれる一方、クレジットカード情報と決済情報は含まれない。ヤマハ発動機自身のシステムへの不正アクセスは確認されていない。

同じ基盤を使う別のコミュニティーでも影響が判明した。Sansanの2026年10月9日の公表では、「Sansan User Forum」の会員1325人について情報漏えいを確認し、別の8687人については漏えいの可能性があると区別している。自分が対象かを知るには、利用したコミュニティーの名前と運営企業からの案内を確かめる必要がある。

Communeの共通基盤で起きたこと

コミューンの10月9日の説明によると、「Commune」と「Commune for Work」は10月5日から6日にかけて第三者の不正アクセスを受け、7日にも停止中に残っていた通信経路を使った不正な登録と閲覧が発生した。攻撃者は非公開コミュニティーの招待リンクを不正に取得して会員登録し、管理者になりすまして会員情報を閲覧・取得したほか、データを上書きした。コミューンは自社システムの不備を突かれた事案であり、契約企業の設定や運用に起因しないとしている。

運営会社は全コミュニティーを一時停止し、侵入経路の遮断や攻撃者が作成したアカウントの削除などを実施した。対策後は、再開を希望するコミュニティーから順次サービスを戻している。ただし、利用先ごとに保管する項目も、第三者が取得したと判断できる範囲も違う。共通基盤での侵害というだけで、そこにある全コミュニティーの全会員が同じ被害を受けたとは判断できない。

パスワードそのものの漏えいは確認されていない。一部の会員では本人の操作によらず仮パスワードへの変更が起きたため、コミューンはその仮パスワードを失効させ、対象者に再設定を求めている。同社はクレジットカードなどの決済情報を保持していないとしているが、登録情報を使ったなりすまし連絡には注意が必要だ。

二つのコミュニティーで異なる対象情報

YAMAHA PAS Lifeで閲覧・取得された可能性がある項目は、氏名、生年月日、性別、住所、メールアドレス、会員ID、ニックネーム、自己紹介、所属グループだ。連絡先だけでなく、会員がプロフィールに登録した内容も含まれる。発表時点の区分はあくまで「可能性」であり、個々の登録者の情報が実際に取得されたと確定したものではない。

一方、Sansan User Forumでは、漏えいを確認した会員と、漏えいの可能性がある会員で対象項目が異なる。確認された区分にはメールアドレス、表示名、自己紹介欄、プロフィール画像、グループ所属情報が含まれる。可能性のある区分には表示名、自己紹介欄、プロフィール画像、グループ所属情報が挙げられているが、メールアドレスは含まれていない。どちらの区分にもパスワードは含まれない。

この違いは、届いた連絡を判断する際にも重要になる。PAS Lifeの登録者には住所まで対象となる可能性があるため、自宅や利用経験に触れた連絡でも、それだけで正規の案内とは言えない。Sansan User Forumの登録者は、まず個別通知に記された自分の区分を見る必要がある。漏えい確認分の項目を、可能性のある区分の会員全員に当てはめることはできない。

登録者への通知と不審な連絡

ヤマハ発動機は対象となる顧客へ個別に連絡する方針を示している。公表時点で、情報の不正利用やインターネット上での公開・拡散は確認されていない。それでも同社は、メールアドレスを利用してヤマハ発動機や関係者を装う詐欺を警戒し、不審な連絡のリンクや添付ファイルを開かず、個人情報やパスワードを入力しないよう求めている。

Sansan User Forumでは全会員に不正アクセスをメールで通知し、漏えい確認分と可能性のある区分の会員には登録先のメールアドレスへ個別に案内した。フォーラムは一時停止されており、再開や新たな事実が判明した場合は、ウェブサイトと対象者への連絡で知らせるとしている。Sansan、Bill One、Contract One、Eightの各サービスのシステムや、そこで預かる情報への影響はないという。

利用先ごとの確認点は次のとおりだ。

• YAMAHA PAS Lifeの登録者：ヤマハ発動機からの個別連絡を確認する。住所を含む登録情報が対象となる可能性があるため、本人に関係のありそうな内容の連絡にも慎重に対応する。
• Sansan User Forumの登録者：登録メールアドレスに届いた個別案内で、漏えい確認分か可能性のある区分かを確かめる。メールアドレスが対象項目に入るのは漏えい確認分だ。
• その他のCommune利用コミュニティーの登録者：自分の登録先を運営する企業からの案内を確認する。今回公表された二つのコミュニティーの人数や情報項目を、そのまま別の登録先に当てはめることはできない。

通知を装ったメールやSMSが届いた場合は、本文中のリンクからログインせず、普段使う正規のサイトやアプリを自分で開いて案内を確かめたい。コミューンはメールや電話でパスワードを尋ねないとしている。パスワードの漏えいが確認されていないことと、届いた認証依頼が正規のものかどうかは別の問題だ。

委託先の侵害で見えた連絡窓口の違い

今回、攻撃を受けたのはコミュニティーを支える外部基盤で、登録者への説明はそれぞれの運営企業からも行われている。ヤマハ発動機の社内システムに侵入が確認されていなくても、同社が運営するPAS Lifeの会員情報には影響の可能性が生じた。企業にとっては、自社内のシステムだけでなく、委託先に預けた情報の種類と、事故時に対象者を特定して通知できる範囲が問われる。

利用者側でも、同じCommuneという名前から被害の有無や項目を一律には判断できない。Sansan User Forumでは個別案内が送られ、PAS Lifeでは対象者への連絡が予定されている。今後、その連絡によって各登録者の対象区分と情報項目がどこまで特定されるかが焦点となる。

関連記事：

• RIZAP社員が私用AIへ健康情報を入力、閲覧可能性は確認中
• Claudeの監視ログを顧客クラウドへ、EFSが解く保持の矛盾
• NetScalerの2件を実攻撃、更新後も侵害痕跡の確認が必要