KOMOJU：決済システムとCRMに不正アクセス

KOMOJUは10月22日、13日夕刻から非本番環境の脆弱性を悪用され、社内管理画面等に不正ログインされたと公表した。14日早朝に検知し同日午前中に経路を遮断した。決済システムでメールアドレスを含む個人データ約4,100件と、一部加盟店のAPI認証情報の漏洩を確認した。別途CRMにも不正アクセスがあり、範囲は調査中。カード情報を保管する別システムへの侵入・カード情報漏洩はなく、不正決済も未確認。認証情報更新の影響で16日にShopify連携の一部決済、18日にセブン-イレブン決済のバーコード表示に一時障害が出た。26日の第二報では、攻撃者がAPIキーを使ってCRMにAPI経由でアクセスしたと説明した。決済について問い合わせた加盟店・提携先の担当者と消費者の問い合わせ記録が漏洩し、問い合わせ履歴、メールアドレス、氏名、電話番号、住所、生年月日、返金時の銀行口座情報、加盟店審査の本人確認書類が含まれる。カード情報は含まれない。件数は示しておらず、決済システムの約4,100件とは別。