Canvaのデザインも、アカウントもパスワードも無事だと、Canvaは説明しています。それでもトルコの当局は、424の組織に関わる契約書や請求書が持ち出されたと公表しました。入口になったのは、製品への感想や要望を集めるための外部ツールでした。
トルコの個人データ保護機構（KVKK）は2026年9月16日、Canva Pty Ltdから届け出のあったデータ侵害を公表した。Canvaが利用する第三者ツールへの不正アクセスが原因で、攻撃者はデータ処理者との接続を通じて個人データを持ち出したとみられる。
トルコ国内の424の組織・機関に関わるデータが影響を受け、個人の数は特定されていない。対象は顧客企業の従業員の氏名、業務用メールアドレス、勤務地、業務用電話番号のほか、Canvaと共有されていた注文書、契約書、請求書、データ保護契約などである。KVKKは公表時点で、調査が継続中だとしている。
From: 
Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Canva Pty Ltd（トルコ個人データ保護機構）
【編集部解説】
今回の侵害は、Canvaのデザインツールそのものが破られた事件ではありません。Canvaの説明によれば、入口は製品へのフィードバックを集める外部サービス「Canny」でした。豪州の経済メディアCapital Briefによると、Cannyは2026年8月29日、自社システムへの不正アクセスを調べているとCanvaに通知しています。
Cannyは、Canvaの顧客管理（CRM）に使われているSalesforceと連携していました。Canvaは、攻撃者がこの連携を通じて法人顧客の業務上の連絡先や契約情報にアクセスできた可能性があると説明しています。CanvaはすぐにCannyのアクセス権限を取り消し、影響を受けた顧客と、必要に応じて規制当局への通知を進めたとしています。
個人や小規模チームでCanvaを使っている人にとって、まず押さえたいのは影響の範囲です。Canvaは、自社のプラットフォームとシステムは侵害されておらず、アカウント、パスワード、デザイン、コンテンツは安全だとしています。Capital Briefは、対象は主に営業チームが担当する大規模な法人顧客に関する情報だと伝えています。
一方で、法人の窓口担当者にとっては、軽く見られない中身です。KVKKの公表によれば、対象は顧客企業の従業員の氏名、業務用メールアドレス、勤務地、業務用電話番号に加え、Canvaと共有されていた注文書、契約書、請求書、データ保護契約といった書類にまで及びます。
こうした情報は、取引先を装うメールの材料になりやすいものです。実在の契約内容や請求の形式を知っている相手からのメールは、見分けがつきにくくなります。Canvaの法人プランを契約している企業では、契約や請求に関わる連絡が届いたとき、普段使っている窓口で確かめる手順を決めておくと安心です。
外部サービスとの連携がデータへの経路になる構図は、innovaTopiaでもくり返し伝えてきました。2025年には、Salesforceと連携する外部ツールSalesloft DriftのOAuthトークンが悪用され、多くの企業のSalesforce環境から顧客データが抜き取られました（Salesforce標的のUNC6040・UNC6395にFBI警告）。このときも、Salesforceの中核の仕組みに脆弱性があったわけではないとされています。
問題になったのは、本体につないだ外部サービスが持っていた接続権限です。フィードバック管理などのツールには、CRMの顧客情報を参照したり同期したりする連携機能があります。便利さのためのつながりが、攻撃者にとっての近道にもなります。
仕組みは違いますが、OpenAIが使っていた分析サービスMixpanelでも、Mixpanel側に保管されていたAPI利用者の分析データが2025年に持ち出されました（OpenAI API / Mixpanelインシデント）。外部サービスにどんな情報と権限を渡しているかを把握しておく必要がある点は、どちらにも共通しています。
国内でも、IDCFクラウドへの不正アクセスを受けて、利用企業が影響を相次いで公表しました（IDCFクラウドへの不正アクセスをめぐる公表の連鎖）。IDCFは10月14日の第5報で、障害が起きた仮想サーバー内のデータの外部流出はなかったと判断しています。それでも、自社のシステムを固めるだけでは見渡せない場所に、確かめるべき情報が広がっていることを示した出来事でした。
トルコの「424」という数字の読み方にも注意が必要です。KVKKの委員会は、必要と判断した侵害の届け出を自らのサイトなどで公表でき、今回も公表を決めました。424はトルコ国内の組織・機関の数で、確認できる公表資料に世界全体の件数は示されていません。
10月15日には、恐喝グループ「The Seven Deadly Sins」がリークサイトにCanvaを掲載したことが、追跡サイトのRansomLookに記録されました。掲載文は2億行を超えるデータを持ち出したと主張し、200万件超のSalesforceの顧客記録、法人向けライセンスの情報、注文関連のPDF、プラットフォームのデータウェアハウスを挙げています。
これは攻撃者側の主張で、10月17日時点で窃取の規模を裏付ける情報は確認されていません。この主張に対するCanvaの新たな公表コメントも、確認時点では見当たりません。追跡サイトのransomware.liveは、新しいグループなので独自に確かめられるまで慎重に扱うよう注記しています。
このグループは、9月下旬の時点でもCanvaを自らのサイトに掲載していたと報じられています。今回の掲載がCannyの件と同じ侵害を指すのか、別のものなのかは分かっていません。CanvaはCannyの件についてプラットフォームへの侵害を否定しており、攻撃者が挙げる「プラットフォームのデータウェアハウス」との関係は、今後の公表を待つ必要があります。
CanvaはAIエージェントやSlack・Gmailとの連携を広げ、仕事が完結する場所を目指しています（Canva AI 2.0正式発表）。つながる先が増えるほど、何にどこまでの権限を渡しているかを見渡せることが、そのまま信頼の土台になります。今回の件は、連携の棚卸しという地味な作業の価値を、あらためて示したと言えそうです。
【関連記事】
Salesforce標的のUNC6040・UNC6395にFBI警告 OAuth悪用で700社被害
OpenAI API / Mixpanelインシデント：解析ベンダー侵害で露見したサードパーティリスク
【解説】i-ask・Commune・IDCFクラウドに不正アクセス、大和証券やヤマハなど委託元の公表が連鎖
【解説】IDCFクラウド第5報「流出なし」、委託元はマウスやイズミなど「漏えいの可能性」を公表
Canva AI 2.0正式発表—デザインツールから「仕事が完結するAIプラットフォーム」へ
【編集部後記】
持ち出された書類の一覧に、「データ保護契約」がありました。個人データをどう扱い、委託先や外部ツールにどこまで任せるのかを、企業同士で取り決める契約書です。
データの守り方を定めた書類そのものが、つないだ外部ツールを経由して外に出たことになります。契約で約束した範囲と、実際につながっている範囲は、いつも同じとは限りません。自社の契約書に書かれた外部サービスの一覧と、管理画面で許可している連携の一覧を、並べて見比べたことはあるでしょうか。
【用語解説】
CRM（顧客関係管理）
顧客の連絡先、商談、契約などの記録をまとめて管理する仕組み。Salesforceが代表的なサービスで、営業部門が法人顧客の情報を管理するのに使われる。
OAuth（オーオース）トークン
サービス同士を、パスワードを渡さずに連携させるための許可の証明。トークンを持つ側は、許可された範囲で相手のサービスのデータにアクセスできるため、盗まれると連携先のデータへの経路になる。
リークサイト
恐喝グループが、攻撃したと主張する組織の名前や盗んだとするデータを掲載するWebサイト。支払いを迫る圧力として使われ、掲載内容が事実とは限らない。
データウェアハウス
企業が業務や製品のデータを分析のために集めて保管する、大規模なデータの保管庫。
【参考リンク】
KVKK「Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Canva Pty Ltd」（外部）
トルコ個人データ保護機構による2026年9月16日の公表。原因、424の組織・機関、持ち出された個人データと書類の種類を記す。
Canny「Salesforce integration」（外部）
CannyとSalesforceの連携機能の公式ガイド。Salesforce側でのアクセスの許可と、同期するデータの選び方を説明している。
Google Threat Intelligence Group「Widespread Data Theft Targets Salesforce Instances via Salesloft Drift」（外部）
2025年のSalesloft Drift事件の分析。盗まれたOAuthトークンで多くの企業のSalesforceからデータが持ち出された。
OpenAI「最近の Mixpanel セキュリティインシデントについて知っておくべきこと」（外部）
OpenAIによる2025年のMixpanel侵害の告知。Mixpanel側にあったAPI利用者の分析データが持ち出された経緯を示す。
【参考記事】
Canva enterprise customer data exposed in third-party breach（Capital Brief）（外部）
Canva広報のコメントを最初に報じた記事。8月29日のCannyからの通知と、主に大規模法人顧客が対象だったと伝える。
Third-party data breach linked to Canva affects 424 organizations in Türkiye（Türkiye Today）（外部）
KVKKの公表とCannyの名前を結びつけた記事。424の組織・機関への影響と、Canvaの「デザインは安全」との説明を載せる。
Hackers claim to have stolen more than 200 million database records from Canva（Escudo Digital）（外部）
10月15日のThe Seven Deadly Sinsの主張を伝える記事。2億行超などの主張が未検証であることを明記している。
