株式会社KOMOJUへの不正アクセスによる加盟店API認証情報および個人データの漏洩
公表日
決済プラットフォーム「KOMOJU」のシステムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、加盟店のAPI認証情報や個人データ約4,100件が流出しました。
対象者は？
KOMOJUを利用している一部の加盟店、および個人データが漏洩した対象者（約4,100件の個人データ漏えいが確認されたと報じられています）。クレジットカード番号自体の流出については発表されていません。
KOMOJUの公式告知を確認し、対象となる加盟店や利用者には運営会社からの連絡等に従って確認してください。
いますぐできること
- KOMOJUのAPIを利用している加盟店は、管理画面等でAPIキーの再発行手順や公式からの案内の有無を確認する。
- ShopifyなどのEC店舗でKOMOJU決済を導入している事業者は、取引や決済ログに異常な挙動がないか確認する。
何が起きたのか
2026年10月13日以降、KOMOJUのシステムが外部の第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、不正ログインされました。報道によると、非本番環境（テスト環境など）の脆弱性が悪用されたとされています。この影響により、一部加盟店のAPI認証情報の流出や約4,100件の個人データの漏えいが確認されました。また、社内CRMシステムへの不正アクセスも判明し、対応の過程でShopify決済など一部サービスに一時的な障害が発生しました。
なぜ起きたのか・なぜ広がったのか
本番環境ではなく非本番環境に存在した脆弱性が侵入の足がかりとして悪用されたと報じられています。そこから認証情報の流出やCRMシステムへの侵入へと影響が拡大しました。
いまの状況2026-10-23 時点続報待ち
株式会社KOMOJUが影響範囲の詳細について調査を進めています。具体的な再発防止策や調査結果の全容については、まだ発表されていません。
企業として考えたいこと
開発用やテスト用として構築した外部公開サーバのセキュリティパッチ適用やアクセス制限を、本番環境と同等に厳格に管理できていますか？
技術的な要約
決済プラットフォーム「KOMOJU」を運営する株式会社KOMOJUは、2026年10月13日以降に外部第三者による不正アクセスおよび不正ログインを受けたことを公表した。報道によると、攻撃者は非本番環境の脆弱性を悪用して侵入したとされる。この不正アクセスにより、約4,100件の個人データ漏えいが確認されたほか、一部加盟店のAPI認証情報を含む情報漏洩が確認された。また、同社が業務で利用するCRMシステムにおいても不正アクセスが確認されており、対応の過程でShopify決済など決済サービスの一部に一時的な障害が発生した。同社は影響範囲について詳細な調査を進めている。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者非本番環境の脆弱性を悪用した不正アクセスと報じられている
- 脆弱性
- CVE 非公表報道・研究者非本番環境非本番環境に存在した脆弱性が悪用されたと報じられているが、具体的な製品名やCVE番号は公表されていない
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセスへの対応過程で、Shopify決済を含む決済サービスの一部に一時的な障害が発生した期間：一時的
- データ
- 確定上限 —確定 4,100件その他報道により約4,100件の個人データ漏えいおよび加盟店のAPI認証情報流出が確認されたと報じられている。公式発表では一部加盟店の情報漏洩確認および個人データ漏洩の可能性が公表されている。
- 波及先
- —
- 加盟店のAPI認証情報の流出
- Shopify決済における一時的な障害
- 金銭影響
- —
- サプライチェーン
- 決済プラットフォーム運営元の侵害により、加盟店のAPI認証情報流出やShopify決済の一時障害が発生した
時系列
- 2026-10-13外部第三者によりKOMOJUのシステムに対する不正アクセスおよび不正ログインが行われる1
- 2026-10-22不正アクセスへの対応過程において決済サービスの一部に一時的な障害が発生1
- 2026-10-22
- 2026-10-22一部加盟店の情報漏洩の確認および個人データ漏洩の可能性を公表1
- 2026-10-22社内調査により業務利用CRMシステムへの不正アクセスを確認し、影響範囲を調査中であると発表1
- 2026-10-23セキュリティ対策Labにより、非本番環境の脆弱性を悪用した不正アクセスである旨が報道される2
- 2026-10-23約4,100件の個人データ漏えいおよび加盟店API認証情報の流出が報道される2
- 2026-10-23不正アクセス対応に伴う決済サービス障害がShopify決済の一時障害であったことが報道される2
技術解説
不正アクセスの経緯と公表事実 事実
株式会社KOMOJUの発表および報道によると、2026年10月13日以降、外部第三者による不正アクセスが行われ、同社システムへの不正ログインが確認された。その後、業務で利用するCRMシステムに対しても不正アクセスがあったことが判明している。本件の影響として、一部加盟店の情報漏洩が確認されたほか、個人データ漏洩の可能性が公表された。報道では約4,100件の個人データ漏えいと加盟店API認証情報の流出が確認されたと報じられている。また、不正アクセスへの対応過程で決済サービスの一部に一時的な障害が生じ、Shopify決済にも一時障害が発生したと報じられている。
非本番環境を起点とした侵入と水平移動の構造 解釈
報道では非本番環境に存在した脆弱性が侵入の契機になったと指摘されている。開発環境やステージング環境などの非本番環境は、本番環境と比べてセキュリティパッチの適用やアクセス制御、監視体制が緩慢になりがちである。攻撃者はそうした防御の手薄な接点から足がかりを得て、内部ネットワークや共有されていた認証情報を探索し、基幹の決済基盤やCRMシステムなどの別領域へ水平移動（ラテラルムーブメント）を行った可能性がある。非本番環境と本番環境のネットワーク分離や、環境間での同一認証情報・アクセス鍵の共有を避ける運用の重要性を示している。
決済代行事業者におけるAPI認証情報漏洩の波及リスク 解釈
加盟店API認証情報が流出した場合、影響は決済プラットフォーム事業者自身にとどまらず、サービスを利用するEC事業者などの加盟店全体へ連鎖する。加盟店APIキーが悪用された場合、決済トランザクションの不正発行や注文情報の不正照会など、重大なサプライチェーン被害に直結する懸念がある。対応過程でShopify決済を含む決済機能の一時停止を余儀なくされた点からも、決済プラットフォーム侵害が下流のEコマース事業者へ与える業務停止リスクの大きさが浮き彫りとなっている。漏洩検知時の迅速なAPIキー無効化と再発行手順の確立が不可欠である。
対応
- 封じ込め
- 不正アクセスへの対応過程で決済サービスの一部に一時障害が発生したものの、侵入経路の遮断などの具体的な封じ込め措置の詳細は公表されていない。
- 公表の仕方
- 2026年10月22日に公式ウェブサイト上でシステムへの不正アクセスおよび決済サービスへの一時障害に関する告知を公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 非本番環境の脆弱性放置と外部公開 | 検証・テスト環境などの非本番サーバであってもインターネットへの公開を原則禁止し、アクセス元IP制限やVPN経由に限定する。また、外部公開資産管理（EASM）を用いて公開設定の漏れを継続的に検知する。 |
| 非本番環境と本番環境・内部システムのネットワーク境界の不備 | 非本番環境と本番系ネットワーク、社内管理系（CRM等）をVPCやファイアウォールで厳格に分離し、環境をまたぐ通信は最小限の許可ルールに制限する。 |
| 加盟店APIキーや認証情報の管理と漏洩リスク | 加盟店向けAPIキーは暗号化して保存し、アクセス権限を最小化するとともに、漏洩が疑われる際は管理画面やCLIから即座に一括無効化・再発行できる運用フローとシステム機能を整備する。 |
| 侵害対応に伴うサービス停止と顧客業務への影響 | 不正アクセス発覚時の遮断対応・影響調査手順を事前策定し、外部決済APIやShopifyなどの主要連携先への影響範囲を極小化するフェイルソフトな運用設計を行う。 |
自組織などでの確認項目
- 自社の開発・ステージング環境など非本番環境の中に、パブリックにアクセス可能な状態のサーバやポートが残っていないか
- 非本番環境と本番環境、あるいはCRM等の業務SaaSとの間で、同一のアクセスキーや認証情報を再利用していないか
- 決済などの重要APIキーが漏洩した際、顧客や加盟店に影響を出さずに迅速にキーの無効化と再発行を行える手順が整っているか
未解明点
- 侵入契機となった非本番環境の脆弱性の具体的内容（CVEや製品名）および侵入経路の詳細
- CRMシステムから外部へ閲覧・持ち出しが行われた情報の具体的な項目と範囲
- 流出が確認された加盟店API認証情報の対象件数と、加盟店側で必要とされた対応の詳細
出典
- 1株式会社KOMOJU2026-10-22公式本文確認済
- 2セキュリティ対策Lab2026-10-23報道本文確認済