KOMOJU：【重要】当社システムへの不正アクセスおよび決済サービスへの影響について

KOMOJUは2026年10月22日に不正アクセスを公表した。rocket-boys.co.jpの報道によれば、侵入は10月13日夕刻以降に始まり、同社は翌14日早朝に通常と異なるアクセスの増加を検知して調査を始めた。非本番環境に存在した脆弱性が悪用され、社内管理画面などに不正ログインされたことが判明した。14日午前中には攻撃経路の遮断、関連アカウントの無効化、ログインセッションの失効、脆弱性の修正といった初期対策を実施したという。その後の調査で、営業や顧客管理に使う業務用CRMシステムへの不正アクセスも確認された [s3][s4]。

被害の内訳について、同報道は侵害が確認された2つのシステムを区別して伝えている。KOMOJU決済システムでは、メールアドレスを含む個人データ約4,100件の漏えいが確認された。対象は顧客企業の役職員や消費者などである。これとは別に、一部加盟店のAPI認証情報も漏えいし、対象の加盟店には個別に通知された。一方、CRMシステムは不正アクセスの確認段階で、漏えいした情報項目や件数は調査中である。約4,100件は決済システム側の件数で、CRMを含む最終的な被害件数ではないと同報道は整理している [s3][s4]。

クレジットカード情報について、同社は漏えいは発生していないと説明している。カード情報を保管するシステムは侵害されたシステムと分離されており、アクセスの事実も確認されていないという。10月22日の公表時点で、不正決済などの二次被害は確認されていない [s3][s4]。

対応の過程では決済サービスに支障が出た。rocket-boys.co.jpによれば、10月16日にShopify連携の認証情報を更新した影響で、au PAY、楽天ペイ、Paidy、Naver Pay、BLIKによる支払いが一時的に利用できなくなった。公式ステータスページによると、同日21時18分に修正が完了して決済が再開し、21時31分に正常稼働と取引の安定が確認された。Shopifyでは決済が完了していても、注文ステータスの反映に遅延やエラーが生じる可能性が案内された。10月18日には、セブン-イレブン決済の認証情報を更新した後、購入者が支払い用バーコードを表示できない障害が発生し、同社は影響を受けた購入者に支払い方法を再案内するメールを送った。これらの障害は不正アクセスへの対処に伴うものである [s3]。

rocket-boys.co.jpの分析では、公表は脆弱性の具体的な種類、管理画面やCRMへの到達手順、侵害されたアカウントの権限までは説明しておらず、非本番環境からCRMへの侵入経路を断定することはできないとしている。また、KOMOJUの公式API資料では非公開鍵が広いAPIリソースへのアクセス権限を持つとされており、漏えいした認証情報に有効な非公開鍵が含まれていれば、取引情報の参照や不正なAPI操作につながるおそれがあると指摘した。ただし、漏えいした鍵が非公開鍵だったと確認されたわけではない [s3]。

同報道は、加盟店向けの注意点として、通知を受けた認証情報の失効と再発行、旧キーの無効化確認、API実行ログの点検、Shopifyなど外部連携先への新しい認証情報の反映確認を挙げている。あわせて、メールアドレスの流出に乗じたフィッシングや、「APIキー再発行」を装う認証情報の窃取に注意するよう呼びかけた。KOMOJUは公式資料で、メールでパスワードや認証情報を尋ねることはないと明記している。同社は外部専門機関の協力を得て調査を続け、新たな事実が判明すれば公式サイトと影響を受けた加盟店への個別連絡で案内する方針である [s3]。