KOMOJU不正アクセス、約4100件漏えい 決済にも影響

決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、外部からの不正アクセスにより、メールアドレスを含む個人データ約4100件の漏えいを確認したと発表した。一部加盟店のAPI認証情報も漏えいしており、業務で利用する顧客管理システム（CRM）にも侵入が確認された。CRM側の影響範囲は調査中で、約4100件を被害全体の確定件数とみなすことはできない。

非本番環境の脆弱性から社内システムへ

同社の報告書によると、不正アクセスは10月13日夕方以降に始まった。14日早朝に不審なアクセスの増加を検知して調査したところ、非本番環境のセキュリティ上の脆弱性を悪用され、社内管理画面や一部システムに不正ログインされていたことが判明した。14日午前中には侵入経路の遮断、関連アカウントとログイン状態の無効化、脆弱性の修正など初期対応を実施したという。

侵害が確認されたのは、KOMOJU決済システムとCRMシステムの2系統。決済システムでは約4100件の個人データ漏えいが確認されている。一方、CRMについては不正アクセス自体は確認されたものの、対象となる情報や件数は未確定だ。個人データの対象には加盟店の役職員や購入者などが含まれるが、個々の利用者が被害対象かどうかを、この公表だけで判断することはできない。

カード情報の漏えいは否定、加盟店の認証情報は流出

KOMOJUはクレジットカード情報の漏えいは発生していないと説明する。カード情報を保存するシステムは侵害されたシステムから分離されており、同システムへの不正アクセスも確認されていないためだ。ただし、カード情報とは別に、一部加盟店のAPI認証情報の漏えいは確認され、対象加盟店には個別に連絡済みという。10月22日の公表時点で不正決済などの二次被害は確認されていない。

認証情報の更新で一部決済が一時停止

不正アクセスへの対策として10月16日にShopify連携の認証情報を更新した際、au PAY、楽天ペイ、Paidy、Naver Pay、BLIKの決済が一時的に利用できなくなった。公式ステータスページでは同日夜に修正と正常稼働を案内している。さらに18日にはセブン-イレブン決済の認証情報更新後、購入者が支払い用バーコードを表示できない事象が発生し、同社が対象者へ支払い方法を再案内した。

同社は決済処理システム全般の稼働を継続しつつ、外部専門機関と影響範囲の調査を進めている。加盟店と利用者には、KOMOJUや店舗を装う不審な連絡への注意を呼びかけ、メールでパスワードや認証情報を尋ねることはないと明記した。今回の障害は認証情報更新に伴うもので、全決済サービスが停止したわけではない。今後の続報ではCRM側の被害範囲と追加の漏えい有無が焦点になる。