事案の概要データ
| 公表日 | 2026年10月12日〜14日（利用企業ごとに順次） |
|---|---|
| 不正アクセスの時期 | 2026年10月6日 19時18分ごろ〜21時02分ごろ（ヤマハ発動機の公表による） |
| 提供元の推計 | 約30万7000人 |
| MIXI（コトダマン「コトポータル」） | 一部会員750名（うちメールアドレスを含む対象は749名） |
| マツダ（CLUB MAZDA COMMUNITY） | 最大4,103名分 |
| ヤマハ発動機（YAMAHA PAS Life） | 約1,600名分 |
| 原因 | 委託先コミューンのシステム上の複数の不備を悪用した不正アクセス |
| 注意 | 提供元の推計と利用企業ごとの人数は、重複の可能性があるため合算できない |
図解：この事故の構造
何が起きたのか
コミューンが提供するコミュニティ基盤が不正アクセスを受け、これを使って自社のファンコミュニティを運営していた企業が、2026年10月12日から14日にかけて相次いで公表しました。
MIXIのスマートフォンゲーム「コトダマン」のコミュニティサイト「コトポータル」で一部会員750名、マツダの「CLUB MAZDA COMMUNITY」で最大4,103名分、ヤマハ発動機の「YAMAHA PAS Life」で約1,600名分が対象となっています。
原因は、コミューンのシステム上の複数の不備を悪用した不正アクセスとされています。提供元の推計では約30万7000人が対象とされますが、利用企業ごとの人数とは重複の可能性があるため合算できません。
「ファンコミュニティ」という新しい攻撃対象
近年、多くの企業が自社製品のファンが集まるコミュニティサイトを運営しています。ゲーム、自動車、自転車——愛着を持つ顧客どうしが交流する場です。
こうしたサイトは、売上に直結するECサイトや基幹システムに比べて「重要度が低い」と見なされがちです。そのため、セキュリティの投資も後回しになりやすい。
しかし、そこには会員の氏名・メールアドレスに加えて、投稿内容、所有している製品、興味関心といった情報が集まっています。攻撃者から見れば、守りが薄いわりに価値のあるデータです。
中小企業でも、本業のシステムとは別に運営しているもの——キャンペーンサイト、採用サイト、オウンドメディア、ファンクラブ——がないか確認してください。「本業ではないから」という理由で管理が手薄になっていないでしょうか。
2時間弱の侵入
ヤマハ発動機の公表によれば、不正アクセスが行われたのは10月6日19時18分ごろから21時02分ごろ。約1時間45分です。
この短時間で複数企業の会員情報にアクセスされました。攻撃が自動化されていることの表れです。人間が手作業で探しているのではなく、プログラムが高速に処理しています。
だからこそ、人間が気づいてから対応するのでは間に合いません。異常な挙動を自動で検知し、自動で遮断する仕組みが必要になります。
時系列で見る経過
- 2026年10月6日 19時18分ごろ〜21時02分ごろコミューンが管理するサーバーへ外部から不正アクセス
- 2026年10月9日MIXI・マツダが初報を公表
- 2026年10月12日ヤマハ発動機が約1,600名分への影響を公表
- 2026年10月14日MIXIが750名、マツダが最大4,103名分と件数を公表
中小企業が学ぶべきポイント
- 本業ではないサイト（コミュニティ・キャンペーン・採用）も同じ基準で守る。
- 外部のコミュニティ基盤・SaaSを使う場合、預ける会員情報を最小限にする。
- 攻撃は自動化されており、2時間弱で複数社に及ぶ。人の対応では間に合わない。
- 提供元の推計と自社の人数は別物。合算して被害総数としない。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。