【KOMOJU】決済サービス「KOMOJU」に不正アクセス、個人データ約4,100件と一部加盟店のAPI認証情報が漏えい、Shopify連携などの決済に一時影響

公表：2026年10月22日、10月26日（第二報：CRMの問い合わせ記録から個人情報の漏えいを確認）

会社：KOMOJU株式会社（東京都武蔵野市。ネットショップなど向けの決済サービス「KOMOJU」を運営）

3行でわかるポイント

1. 決済サービス「KOMOJU」を運営するKOMOJU株式会社（東京都武蔵野市）のシステムに、10月13日夕方以降、第三者が不正にアクセスしてログインしていました。
2. 決済システムから、メールアドレスなどを含む個人データ約4,100件の漏えいを確認しました。一部の加盟店のAPI認証情報も漏えいしています。業務用のCRMシステムへの不正アクセスも確認され、影響範囲は調査中です。
3. クレジットカード情報は別のシステムで保管しており、漏えいはないとしています。対応の過程で、Shopify連携の一部の支払い方法やセブン-イレブン払いが一時使えなくなりました。

何が起きたか

KOMOJUによると、10月13日夕方以降、外部の第三者が同社の非本番環境に不正にアクセスしました。10月14日早朝に不審なアクセスの増加を検知して調査を始め、非本番環境の脆弱性が悪用されて社内の管理画面など一部のシステムに侵入されたことを確認しました。同日朝までに脆弱性への対処、不正な通信経路の遮断、関係するアカウントやログインセッションの無効化を行いました。その後の調査で、業務で使うCRMシステムへの不正アクセスも確認しています。

漏れた情報

影響／原因

原因は、非本番環境のセキュリティ上の脆弱性が悪用されたことです。対応として認証情報を更新した影響で、10月16日からShopify連携でau PAY・楽天ペイ・Paidy・Naver Pay・BLIKの支払いが一時できなくなり、10月18日からはセブン-イレブン払いでコンビニ支払い用のバーコードを表示できなくなりました（対象の利用者には支払い手順をメールで案内）。決済処理システム自体は稼働を続けています。現時点で不正決済などの二次被害は確認されていないとしています。

【続報 2026年10月26日】CRMから個人情報の漏えいを確認（第二報）

KOMOJUは10月26日の第二報で、第一報で「調査中」としていた業務用のCRMシステムについて、加盟店・取引先・利用者からの問い合わせ対応の記録の一部が漏えいし、個人情報が含まれていたと公表しました。

1. 経緯：10月13日夜から、本番ではない環境の脆弱性を突かれて社内の管理画面などに不正ログインされ、さらにシステムとCRMをつなぐAPIキーを使ってCRMに不正アクセスされた
2. 漏えいした情報：問い合わせ履歴、メールアドレス、氏名、電話番号、住所、生年月日、銀行口座情報（返金などに関わるものに限る）、本人確認書類（主に加盟店審査の際にメールで送られたものに限る）
3. 対象：加盟店・取引先の役員や従業員、KOMOJU に決済について問い合わせた利用者
4. カード番号は漏えいしていない。顧客リストやCRM全体のデータベースをまとめて持ち出した形跡は確認されていない
5. 人数は公表されていない（第一報の約4,100件は決済システム側の別の件）
6. 対象者には個別に連絡する。加盟店側で特に必要な対応はないとしている

利用者が今すべきこと

1. KOMOJUや加盟店（ネットショップなど）を名乗る不審な連絡に注意してください。KOMOJUがパスワード、APIキー、ログイン情報を求めることはないとしています。
2. KOMOJUを使っている加盟店は、同社からの個別の連絡を確認し、案内に沿って対応してください。
3. 問い合わせ先は security-contact@komoju.com です。

私たちが学べること

本番ではない「テスト用」「開発用」の環境でも、社内の管理画面や本番データへの経路があると、攻撃の入り口になります。非本番環境も本番と同じ水準で守り、APIキーなどの認証情報は漏えい時にすぐ切り替えられるよう準備しておくことが大切です。

経過

出典

1. [Important] Notice Regarding Unauthorized System Access and Impact on Payment Services（KOMOJU、2026年10月22日）
2. 公式発表（2026年10月22日、PDF）
3. KOMOJUに不正アクセス、約4,100件の個人データ漏えいを確認（セキュリティ対策Lab）
4. 【第二報】当社 CRM システムにおける個人データの漏洩について（KOMOJU、2026年10月26日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。