日本脆弱性総合ポータル

VALX / VALX "FUN"コミュニティ：委託先の基盤「Commune」経由で会員情報が閲覧された可能性

重要度
2,950名分
公表日
2026.10.08
原因の分類
製品・サーバーの脆弱性、サプライチェーン
対策可能性
判定保留

この記事の3行まとめ

  1. 委託先の不正アクセスで、会員2,950名分の会員一覧情報が閲覧・取得されたおそれがある。
  2. 委託先のシステムの複数の不備を悪用され、攻撃者が管理者になりすました。
  3. 心当たりのないメールのリンクは開かず、個人情報を入力しないこと。

VALXが会員コミュニティの運営に使う委託先コミューンのシステム「Commune」が、2026年10月6日夜に第三者から不正アクセスを受けた。攻撃者はCommuneの複数の不備を悪用し、管理者になりすました。「VALX "FUN"コミュニティ」の会員3,813名のうち2,950名分の会員一覧情報が閲覧・取得された可能性があると推定されている。パスワードとダイレクトメッセージの取得は確認されていない。

確認された経路・公表元の推定

  1. 2026年10月6日19時18分頃、攻撃者がコミューンのシステム「Commune」のシステム上の複数の不備を悪用し、管理者になりすまして不正アクセスを始めた。
  2. 同日20時17分頃まで、「VALX "FUN"コミュニティ」への不正アクセスが続いた。
  3. VALXは同日、不正アクセスが行われたことを確認した。
  4. コミューンの調査で、不備の悪用と管理者へのなりすましが判明した。
  5. 会員一覧情報が閲覧・取得された可能性があると推定されている。

根拠の要点

コミューン株式会社の調査で、同社システム上の複数の不備が悪用されたと判明したとされる。攻撃者は管理者になりすまし、不正アクセスを行った。VALXは、自社の設定や運用上の不備が原因ではないと説明している。具体的な不備の内容は資料に書かれていない。

資料の基準時点：2026年10月8日公表時点（資料取得日2026-10-27）

当時、対策できたのか

判定保留

コミューンの調査で同社システム上の複数の不備が悪用されたと説明されているが、不備の内容、攻撃時点で既知だったか、修正時期は書かれていない。対策の欠落も発覚時の未発見も明示されていないため、判定を保留した。

公表された対策

  • コミューンが、不正アクセスに使われた経路を遮断した。
  • コミューンが、システム上の不備を修正し、認証情報を更新した。
  • VALXが、個人情報保護委員会へ報告した。
  • VALXが、コミューンと連携して影響範囲と対象会員を確認している。
  • VALXが、対象となる会員へ個別に連絡する。
  • VALXが、委託先の安全管理状況の確認と管理体制の見直しを進める。
  • コミューンが、認証情報の管理方法や不正アクセスの検知体制を含む恒久的な再発防止策を進めている。
  • VALXが、パスワードや決済情報の入力を求めるメールを送らないと明示し、心当たりのないリンクを開かないよう呼びかけた。

この事例を理解するための動画

まだ分からないこと

  • 侵入に使われた具体的な不備の内容
  • 管理者になりすました具体的な手口
  • 不備が攻撃時点で既知だったか、いつ修正されたか
  • 不正アクセスを検知した経緯
  • 攻撃者の身元と目的
  • 漏えいした情報の悪用の有無
  • 影響範囲の最終確認結果（調査は継続中）
  • 対象会員への個別通知の時期と内容
  • Communeを使う他の組織への影響の有無

関連する事例

同じ原因分類の事例

事例の一覧に戻る