当社が利用する決済システムに対するセキュリティインシデントについて

このたび、当社が利用する決済サービス「Stripe」の本番環境APIキーに対して第三者からの不正アクセスがあり、API経由で決済ログが参照可能な状態となっていたことが判明いたしました。当社では2026年8月24日に本件を検知し、直ちに該当キーの無効化および影響範囲の調査等の緊急対応を開始しております。本件についての第一報をお知らせいたします。

1. 現時点で確認されている事象

当該のStripeAPIキーに対し、当社サービス以外のIPアドレスから、通常使用しないログ参照API等へのアクセスが確認されており、第三者による不正なログ参照が行われたものと判断しております。当該APIを通じて参照可能な状態であった決済ログには、以下の情報が含まれていました。

メールアドレス・カード番号の下4桁・カードブランド・カード有効期限（月・年）・カード名義・請求先住所・電話番号・決済金額・通貨・決済ステータス

現時点では、これらの情報が実際に第三者によって取得されたか、またその対象件数については確認できておらず、引き続き調査を進めています。カード番号全桁やセキュリティコードについては、当該APIから参照できる情報には含まれておりません。

2. 現時点で確認されている影響

現時点では、以下の事実は確認されておりません。
・不正な決済・返金・送金・出金
・その他の金銭的被害
・当社サービスへの不正アクセス・利用への影響
これらについても引き続き確認を進めています。

3. 当社の対応

被害拡大防止のため、以下の対応を実施しております。
・2026年8月22日9:03にStripeより通知、2026年8月24日10:01に本件を感知、2026年8月24日12:22に漏洩したAPIキーを停止
・現在利用しているStripe APIキーをローテーション
・Stripe APIへのアクセス元IP制限を設定し、現在は当社サービスのサーバー経由からのみ利用可能な状態に変更
・各サービスにおけるStripe APIキーの利用状況を確認
・不要となった旧APIキーの削除対応
・Stripe社へ詳細なアクセスログ調査を依頼

4. 現在の調査状況

Stripe上で当社が直接確認できるログの保持期間が限られるため、影響が及ぶと考えられる期間のアクセスを含め、Stripe社へ以下の調査を依頼しています。
・当該APIキーを使用したすべてのリクエスト
・顧客情報・決済情報等の取得内容および件数
・決済・送金・出金・返金・連結アカウント作成等の金銭的影響につながる操作の有無
・その他、不正利用による影響の有無

5. 今後について
引き続き、Stripe社と連携して影響範囲の特定および原因究明を進めます。
新たな事実が判明した場合には、本ページを更新および該当ユーザー宛に速やかにお知らせいたします。
お客様および関係者の皆様には、多大なご心配をおかけしておりますことを深くお詫び申し上げます。
当社では本件を重大なセキュリティインシデントとして受け止め、影響範囲の特定、原因究明および再発防止に取り組んでまいります。