今日のポイント:
今回の3件は、いずれも自社のパソコンやサーバーではなく「使っていたサービス・借りていたクラウド・取引先管理のシステム」が破られて情報が漏れたケースです。委託先やSaaSの管理も自社セキュリティの一部ととらえ、預けている個人情報の棚卸しと、有事の連絡体制の確認を今週中に始めてください。

コミューン、コミュニティ基盤「Commune」に不正アクセス　推計約30万人分の会員情報に影響

法人向けコミュニティ運営サービスを手がけるコミューン（東京）は2026年10月9日、同社の「Commune」「Commune for Work」が不正アクセスを受け、推計で約30万7,000人分の会員情報に影響が及んだと公表しました。侵入は10月5日午後6時ごろに発生し、翌6日に検知して通信を遮断、全コミュニティを一時メンテナンス状態に切り替えています。

攻撃者は、非公開コミュニティの招待リンクを入手して一般会員として登録したうえ、管理者になりすまして会員情報の閲覧・取得・改ざんを行っていました。影響を受けた約30万7,000件のうち、メールアドレスを含むものが約12万6,000件（うち約4万2,000件は同社従業員やテスト・デモ用のアカウント）、メールアドレスを含まないものが約18万1,000件です。漏えいした項目は表示名・自己紹介・参加していた非公開グループ名などで、一部にメールアドレスが含まれます。クレジットカード情報は保有しておらず対象外としています。

このサービスは、ヤマハ、スズキ、湖池屋、森永乳業、バンダイナムコ系など多数の企業がファンコミュニティの基盤として利用しており、各社が自社コミュニティへの影響を相次いで公表しました。

IDCフロンティアのクラウドがランサムウェア被害　JR東日本「えきねっと」など最大約167万件に影響のおそれ

クラウド事業者のIDCフロンティアは、同社の「IDCF Cloud」東日本リージョン1が、2026年10月7日午前3時40分ごろに始まったランサムウェア攻撃で障害に陥ったと公表しました。10月8日の第3報では、一部ゾーンの顧客データは復旧が困難としており、契約する495の企業・団体に影響が及びました。被害はWebサイトや業務システムにとどまらず、EC関連サービス・電話・認証システムにまで波及しています。

これを受けてJR東日本は10月9日、外部のメール配信サービスが同障害の影響を受けたと発表しました。「えきねっと」で最大約167万件（メールアドレス）、「大人の休日倶楽部」で最大約39万件（メールアドレス・会員番号・カード有効期限・生年月日）が、第三者に閲覧・取得された可能性を否定できないとしています。氏名・住所・電話番号・カード番号は対象に含まれず、外部への流出も現時点では確認されていません。

戸田建設、取引先向け支払管理システムに不正アクセス　取引先と自社従業員の情報が漏えいのおそれ

準大手ゼネコンの戸田建設は2026年10月7日、協力会社への支払いを管理するシステムが社外から不正アクセスを受けたと公表しました。10月5日に不正アクセスを検知し、調査の結果、10月1日から5日の間に情報が漏えいした痕跡が確認されています。該当システムはすでにネットワークから遮断済みで、外部専門家による調査が続いています。

漏えいのおそれがある情報は、取引先担当者の連絡用メールアドレス最大7,200件と取引データ最大6,000件、さらに同社従業員の氏名・住所・電話番号・メールアドレス・所属など4,778人分です。侵入経路や原因は調査中で、現時点では未公表です。

編集部まとめ

今週の3件に共通するのは、攻撃者が「本丸」ではなく、使っているサービス・借りているクラウド・取引先管理システムという“横”から侵入してきた点です。自社の端末やサーバーだけを守っても、預けた先が破られれば情報は漏れます。委託先の棚卸し、権限と公開範囲の見直し、クラウド任せにしないバックアップ——この3つのうち一つでも、今週中に着手することをおすすめします。