- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.10.09
- 原因の分類
- 認証情報・シークレット、サプライチェーン
- 対策可能性
- 判定保留
この記事の3行まとめ
- 会員の氏名やメールアドレスなどが漏えいした可能性がある
- 外部の会社の共通ログイン鍵が入手され、管理者になりすまされた
- 不審なメールのURLは開かず、再開後は再ログインが必要
ちとせアカデミーの運営に使うコミュニティシステム「Commune」が外部から不正アクセスを受け、攻撃者が共通ログイン用の署名鍵を使って管理者になりすました。その結果、会員情報が閲覧または取得された可能性があり、個人情報の漏えいが推定されている。
確認された経路・公表元の推定
- コミューン株式会社の全コミュニティ共通のログイン用署名鍵が攻撃者に入手された（入手の経緯は未確認）
- 攻撃者が署名鍵を使い、2026年10月6日に本サイトの管理者アカウントになりすましてアクセスした
- 複数のIPアドレスから短時間に大量の操作が同時に行われた
- 会員一覧（メールアドレスを含む）など会員情報が閲覧または取得された可能性がある
- 2026年10月7日、コミューン株式会社から当社に通知と調査結果の速報があった
根拠の要点
コミューン株式会社の調査で、全コミュニティ共通のログイン用署名鍵を攻撃者が入手し、管理者になりすましたことが分かったとされる。攻撃は複数のIPアドレスから短時間に大量の操作を同時に行うもので、AI等を用いた自動化攻撃と推定されている。ただし、署名鍵の入手経緯は判明していない。
資料の基準時点：2026年10月9日の速報（取得日2026-10-13）
当時、対策できたのか
判定保留
調査が継続中で、署名鍵の入手経緯と原因の全容は判明していないと記載されている。攻撃時点で既知の脆弱性や設定の欠落があったかどうかは資料に書かれていないため、対策の欠落は判断できず、判定を保留する。
公表された対策
- 全コミュニティ共通のログイン用署名鍵を更新
- 攻撃者が作成したアカウントを退会処理
- 乗っ取られたアカウントを停止
- 本サイトを含む各コミュニティを2026年10月6日18時00分時点に復元
- 本サイトは停止中で、再開は2026年10月9日15時ごろの予定。再開後は全会員を一度ログアウト状態にする
- 個人情報保護委員会への報告など、必要な対応を行う
まだ分からないこと
- 署名鍵が入手された経緯と原因の全容
- 閲覧または取得された情報の正確な範囲（対象項目は会員ごとに異なる）
- 他のコミュニティでの被害の有無と影響範囲
- 今後の詳細な調査結果と再発防止策の内容