当社システムへの不正アクセスにより、KOMOJU決済システム（第一報）とCRMシステム（第二報）からの情報漏洩が確認されています。当社決済システムからのクレジットカード情報の漏洩は確認されていません。
メールアドレスやそれに紐づく情報が漏洩した加盟店様・お客様には順次ご連絡しております。調査完了までには数週間かかる予定です。第二報（CRMシステムからの漏洩）の対象の方には、2026年10月29日19時以降、no-reply@komoju.comから順次ご連絡しており、2026年11月中旬までに完了予定です。
現時点で確認できていること
- 当社決済システムからのクレジットカード情報の漏洩は確認されていません。クレジットカード情報を保管するシステムは、本件の対象システムとは分離されています。
- 第一報（KOMOJU決済システム）：一部の加盟店様のAPI認証情報の漏洩と、メールアドレスを含む個人データ約4,100件の漏洩が確認されています。
- 第一報の個人データは、大半はメールアドレスのみで、氏名・電話番号が含まれる方はごく一部です。
- 第二報（CRMシステム）：当社のお問い合わせ記録の一部が漏洩し、個人情報が含まれていたことが確認されています。第一報とは別個の事象です。
- 不正な決済などの二次被害は、現時点で確認されていません。
第一報と第二報はどのような関係ですか？
第一報では、当社の非本番環境への不正アクセスにより、KOMOJU決済システム（対象システム1）からの漏洩と、CRMシステム（対象システム2）への不正アクセスを確認したことをお知らせしました。その後の調査で、第三者が当社システムからCRMシステムに接続するためのAPIキーを使用してCRMシステムにアクセスし、お問い合わせ記録を取得していたことが確認されたため、第二報でお知らせしました。第二報はCRMシステムからの漏洩に関するもので、第一報の決済システムからの漏洩とは別個の事象です。
第一報で、取引情報（決済金額・注文情報など）は漏れましたか？
現時点の調査におきましては、KOMOJU決済システムから漏洩が確認されているのは、メールアドレスを含む個人データ約4,100件であり、決済金額・決済日時・商品明細・注文情報等の取引情報が漏洩した事実は確認されておりません。また、クレジットカード情報を保管するシステムは不正アクセスされたシステムと分離されており、当該システムへの不正アクセスも確認されておりません。不正決済などの二次被害についても、現時点で確認されておりません。なお、調査は外部専門機関の協力のもと継続しており、万一新たな事実が判明した場合には、速やかにご報告いたします。
決済は止めたほうがよいですか？引き続き利用できますか？
決済処理システム全般は、必要な安全確認その他の対応を実施しながら、稼働を継続しています。API認証情報の更新が必要な加盟店様には、当社から個別にご連絡しています。ShopifyはAPIでの接続ではないため対応不要です。CRMシステムからの漏洩について、加盟店様での特段のご対応は不要です。なお、管理画面のログイン情報が見られた可能性はありませんが、念のためパスワードの変更をお勧めしています（二段階認証の設定も、本件とは関係なくお勧めしています）。
当社からAPI認証情報について個別のご連絡を受けていない加盟店様へ
現時点の調査において、API認証情報の漏洩が確認された加盟店様には、当社から個別にご連絡を差し上げております。現時点でAPI認証情報についてご連絡をさせていただいていない場合は、当該項目の漏洩はございません。このため、貴社のAPI認証情報につきましては、無効化・再発行・利用制限を実施する必要はなく、当社側でこれらの対応は行っておりません。現行の認証情報を引き続きそのままご利用いただける状態でございます。
不正アクセスは止まっていますか？
2026年10月13日夕刻以降に不正アクセスが行われ、翌14日早朝に検知しました。同日午前中には、不正アクセスの経路の遮断、関連アカウントおよびログイン状態の無効化、セキュリティ上の脆弱性の修正などの初期対策を実施しています。調査は継続中です。新たな事実が判明した場合は、当社公式サイトで速やかにお知らせします。
経緯と実施済みの対応は、下記の第一報・第二報をご確認ください。加盟店の皆様にご心配とご迷惑をおかけしておりますことを、お詫び申し上げます。