Hakuhodo DY ONE「DIGIFUL BASE」推定1,940名の個人情報漏えいの可能性―Communeへの不正アクセスでサービス停止

株式会社Hakuhodo DY ONEは2026年10月14日、デジタル人材向けコミュニティ「DIGIFUL BASE（DIGIFULベース）」の会員情報が、第三者に閲覧・取得された可能性があると発表しました。対象は推定1,940名で、メールアドレス、ニックネーム、アカウント名、自己紹介、所属グループなどが含まれます。

原因は、運営を委託しているコミューン株式会社のコミュニティプラットフォーム「Commune」に対する不正アクセスです。DIGIFUL BASEは10月6日からサービスを停止しており、14日の発表時点では安全確認後に順次再開するとしています。1,940名全員の情報取得が確定したという発表ではありません。

DIGIFUL BASEの不正アクセスに関するサマリー

• 発表日：2026年10月14日
• 発表企業：株式会社Hakuhodo DY ONE
• 対象サービス：DIGIFUL BASE（DIGIFULベース）
• 侵害されたサービス：コミューン株式会社が提供する「Commune」
• 攻撃発生日：2026年10月5日
• 影響対象：推定1,940名の会員情報
• 対象情報：メールアドレス、ニックネーム、アカウント名、自己紹介、カスタムプロフィール項目、所属グループ、ポイント、最終アクティブ日時など
• 情報の状態：第三者に閲覧・取得された可能性があり、詳細な影響範囲を調査中
• サービスの状況：10月6日から停止。安全性を確認でき次第、順次再開する方針
• 利用者への注意喚起：DIGIFUL BASEを装うフィッシングメール、不審な添付ファイルなどに注意

委託先「Commune」の不正アクセスがDIGIFUL BASEにも波及

Hakuhodo DY ONEは10月14日、委託先のシステムに対する10月5日の不正アクセスを受けてDIGIFUL BASEを停止していると公表しました。自社の会員コミュニティが、外部事業者の共通プラットフォームを利用していたことによる影響です。

コミューンが10月9日に公表した調査結果によると、攻撃者は非公開コミュニティの招待リンクを不正に入手して会員登録し、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行いました。コミューンは10月6日21時ごろに全コミュニティを一時停止し、システム上の不備の修正、ログイン用署名鍵の更新、不正なアカウントや書き込みの除去を進めています。

この侵害は、Hakuhodo DY ONEの社内システムや広告関連のすべてのサービスに直接侵入されたことを示すものではありません。今回の発表対象は、Commune上で運営していたDIGIFUL BASEの会員情報です。

推定1,940名のメールアドレスやプロフィール情報が対象

公表された項目はメールアドレスにとどまらず、会員がコミュニティで登録・利用するプロフィールや活動情報を含みます。DIGIFUL BASEはフリーランス、副業人材、デジタル分野の専門家などが学習・交流するコミュニティです。そのため、メールアドレスと自己紹介、所属グループなどが組み合わされると、業務分野や関心事を踏まえたなりすまし連絡に利用されるおそれがあります。

ただし、登録者全員について同じ項目が取得されたと決まったわけではありません。公式発表の表現はあくまで「閲覧・取得された可能性」であり、実際に取得された人数と対象情報の範囲は引き続き確認されています。

先行する会員向けの説明では、パスワードそのものの直接的な流出やクレジットカード決済情報の漏えいは確認されておらず、DIGIFUL BASEはクレジットカード情報を取得していないと案内されていました。今回の10月14日付発表ではこれらの項目について新たな被害確定の説明はありません。

サービス停止とデータ巻き戻し―10月6日18時以降の操作は要確認

コミューンは攻撃者による不正な書き込みの影響を取り除くため、データを10月6日18時時点の状態に戻したと説明しています。新規登録やリアクション、ダイレクトメッセージなど一部のデータは復元対象外となる見込みです。投稿については別途復元作業が案内されています。

DIGIFUL BASEの先行する会員向け説明でも、10月6日18時から21時ごろまでの間に行われた投稿、コメント、新規登録、リアクションなどが復元後の状態に反映されない可能性が示されていました。利用者は再開後、同時間帯の操作結果を確認する必要があります。

また、会員向け案内ではDIGIFUL BASEで本人の操作によらないパスワード変更は0件、別サービス「DIGIFUL CONNECT」はシステムと会員データを分離しているため今回の影響を受けないと説明されています。コミューン全体では144名の仮パスワードへの不正変更が公表されていますが、全体の144名をDIGIFUL BASEの被害人数として扱うことはできません。

なお、コミューンは10月8日から一部のコミュニティを順次再開していますが、これはDIGIFUL BASEが同日再開したことを意味しません。同サービスについてはHakuhodo DY ONEによる再開案内を確認してください。

利用者は再開通知や仕事の依頼を装うフィッシングに注意

Hakuhodo DY ONEは、メールアドレスなどの情報が悪用され、DIGIFUL BASEを装った不審なメールや迷惑メールが届く可能性を注意喚起しています。運営元は、メールやメッセージでパスワードや決済情報の入力を求めることはないと明示しています。

会員が確認したい対応は次のとおりです。

1. 「利用再開」「本人確認」「新しい案件の紹介」などを名乗るメールが届いても、本文のリンク先でパスワード、認証コード、カード情報を入力しない。
2. 差出人名や宛名に自分のニックネーム、職種、所属グループが使われていても、正規連絡と判断しない。公式サイトや従来の問い合わせ窓口から確認する。
3. 不審な添付ファイルは開かず、ログインを求める画面が表示された場合はURLを確認する。
4. サービス再開後は、プロフィールの変更や10月6日夕方以降の投稿・登録内容、アカウントへのログイン状況を確認する。
5. すでに不審な画面でパスワードを入力した場合は、正規画面から変更し、同じパスワードを使い回しているサービスについても対応する。

これらは二次被害を防ぐための予防措置であり、DIGIFUL BASEの会員を狙った詐欺が実際に確認されたとするものではありません。

Commune全体では約30万7,000人の会員情報が漏えい

コミューンは10月9日、「Commune」「Commune for Work」の一部顧客コミュニティで約30万7,000人分（推計）の会員情報が漏えいしたと発表しました。このうちメールアドレスを含む情報は約12万6,000人分です。約30万7,000人という全体値は同一会員IDの重複などを除いた推計値とされています。

DIGIFUL BASEの推定1,940名は、コミューンのプラットフォーム全体での被害範囲の一部にあたるため、全体人数へ単純に加算するものではありません。影響を公表した企業・団体の一覧は、コミューン「Commune」への不正アクセスと影響企業・サービスのまとめに掲載しています。

DIGIFUL BASEの問い合わせ先

コミューン側の問い合わせは平日9時～18時、回答目安は受付後2～3営業日と案内されています。

情報システム部門・コミュニティ運営者が確認したい点

今回のように外部プラットフォームを利用する場合、サービス運営会社が自社システムを直接侵害されていなくても、会員情報や運営継続に影響が及びます。運営者側では、委託先が管理する会員情報の項目、アクセス権限、バックアップの復旧単位、サービス停止時の会員通知経路を整理する必要があります。

今回の事案では、会員情報の閲覧・取得に加え、管理者権限の悪用やデータ上書き、巻き戻しによる正規の操作履歴への影響が公表されています。委託先の対応完了を確認する際は、不正アクセスの遮断だけでなく、正規投稿・登録情報の復元状況や、サービスごとの再開判断を分けて確認することが実務上の論点となります。

出典

• 委託先システムへの不正アクセスによる「DIGIFUL BASE」会員情報の閲覧・取得の可能性に関するお詫びとお知らせ（2026年10月14日）―Hakuhodo DY ONE
• 「Commune」「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ（2026年10月9日）―コミューン
• DIGIFUL BASE 公式サービス紹介―Hakuhodo DY ONE