コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい

　コミュニティサービスを運営するコミューン株式会社は10月9日、同社が運営するコミュニティサービス「Commune」および社内向けコミュニティサービス「Commune for Work」が第三者による不正アクセスを受け、会員情報の一部が漏えいしたとして情報を公開した。

　発表によると、10月5日18時頃に、同社サービスが不正アクセスを受けた。同社では翌6日にこれを検知し、通信遮断などを対処を行うとともに、調査を開始した。その結果、一部のコミュニティで会員情報が外部に漏えいしたことが判明したという。6日21時頃より全コミュニティをメンテナンスモードに切り替え、データの復旧を実施。7日の13時17分以降にはメンテナンス中に残っていた通信経路を悪用した不正な会員登録と閲覧が発生したが、同日14時58分に遮断したとしている。

　外部の第三者が、同社のシステムの不備を突いて不正アクセスを行ったのが原因。具体的には、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行ったと説明している。発表時点では、外部からの不正アクセスに対する防御措置を講じたうえで、10月8日から再開の希望があったコミュニティを順次再開している。

　漏えいした情報は、「Commune」および「Commune for Work」を利用している（コミュニティサービスを提供している契約企業の）コミュニティの会員情報推計約30.7万人分。そのうち、 メールアドレスを含む情報が漏えいした会員が約12.6万人で、ここには同社の従業員およびテスト用デモアカウント合計約4.2万人分が含まれる。 メールアドレスを含まない情報（表示名、自己紹介、非公開グループの所属など）が漏えいした会員が約18.1万人となる

　このほかの同社のサービスのうち、「Commune CRM」「Commune Engage」に対しては、不正アクセスが試みられたが、情報漏えいは発生していないことが確認されている。「Commune Voice」「Commune Navigator」「Commune DataHub」に関しては、発表時点では不正アクセスが確認されていない。

　本件に関連し、複数の企業が運営するコミュニティサイトにおける情報漏えいについて発表している。以下のリストはその一部。

• ヤマハ 「ヤマハネットワークエンジニア会」会員約1600人分
• スズキ「スズキヴィレッジ」会員約3000人分
• 湖池屋「湖池屋GOGO！ランド」会員最大1800人分
• 森永乳業「マウントカフェ部」会員291人分
• 青森県観光ファンコミュニティ「青森びいき」会員2950人分（推計）
• バンダイナムコエクスペリエンス「湾岸ミッドナイト アーケードポータル」人数不明

　サービスを停止しているが情報漏えいがないことが確認されているコミュニティサイトもあり、ダイドードリンコの「dydoいっしょにラボ」では、「今回の不正アクセスによる被害は確認されず、会員情報の漏えいは発生していないとの報告を受けています」としている。