要点
発表された事実
- KOMOJUは2026年10月22日、同社の決済プラットフォーム「KOMOJU」と関連システムの一部に外部から不正アクセスがあったと発表した（KOMOJU）。
- 10月13日夕方以降、外部の第三者が同社の非本番環境に不正アクセスした。14日早朝に不審なアクセスの増加を検知して調べたところ、非本番環境にあった脆弱性を悪用され、社内管理画面と一部のシステムに不正にログインされていたことがわかった。同日午前中に経路の遮断、関連アカウントとログイン状態の無効化、脆弱性の修正を行った（同）。
- その後の調査で、業務で使うCRMシステムへの不正アクセスも確認し、影響範囲を調査中（同）。
- KOMOJU決済システムからは、メールアドレスを含む個人データ約4100件の漏洩を確認。一部加盟店のAPI認証情報の漏洩も確認し、対象の加盟店には個別に連絡済み（同）。
- クレジットカード情報を保管するシステムは不正アクセスされたシステムと分離されており、カード情報の漏洩はない。不正決済などの二次被害は現時点で確認されていない（同）。
- 対応の影響で、10月16日にShopify連携の認証情報を更新した際にau PAY、楽天ペイ、Paidy、Naver Pay、BLIKが一時使えなくなり、18日にセブン-イレブン決済の認証情報を更新した際には購入者がバーコードを表示できない事象が起きた（同）。
- 【2026-10-27追記】KOMOJUは10月26日の第二報で、CRMシステムの件について、攻撃者が同社システムとCRMを連携するAPIキーを悪用し、CRMのAPI経由で問い合わせ記録を取得したと説明した。顧客リストの取得やデータベース全体のエクスポートは確認されていない。漏えいした可能性がある項目は、問い合わせ履歴、メールアドレス、氏名、電話番号、住所、生年月日、銀行口座情報（返金対応に関するものに限る）、本人確認書類（主に加盟店審査のためメールで送られたもの）。対象は加盟店や取引先の担当者と、問い合わせをした消費者。決済システムの約4100件とは別の事案で、カード情報は含まれず、二次被害は確認されていない。対象者への連絡と個人情報保護委員会への報告はKOMOJUが行い、加盟店側の対応は不要としている（KOMOJU 第二報）。
わかっていないこと
- 非本番環境にあった脆弱性の内容と、非本番環境から社内管理画面・本番側のシステムにログインできた理由（認証情報の共有か、ネットワーク上のつながりか）
- 約4100件の個人データの内訳（加盟店の役職員か、加盟店で買い物をした消費者か）と項目
- CRMシステムから取られた情報の範囲（【2026-10-27追記】第二報で、問い合わせ記録と添付の本人確認書類などが対象と説明された。対象人数は未公表）
- API認証情報が漏洩した加盟店の数と、それらの認証情報が使われた形跡の有無
- 10月14日の検知から22日の公表までの間に、加盟店や消費者にどんな案内がされたか
関係しそうな既知の手口
- （考察）開発・検証用の非本番環境は、本番より防御が甘くなりがちで、しかも本番と同じ認証情報や接続先を持っていることがある。決済代行事業者の加盟店APIキーが漏れると、加盟店になりすました決済・返金・取引情報の照会などに悪用されるおそれがあるため、キーの無効化と再発行が最優先になる。
概要
- オンライン決済代行サービス「KOMOJU」で、非本番環境の脆弱性から社内管理画面などに侵入された。
- 一部加盟店のAPI認証情報と約4100件の個人データが漏洩した。カード情報のシステムは別で、カード情報の漏洩はない。
- 認証情報の入れ替えに伴い、一部の決済手段で一時的な障害が起きた。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-13（火）夕方以降 | 外部の第三者が非本番環境に不正アクセス（KOMOJU） |
| 2026-10-14（水）早朝 | 不審なアクセスの増加を検知して調査開始。非本番環境の脆弱性を悪用され、社内管理画面と一部システムに不正ログインされていたことを確認（KOMOJU） |
| 2026-10-14（水）午前 | 不正アクセスの経路を遮断し、関連アカウントとログイン状態を無効化、脆弱性を修正（KOMOJU） |
| 2026-10-16（金） | Shopify連携の認証情報を更新。au PAY、楽天ペイ、Paidy、Naver Pay、BLIKが一時利用不可に（KOMOJU） |
| 2026-10-18（日） | セブン-イレブン決済の認証情報を更新。購入者がバーコードを表示できない事象（KOMOJU） |
| 2026-10-22（木） | 公表（KOMOJU） |
| 2026-10-26（月） | 第二報。CRMから問い合わせ記録などの個人データが漏えいしたと公表（KOMOJU 第二報） |
発表内容の整理
事実（KOMOJUの発表）
| 項目 | 内容 |
|---|---|
| 侵入の起点 | 非本番環境に存在していたセキュリティ上の脆弱性 |
| 不正ログインされたもの | 社内管理画面、一部のシステム |
| 不正アクセスが確認されたシステム | KOMOJU決済システム、CRMシステム |
| 漏洩（決済システム） | メールアドレスを含む個人データ約4100件 |
| 漏洩（加盟店） | 一部加盟店のAPI認証情報（個別に連絡済み） |
| 漏洩（CRM） | 調査中（【2026-10-27追記】第二報で、CRM連携用APIキーの悪用により問い合わせ記録（氏名・連絡先・生年月日、返金対応の銀行口座情報、本人確認書類など）が取得されたと説明。人数は未公表） |
| カード情報 | 漏洩なし。保管システムは分離されており、不正アクセスは確認されていない |
| 二次被害 | 不正決済などは現時点で確認されていない |
| 対応の副作用 | Shopify連携の一部決済手段の一時障害（10/16）、セブン-イレブン払いのバーコード表示不可（10/18） |
考察
決済代行事業者への不正アクセスで、カード情報を扱うシステムが分離されていたことは、被害を抑えた設計として評価できる。一方で、加盟店のAPI認証情報は、それだけで加盟店として決済システムを操作できる「鍵」になりうる。KOMOJUはShopify連携やセブン-イレブン決済の認証情報を自ら入れ替えており、決済手段に一時障害が出てでも鍵を替える必要があると判断したことがうかがえる（考察）。
非本番環境が入口になったにもかかわらず、社内管理画面と本番の決済システム・CRMにまで入られている。非本番環境と本番環境の間で、アカウント、シークレット、ネットワークの分離が十分でなかった可能性がある。どこで境界が越えられたのかは、同じような構成を持つSaaS事業者にとって重要な情報で、続報での説明が待たれる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは国内で相次ぐ不正アクセスについて、標的ごとに既知の脆弱性を探して悪用を試みるほか、環境設定ファイルやバックアップファイルの窃取など管理不備を突く攻撃、他システムの侵害で盗んだAPIキーの使用などが確認されているとして、不要な管理機能の公開停止や、漏えいが疑われるAPIトークンの速やかな無効化を勧めている（JPCERT/CC）。
考察
検証環境は「本番ではないから」と外部公開や古いバージョンのまま放置されやすく、そこに本番の管理者アカウントや接続設定が残っていると、攻撃者にとっては本番への近道になる。JPCERT/CCの注意喚起が挙げる「環境設定ファイルの窃取」や「盗んだAPIキーの使用」と同じ流れが起きた可能性があるが、KOMOJUは具体的な手口を公表していない（考察）。
利用者・運用者がいまできること
- KOMOJUを使う加盟店は、KOMOJUからの個別連絡の有無を確認し、APIキーなどの認証情報を再発行・更新する。取引・返金の履歴に心当たりのない操作がないかを確かめる。
- KOMOJUや加盟店を名乗る不審なメールに注意する（KOMOJUはメールでパスワードや認証情報を尋ねないとしている）。
- 自社でSaaSを運営する組織は、非本番環境がインターネットから到達できるか、本番と共通の認証情報・シークレット・管理者アカウントが置かれていないかを点検する。