KOMOJUの情報漏洩｜約4,100件の範囲と加盟店・利用者が確かめること 2026

決済プラットフォーム「KOMOJU」を運営する株式会社KOMOJU（2026年3月5日付で株式会社DEGICAから商号変更）は2026年10月22日、外部の第三者による不正アクセスで、KOMOJU決済システムからメールアドレスを含む個人データ約4,100件の漏洩を確認したと発表しました。一部の加盟店のAPI認証情報の漏洩も確認されており、業務で使うCRMシステムへの不正アクセスについては影響範囲を調査中としています。 加盟店のサービスで買い物をした人のクレジットカード情報の漏洩は発生していないと明記され、不正決済などの二次被害も現時点で確認されていないとされています。 まずすることは、KOMOJUや加盟店を名乗るメールや連絡を、公式サイトのお知らせと照らし合わせるまで信じないことです。同社はメールでパスワードや認証情報を尋ねることはないと書いています。

この記事では、2026年10月23日時点で公開されているKOMOJUの発表と報告書、KOMOJUのステータスページの記録だけをもとに、何が起きて、何が分かっていて、何がまだ分かっていないのかを順番に整理します。KOMOJUは、ネットショップやアプリの運営者が、クレジットカードやコンビニ払い、スマホ決済などの支払い方法をまとめて導入するためのサービスです。そのため今回の件には、KOMOJUと契約して決済を導入している「加盟店」と、加盟店のショップで支払いをする「購入者」という、立場の違う2種類の人が関わります。それぞれがすることを分けて説明し、在宅でネットショップの運営や構築を請け負っている人が、取引先にどう伝えるかも扱います。

2026年10月23日時点で分かっていること

最初に、結論にあたる事実を並べます。どれも株式会社KOMOJUが2026年10月22日に公開したお知らせと、そこからたどれる報告書で確かめた内容です。2026年10月23日の朝の時点で、同社のお知らせの一覧に続報は出ていません。

• 2026年10月13日夕刻以降、外部の第三者が同社の非本番環境に不正にアクセスしました
• 翌14日早朝に不審なアクセスの増加を検知し、調査を始めています
• 非本番環境にあったセキュリティ上の脆弱性を悪用され、社内管理画面と一部のシステムに不正にログインされていたことを確認したとされています
• 14日午前中に、不正アクセスの経路の遮断、関連アカウントとログイン状態の無効化などを行い、脆弱性を修正したと書かれています
• KOMOJU決済システムでは、メールアドレスを含む個人データ約4,100件の漏洩が確認されています
• 業務で利用するCRMシステムにも不正アクセスがあり、影響範囲の詳細は調査中です
• 一部の加盟店のAPI認証情報の漏洩が確認され、対象の加盟店には個別に連絡済みとされています
• クレジットカード情報の漏洩は発生していないと明記されています
• 不正決済などの二次被害は、現時点で確認されていないとされています

件数として示されているのは決済システムの「約4,100件」だけで、CRMシステムの分は数字が出ていません。全体の件数は、まだ分かっていないということです。

KOMOJUとはどんなサービスか

今回の件を正しく読むために、KOMOJUの仕組みを簡単に押さえておきます。

KOMOJUは、決済代行と呼ばれる種類のサービスです。決済代行とは、ネットショップの運営者に代わって、カード会社やコンビニ、スマホ決済の会社との契約や接続をまとめて引き受ける仕組みのことです。ショップの運営者は、決済代行の会社と1つ契約すれば、たくさんの支払い方法を自分のショップに並べられます。KOMOJUの公式サイトでは、国内外の65を超える決済方法を一括で導入できると案内されています。

KOMOJUと契約しているショップの運営者を、KOMOJUでは「加盟店」と呼んでいます。加盟店には、Shopify、WooCommerce、EC-CUBEのようなネットショップの仕組みにKOMOJUをつないでいる人もいれば、自分のサイトやアプリに直接組み込んでいる人もいます。個人事業主として小さなネットショップを運営している人も、加盟店に含まれます。

一方、加盟店のショップで買い物をして、カードやコンビニ払いで代金を払う人が「購入者」です。購入者は、KOMOJUと直接契約しているわけではありません。それでも、支払いの途中でKOMOJUの画面を通ったり、コンビニ払いの案内メールをKOMOJUから受け取ったりすることがあります。

公表の経緯と、続報の予定

時系列で整理すると、次のようになります。日付と内容は、KOMOJUの報告書とステータスページの記録で確かめたものです。

日付	出来事
2026年10月13日夕刻以降	外部の第三者が非本番環境に不正アクセス
2026年10月14日早朝	不審なアクセスの増加を検知し、調査を開始
2026年10月14日午前中	経路の遮断、関連アカウントとログイン状態の無効化、脆弱性の修正
2026年10月16日	Shopify連携の認証情報を更新。その影響で一部の決済手段が一時使えない状態に
2026年10月18日	セブン-イレブン決済の認証情報を更新。購入者がバーコードを表示できない事象が発生
2026年10月22日	お知らせと報告書を公開

検知から公表までは、約8日あります。その間の10月16日と18日に、決済の一部で障害が起きています。報告書は、どちらも「本件を受けて」認証情報を更新した作業の影響だったと説明しています。10月22日の発表で、これらの障害が不正アクセスへの対応の一部だったことが明らかになりました。

続報については、CRMシステムの影響範囲は「判明次第、速やかにお知らせします」とされています。今後の調査で新たに伝えるべきことが出た場合は、KOMOJUの公式サイトで知らせるとともに、影響を受けた加盟店へは個別に案内するとも書かれています。

公式のお知らせは、KOMOJUの「ニュースルーム」にある「お知らせ」の一覧に載っています。2026年10月23日の朝の時点では、10月22日のお知らせが最新です。

発表の原文で確かめる

報告書のうち、影響範囲を説明した部分の原文は次のとおりです。

当社の調査により、以下の 2 つのシステムに対する不正アクセスを確認しており、これにより当社が取り扱う当社顧客の役職員および消費者等の個人データが外部に漏洩した、またはそのおそれがあることが判明しています。影響範囲の詳細は、現在、外部の専門機関の協力を得て調査を進めております。 出典: ja.komoju.com

この文には、読み方の要点が3つあります。

1つ目は、対象が「当社顧客の役職員および消費者等の個人データ」と書かれていることです。「当社顧客」はKOMOJUの顧客、つまり加盟店を指すと読めます。「役職員」はその会社の役員や社員のことです。そこに「消費者等」が並んでいるので、加盟店の担当者の情報だけでなく、購入者などの情報が含まれる可能性もある書き方です。どちらが何件かという内訳は示されていません。

2つ目は、「漏洩した、またはそのおそれがある」という表現です。決済システムの約4,100件は「漏洩が確認」とされていますが、CRMシステムの分は調査中です。そのため、全体としては「漏洩した、またはそのおそれ」という幅のある言い方になっています。

3つ目は、外部の専門機関の協力を得て調査を続けていることです。報告書の内容は、あくまで2026年10月22日時点で判明している範囲です。対象の項目や件数は、今後の調査で変わる可能性があります。

漏れた項目と、含まれないと明記された項目

報告書に書かれている項目を、「漏洩が確認された、またはそのおそれがあるもの」と「漏洩していないと明記されたもの」に分けると、次のとおりです。

区分	内容
漏洩が確認されたもの	KOMOJU決済システムの、メールアドレスを含む個人データ約4,100件
漏洩が確認されたもの	一部の加盟店のAPI認証情報
調査中のもの	CRMシステムの影響範囲
漏洩していないと明記されたもの	加盟店のサービスを利用する客のクレジットカード情報
確認されていないもの	不正決済などの二次被害（現時点）

決済システムの個人データについて、報告書が挙げている項目は「メールアドレスを含む」という書き方だけです。氏名、電話番号、住所などが含まれるかどうかは書かれていません。書かれていない項目を「含まれていない」と読むのも、「含まれている」と読むのも、どちらも早すぎます。対象の加盟店には個別の連絡が届いているので、加盟店はその連絡の中身を確かめてください。

クレジットカード情報が含まれない理由として、報告書は、カード情報を保管するシステムが今回不正アクセスされたシステムとは分離されており、そのシステムへの不正アクセスは確認されていないと説明しています。報告書の説明どおりであれば、カード番号を扱うシステムを分けて管理していたことで、カード情報には被害が及ばなかったことになります。

一方で、API認証情報の漏洩は、加盟店にとって軽く見てよいものではありません。API認証情報とは、加盟店のショップやシステムがKOMOJUにつないで決済の処理を頼むときに使う、合言葉のような文字列のことです。これが第三者の手に渡ると、その加盟店になりすましてKOMOJUに接続される心配が出てきます。報告書は、対象の加盟店に個別に連絡済みとしているので、該当する加盟店は連絡の指示に沿って対応することになります。

原因：非本番環境の脆弱性

報告書によると、外部の第三者は、同社の「非本番環境」に存在していたセキュリティ上の脆弱性を悪用し、社内管理画面と一部のシステムに不正にログインしました。

非本番環境とは、実際のお客さんが使う本番のシステムとは別に、開発や試験のために用意する環境のことです。新しい機能を試したり、不具合を直す前に動きを確かめたりするために、多くの会社が本番とよく似た環境を持っています。脆弱性とは、プログラムや設定の弱点のことで、悪用されると本来入れないはずの場所に入られてしまいます。

今回の環境がどのような作りで、どの弱点が使われたのかは、報告書に詳しく書かれていません。「どこの部分の弱点だったのか」「なぜ非本番環境から社内管理画面に入れたのか」は、2026年10月22日時点の発表では明らかにされていない、と押さえておくのが正確です。

CRMシステムについては、その後の調査で不正アクセスがあったことを確認したと書かれています。CRMとは、顧客管理システムのことで、取引先の会社や担当者の連絡先、問い合わせや商談の記録などをまとめて管理する道具です。どのCRMの製品を使っていたのか、どのような経路で入られたのかは書かれていません。影響範囲の詳細は調査中です。

KOMOJUの対応と、決済への影響

報告書に書かれている会社の対応を整理すると、次のとおりです。発表に無い対応はここには書いていません。

• 検知した10月14日の午前中に、不正アクセスの経路を遮断した
• 関連するアカウントとログイン状態を無効化した
• 脆弱性を修正し、初期の対策を行った
• 外部の専門機関の協力を得て、影響範囲の調査を続けている
• API認証情報が漏洩した加盟店へは、個別に連絡済み
• 決済処理システム全般について、安全確認などを行いながら稼働を続けている

お詫びの言葉は報告書の冒頭とお知らせのページにありますが、補償や金銭的な対応についての記載はありません。今後の扱いは発表を待つしかなく、ここで推測はしません。

Shopify連携の一部決済手段の一時障害

10月16日、同社は本件を受けてShopify連携の認証情報を更新しました。報告書によると、この作業の影響で、Shopify連携を使う加盟店で、au PAY、楽天ペイ、Paidy、Naver Pay、BLIKの決済手段が一時的に使えない状態になりました。

KOMOJUのステータスページの記録では、この障害は2026年10月16日18時41分に調査中として掲載され、同日21時18分に修正の完了と決済の再開、21時31分に解決と記されています。ステータスページとは、サービスが正常に動いているか、障害が起きていないかを知らせる専用のページのことです。KOMOJUのものはKOMOJUのステータスページで見られます。

セブン-イレブンのコンビニ決済

10月18日には、セブン-イレブン決済の認証情報を更新しました。その結果、セブン-イレブンで支払う購入者が、支払いに使うバーコードを表示できない事象が起きたとされています。報告書は、影響を受けた購入者に、支払い方法の再案内を書いたメールを送ったとしています。

このメールは本物の案内ですが、同時に、偽のメールが紛れ込みやすい種類の連絡でもあります。「支払い方法が変わりました」「もう一度お支払いください」という文面は、詐欺の常套句と重なるからです。受け取った場合の確かめ方は、後の「購入者がすること」で詳しく説明します。

自分が対象かを確かめる方法

報告書は、影響を受けた加盟店には個別に案内するとしています。立場ごとに、確かめ方を分けて説明します。

KOMOJUの加盟店の場合

まず、KOMOJUからの個別の連絡が届いていないかを確かめます。API認証情報が漏洩した加盟店には、すでに個別に連絡済みとされています。届いているかを見るときは、KOMOJUとの契約に登録しているメールアドレスの受信箱だけでなく、迷惑メールのフォルダや、社内で共有している問い合わせ用の受信箱も確かめてください。

注意したいのは、個別の連絡を装った偽のメールです。届いたメールが本物かどうかを判断するときは、メールの中のリンクから管理画面に入らず、自分で保存しているブックマークや、KOMOJUの公式サイトから加盟店向けの管理画面に入って確かめます。同社はメールでパスワードや認証情報を尋ねることはないと明記しているので、それを求めるメールは偽物と判断してかまいません。

連絡が見当たらない場合でも、すぐに「対象ではない」と言い切ることはできません。CRMシステムの影響範囲は調査中で、今後の調査で対象が広がる可能性があるからです。判明次第知らせるとされているので、お知らせの一覧を定期的に見ておきます。

加盟店のショップで支払いをした購入者の場合

購入者には、KOMOJUから一人ひとりに「あなたが対象です」という連絡が届くとは、報告書には書かれていません。報告書の作りは、加盟店を通して購入者に情報が届く前提です。普段使っているネットショップが支払いにKOMOJUを使っているかどうかは、支払いの画面や、コンビニ払いの案内メールの差出人で分かることがあります。

心当たりがある場合は、そのショップのお知らせを確かめます。ショップからの案内がなく、不安が残るときは、ショップの問い合わせ窓口に尋ねるのが近道です。報告書は、購入者から問い合わせがあればKOMOJUの窓口を案内するよう、加盟店に頼んでいます。

セブン-イレブンでの支払いが止まった購入者の場合

10月18日の前後に、KOMOJU経由でセブン-イレブン払いを選び、バーコードが表示されなかった人は、同社から再案内のメールが届いている可能性があります。注文がまだ有効かどうか、どの方法で払えばよいかは、ショップのマイページや注文確認のメールで確かめます。

加盟店がすること

加盟店がすることは、個別の連絡を受け取ったかどうかで変わります。ここでは、連絡の中身に沿うことを前提に、一般的に確かめておきたい点を並べます。

個別の連絡の指示に沿ってAPI認証情報を扱う

API認証情報の漏洩の連絡を受けた加盟店は、その連絡に書かれた手順に従います。漏れた合言葉は、使い続ける限り悪用の心配が残ります。どのような手順で新しい認証情報に切り替えるのかは、連絡と公式の案内で確かめてください。発表に書かれていない手順を、推測で進めるのは避けます。

管理画面のアカウントを見直す

KOMOJUの管理画面に入れる人のアカウントを見直します。退職した人や、契約が終わった外部の協力者のアカウントが残っていないか、パスワードをほかのサービスと使い回していないかを確かめます。二段階認証のように、パスワードのほかにもう1つ確認を求める仕組みが使える場合は、設定しておくと安心です。二段階認証の考え方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で詳しく解説しています。

注文と入金の記録を確かめる

報告書は、不正決済などの二次被害は現時点で確認されていないとしています。それでも、自分のショップの注文と入金の記録に、見覚えのない取引や返金の操作が無いかを確かめておくと安心です。10月14日の前後と、10月16日、18日の障害の時間帯の取引は、特に注文の状態と入金の状態が合っているかを見ておきます。

購入者からの問い合わせに備える

購入者から「情報は大丈夫ですか」と問い合わせが来たときの答え方を、あらかじめ決めておきます。報告書は、購入者から問い合わせがあれば同社の窓口を案内するよう求めています。カード情報の漏洩は発生していないこと、不審なメールに注意してほしいことを伝えたうえで、詳しくはKOMOJUの窓口とお知らせを案内する、という形が考えられます。

購入者がすること

購入者の側では、カード情報の漏洩は発生していないとされています。そのため、今回の件だけを理由にカードを止める必要は、発表の内容からは読み取れません。それでも、メールアドレスを含む個人データが漏洩したことは確認されているので、偽の連絡への備えは必要です。

偽のメールに注意する

メールアドレスが知られた場合に最も起きやすいのは、本物そっくりの偽のメールが届くことです。KOMOJUや、普段使っているネットショップを名乗り、「お支払いに問題があります」「カード情報を再登録してください」と誘導してくるものが典型です。今回は実際にセブン-イレブン払いの再案内という本物のメールも送られているため、見分けがつきにくくなっています。

確かめ方は単純です。メールのリンクを押さず、ショップの公式サイトやアプリを自分で開き、マイページの注文の状態を見ます。本物の再案内であれば、マイページや注文の記録でも同じ状態が確かめられるはずです。

カードの明細を確かめる習慣をつける

カード情報は漏洩していないとされていますが、偽のメールに誘導されてカード番号を入力してしまうと、そこから不正に使われるおそれがあります。万一、偽のページにカード番号を入れてしまったときの動き方について、KOMOJU自身がブログで次のように説明しています。

最優先で行うべきは、カード会社への連絡とカードの停止です。不正な取引が発生している最中でも、カード会社に連絡することで即時停止できます。多くのカード会社は24時間対応の緊急窓口を設けており、状況に応じたアドバイスや手続きを受けられます。早期に対応し、不正利用を断ち切りましょう。 出典: ja.komoju.com

カード会社の連絡先は、カードの裏面や、カード会社の公式サイトに書かれています。偽のメールに書かれた電話番号にはかけないでください。明細は、月に一度の請求のときだけでなく、カード会社のアプリやサイトでこまめに見ておくと、見覚えのない少額の取引にも早く気づけます。

パスワードの使い回しを見直す

今回の発表で漏洩が確認されたのはメールアドレスを含む個人データで、購入者のパスワードが漏れたとは書かれていません。ただ、メールアドレスが知られると、ほかのサービスで過去に漏れたパスワードと組み合わせて、ログインを試される心配があります。同じパスワードを複数のサービスで使い回している人は、この機会に、大事なサービスから順に別々のパスワードへ変えておきます。

偽のメールと電話の見分け方

今回のように、メールアドレスと決済の話題が結びつく事案では、偽の連絡の文面がもっともらしくなります。見分けるときの目安を、手段ごとに整理します。

メールの場合

差出人の表示名は、誰でも自由に書き換えられます。「KOMOJU」と表示されていても、それだけで本物とは言えません。本文のリンクの行き先が公式のドメインと違う、急がせる言葉が並んでいる、パスワードやカード番号、認証のコードを入力させようとする、といった点が見えたら、偽物を疑います。KOMOJUはメールでパスワードや認証情報を尋ねることはないと明記しています。

偽のメールの手口と見分け方を、職場で学ぶ方法については、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで紹介しています。ネットショップを数人で運営している場合、この機会に全員で見分け方を共有しておくと、誰か1人がうっかり開いてしまう事故を減らせます。

電話の場合

KOMOJUや加盟店を名乗る電話で、カード番号や認証のコードを聞かれたら、その場で答えずに切ります。かけ直すときは、相手が言った番号ではなく、公式サイトに載っている窓口に自分から連絡します。今回の件で、同社の公式の窓口として示されているのはメールアドレスだけで、電話番号は示されていません。電話で「KOMOJUの専用窓口」と名乗られても、そのまま信じないことが大切です。

困ったときは、独立行政法人情報処理推進機構（IPA）の情報セキュリティ安心相談窓口に相談できます。電話は03-5978-7509で、受付は10時00分から17時00分（土日祝日と年末年始を除く）と案内されています。

問い合わせ窓口

報告書に載っている問い合わせ先は、次のとおりです。

• 株式会社KOMOJU 本件専用窓口
• メールアドレス：[email protected]

電話番号と受付時間は、報告書には書かれていません。このため、本記事でも電話の窓口は案内しません。パスワードやカード番号を、問い合わせのメールに書かないでください。

事業者の個人情報の扱いについて、利用者として苦情や相談をしたいときは、個人情報保護委員会の個人情報保護法相談ダイヤルが受け付けています。電話番号は03-6457-9849、受付時間は9時30分から17時30分（土日祝日と年末年始を除く）と案内されています。

在宅で仕事をする人が気をつけること

KOMOJUは、会社だけでなく、個人事業主やフリーランスにも使われているサービスです。在宅で仕事をしている人が今回の件に関わる形は、大きく2つに分かれます。

自分の事業でKOMOJUを使っている場合

自分のネットショップや、オンライン講座の受付、作品の販売のためにKOMOJUと契約している人は、加盟店として、先に説明した手順で個別の連絡を確かめます。

そのうえで考えたいのが、自分の顧客への説明です。個人事業主でも、顧客の名簿を事業に使っていれば、個人情報保護法の「個人情報取扱事業者」に当たります。個人情報取扱事業者とは、名簿のように検索できる形にまとめた個人情報を、事業に使っている人や会社のことです。個人情報保護委員会の通則編のガイドラインは、扱う個人の数の多い少ないにかかわらず、また法人でない個人であっても、当てはまると書いています。

個人情報保護委員会の漏えい等の対応とお役立ち資料では、不正アクセスによる漏えいや、本人の数が1,000人を超える漏えいなど、決められた事態に当たると、委員会への報告と本人への通知が義務になると案内されています。報告は、まず速やかに行い、不正の目的で行われたおそれがある場合は、発覚した日から60日以内に詳しい内容を報告するとされています。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。 出典: ppc.go.jp

ガイドラインはあわせて、委託先が、報告の義務を負う委託元に事態を知らせたときは、委託先は報告の義務を免れ、知らせを受けた委託元が報告すると説明しています。決済代行の会社と加盟店の関係がこの「委託」に当たるのか、自分の顧客の情報が今回の対象に含まれるのかは、契約の中身と、KOMOJUからの個別の連絡の内容で変わります。自分で判断がつかないときは、個別の連絡の内容をもとに、個人情報保護委員会の資料を読み、相談ダイヤルで確かめてください。

取引先のネットショップの運営や構築を請け負っている場合

在宅の仕事で多いのが、取引先のネットショップの更新や受注の対応、Shopifyなどでのショップの構築を請け負う形です。こうした仕事では、取引先のKOMOJUの管理画面に入るアカウントを預かっていたり、ショップとKOMOJUをつなぐ設定を自分が行っていたりすることがあります。

この場合、KOMOJUとの契約者は取引先です。個別の連絡も、まず取引先に届きます。顧客への説明や、必要な報告を判断するのも、基本的に取引先の側です。請け負っている人がすることは、取引先が判断できるように、知っている事実を早く渡すことです。

特に気をつけたいのは、ショップとKOMOJUをつなぐ設定を自分が担当していた場合です。API認証情報の切り替えが必要になったとき、取引先はどこに何が設定されているかを知らないかもしれません。どの仕組みで同じ認証情報を使っているかを書き出して渡すと、取引先の対応がぐっと早くなります。預かっている管理画面のアカウントのパスワードも、取引先と相談して見直します。

アプリやシステムの組み込みを仕事にしている人にとっては、認証情報をどこに保存し、誰が見られる状態にしておくかが、そのまま仕事の質として見られます。決済の組み込みを含む開発の仕事の種類は、アプリケーション開発のお仕事で紹介しています。

取引先への伝え方

取引先に伝えるときは、分かっている事実と、まだ分かっていないことを分けて、短く書きます。たとえば、次のような文面です。

○○株式会社　△△様 いつもお世話になっております。ネットショップの運営を担当している□□です。 御社のショップで使っている決済サービス「KOMOJU」で、2026年10月13日以降に不正アクセスがあったと、運営会社から10月22日に発表がありました。 発表では、一部の加盟店のAPI認証情報の漏洩が確認され、対象の加盟店には個別に連絡済みとされています。カード情報の漏洩は発生していないとのことです。 御社あてに運営会社から個別の連絡が届いていないか、ご確認をお願いできますでしょうか。連絡があった場合は、設定の切り替えをこちらで手伝えます。

文面のこつは、謝ることや不安をあおることよりも、事実と、相手にしてほしいことを先に書くことです。社外に向けて事実を正確に伝える文章の力は、こうした場面で信頼に直結します。ビジネス文書検定は、社外向けの文書の書き方を体系立てて学べる資格です。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

今回の件をきっかけに、自分のメールアドレスがほかの漏えいにも含まれていないかを確かめておくと、備えの優先順位を付けやすくなります。過去の漏えいで出回ったメールアドレスとパスワードの組み合わせが残っていると、今回知られたメールアドレスと結びついて、乗っ取りに使われることがあるからです。

漏えいを調べる方法では、メールアドレスを入れると、過去に公表された漏えいに含まれているかを調べられるサービスの使い方を紹介しています。結果が出たら、そのサービスで使っていたパスワードを、ほかで使い回していないかを確かめます。

今回の発表では、住所が含まれるかどうかは書かれていません。ただ、別の事案で住所まで漏れていたと分かった場合は、郵便物や訪問を使った詐欺にも備える必要があります。その場合の動き方は、住所が漏れたときで整理しています。

運営者の視点：預かった鍵と名簿の扱いが、仕事の信用になる

ネットショップの運営代行や、ショップの構築、受注の対応のように、在宅の仕事には、取引先の管理画面の鍵や顧客の名簿を預かる仕事が少なくありません。こうした仕事では、作業の腕前と同じくらい、鍵と名簿を安心して預けられるかが見られています。何かが起きたときに、自分が関係するかをすぐ確かめ、事実だけを簡潔に取引先へ渡せる人は、それだけで次の仕事につながりやすくなります。

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。その中で見えてくるのは、情報の扱いを含めて「任せると安心な人」に、長い取引が集まるという傾向です。仲介の手数料が乗らない手数料0%の直接取引では、受け手と取引先が直接やりとりする分、こうした信頼がそのまま関係の長さになります。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

よくある質問

Q. KOMOJUの情報漏洩で、何が漏れたのですか？

2026年10月22日の発表では、KOMOJU決済システムでメールアドレスを含む個人データ約4,100件の漏洩が確認され、一部の加盟店のAPI認証情報の漏洩も確認されたとされています。業務で使うCRMシステムにも不正アクセスがあり、影響範囲は調査中です。メールアドレス以外の項目が含まれるかは、発表には書かれていません。

Q. KOMOJUで支払ったクレジットカードは止めたほうがよいですか？

発表では、加盟店のサービスを利用する客のクレジットカード情報の漏洩は発生していないと明記されています。カード情報を保管するシステムは不正アクセスされたシステムと分離されていたと説明されています。カードを止めるかどうかは、明細に見覚えのない取引があるかで判断し、不安があればカードの裏面にあるカード会社の窓口に相談してください。

Q. KOMOJUから届いたセブン-イレブン払いの再案内のメールは本物ですか？

報告書では、10月18日の認証情報の更新でバーコードを表示できない事象が起き、影響を受けた購入者に支払い方法の再案内のメールを送ったとされています。ただし、同じ文面を装った偽のメールも考えられます。メールのリンクを押さず、ショップの公式サイトやマイページを自分で開いて、注文の状態を確かめてから支払ってください。

Q. KOMOJUの件の問い合わせ先はどこですか？

報告書には、株式会社KOMOJUの本件専用窓口として、メールアドレス [email protected] が載っています。電話番号と受付時間は書かれていません。購入者の場合は、まず支払いをしたショップに問い合わせるのも方法です。問い合わせのメールに、パスワードやカード番号を書かないでください。