何が起きたか

10月13日夕刻以降、非本番環境の脆弱性が悪用され、社内管理画面と一部システムに不正ログインされました。14日早朝に不審アクセスの増加を検知し、同日午前中に経路遮断、関連アカウント・ログイン状態の無効化、脆弱性修正を実施しました。CRMへの不正アクセスも確認しています。公式報告書

購入者への影響

10月18日、対策としてセブン-イレブン決済の認証情報を更新した結果、購入者が支払バーコードを表示できない事象が発生しました。影響を受けた購入者へは支払方法を再案内するメールを送付しています。10月16日にも、Shopify連携の認証情報更新に伴い、au PAY・楽天ペイ・Paidy・Naver Pay・BLIKが一時利用できなくなりました。いずれも対策作業に伴う障害で、攻撃が直接決済システム全体を停止させたという説明ではありません。決済サービスへの影響

情報流出と確認されていない被害

メールアドレスを含む個人データ約4,100件の漏えいを確認しています。顧客の役職員と消費者等を含む件数であり、消費者だけの人数や国内の人数へ置き換えられません。CRM側の影響範囲は調査中です。一部加盟店のAPI認証情報漏えいも確認し、個別連絡しました。影響範囲

購入者のクレジットカード情報の漏えいは発生していないと説明しています。カード情報を保管するシステムは侵害されたシステムと分離され、不正アクセスは確認されていません。不正決済等の二次被害も確認されていません。決済処理システム全般は安全確認等を行い稼働を続けています。同報告書

公式案内と問い合わせ

支払バーコード表示に影響を受けた購入者には、KOMOJUが送付した支払方法の再案内があります。購入者からの問い合わせ先として、本件専用窓口（security-contact@komoju.com）を公表しています。加盟店向けにはKOMOJUや加盟店を装う不審な連絡への注意を促し、メールでパスワードや認証情報を尋ねることはないと説明しています。公式の案内、報告書の窓口

時系列

日時 出来事
2026年10月13日夕刻以降 非本番環境に不正アクセス。
10月14日早朝 不審アクセスの増加を検知し調査開始。同日午前中に初期対策。
10月16日 対策作業でShopify連携の一部決済手段に一時障害。
10月18日 対策作業でセブン-イレブン支払バーコード表示に障害。
10月22日 不正アクセス、情報漏えい、決済への影響を公表。

発生と対応の経緯

まだ分かっていないこと

CRM側の影響範囲、約4,100件に含まれる消費者の内訳などは確認できていません。会社は外部専門機関と調査を続け、新たな情報を公式サイト等で案内するとしています。調査状況