Operator płatności internetowych KOMOJU potwierdził poważny incydent bezpieczeństwa, w wyniku którego osoby nieuprawnione uzyskały dostęp do części jego systemów informatycznych. Naruszenie doprowadziło do ujawnienia danych uwierzytelniających API niektórych sprzedawców oraz około 4100 rekordów zawierających dane osobowe, przede wszystkim adresy e-mail. Dodatkowo potwierdzono odrębny wyciek informacji z systemu CRM, obejmujący fragmenty korespondencji i zgłoszeń klientów oraz partnerów biznesowych. Najnowszy komunikat operatora, zaktualizowany 30 października 2026 roku, przedstawia ustalony zakres naruszenia, informacje o zabezpieczeniu infrastruktury i zalecenia dla przedsiębiorców korzystających z jego usług.
Incydent ma znaczenie dla branży e-commerce, ponieważ KOMOJU dostarcza rozwiązania płatnicze integrowane z popularnymi platformami sprzedażowymi, takimi jak Shopify, Shopline, Wix, Salesforce Commerce Cloud, Magento czy WooCommerce. Nie oznacza to jednak, że wszystkie sklepy korzystające z tych systemów zostały zaatakowane. Zagrożenie dotyczy infrastruktury operatora płatności i określonych danych przechowywanych w jego systemach, a nie nowej podatności samego Shopify czy innej platformy sklepowej. Co istotne, KOMOJU potwierdziło, że nie stwierdzono wycieku danych kart płatniczych, informacji o zamówieniach ani nieautoryzowanych transakcji.
Co wydarzyło się w systemach płatniczych KOMOJU?
Według oficjalnych informacji KOMOJU nieautoryzowany dostęp rozpoczął się wieczorem 13 października 2026 roku. Operator wykrył podejrzaną aktywność wczesnym rankiem 14 października i jeszcze tego samego dnia podjął działania mające zatrzymać incydent. Obejmowały one między innymi zablokowanie wykorzystanej drogi dostępu, wyłączenie powiązanych kont i aktywnych sesji oraz usunięcie zidentyfikowanych problemów bezpieczeństwa.
Pierwszy publiczny komunikat opublikowano 22 października. Potwierdzono w nim naruszenie bezpieczeństwa środowiska nieprodukcyjnego powiązanego z systemem płatności oraz nieautoryzowany dostęp do systemu CRM wykorzystywanego przez przedsiębiorstwo. W trakcie reagowania na incydent wystąpiły również przejściowe zakłócenia części usług płatniczych.
26 października operator poinformował o dodatkowych ustaleniach dotyczących danych przechowywanych w CRM. Śledztwo wykazało, że osoba nieuprawniona wykorzystała klucz API łączący wewnętrzne systemy KOMOJU z systemem obsługi zgłoszeń. Pozwoliło to uzyskać dostęp do części zapisanej korespondencji zawierającej dane osobowe.
W komunikacie z 30 października KOMOJU potwierdziło szczegóły obu naruszeń, zakres ujawnionych informacji oraz rozpoczęcie indywidualnego informowania osób, których dane mogły zostać objęte wyciekiem. Operator podkreśla, że dochodzenie nadal trwa i może doprowadzić do kolejnych ustaleń.
Jakie dane wyciekły z KOMOJU?
Potwierdzone naruszenie obejmuje dwa odrębne systemy, dlatego ważne jest rozróżnienie rodzaju informacji ujawnionych w każdym przypadku.
Wyciek danych uwierzytelniających API i około 4100 rekordów
W pierwszym przypadku potwierdzono ujawnienie danych uwierzytelniających API części sprzedawców korzystających z KOMOJU. Oprócz tego wyciekło około 4100 rekordów zawierających dane osobowe. Zdecydowana większość tych rekordów obejmowała wyłącznie adres e-mail, natomiast w niewielkiej liczbie przypadków ujawnione informacje zawierały również imię i nazwisko lub numer telefonu.
Operator nie podał publicznie liczby sprzedawców, których klucze API zostały ujawnione. Potwierdził natomiast, że skontaktował się indywidualnie z przedsiębiorcami, których dane uwierzytelniające zostały objęte incydentem.
Osobny wyciek korespondencji z systemu CRM
Drugi incydent dotyczy systemu CRM, w którym przechowywano informacje z obsługi zapytań klientów, sprzedawców i partnerów biznesowych. KOMOJU potwierdziło, że część rekordów zawierających dane osobowe została pobrana przez osobę nieuprawnioną.
Ten wyciek jest odrębny od około 4100 rekordów ujawnionych w pierwszym naruszeniu. Nie należy więc traktować podanej liczby jako łącznej liczby wszystkich osób, których informacje mogły zostać ujawnione.
29 października 2026 roku o godzinie 19:00 czasu wskazanego przez operatora rozpoczęto indywidualne powiadamianie osób dotkniętych naruszeniem danych CRM. KOMOJU przewiduje zakończenie tego procesu do połowy listopada, ponieważ weryfikacja wszystkich rekordów wymaga dodatkowego czasu.
Czy wyciekły numery kart płatniczych i dane zamówień?
To jedno z najważniejszych pytań dla właścicieli sklepów internetowych. KOMOJU jednoznacznie informuje, że według dotychczasowych ustaleń nie potwierdzono ujawnienia numerów kart płatniczych ani nieautoryzowanego dostępu do systemu, w którym przechowywane są takie informacje.
Operator wyjaśnia, że system obsługujący dane kart jest oddzielony od infrastruktury objętej naruszeniem bezpieczeństwa. Nie potwierdzono również wycieku informacji transakcyjnych obejmujących kwoty płatności, daty i godziny transakcji, szczegóły zakupionych produktów czy informacje o zamówieniach.
Do 30 października nie stwierdzono także szkód wtórnych w postaci nieautoryzowanych płatności lub innych potwierdzonych oszustw wynikających z incydentu.
Nie oznacza to jednak, że ujawnienie danych uwierzytelniających API można zignorować. Klucze wykorzystywane do komunikacji sklepu z operatorem płatności mogą mieć istotne znaczenie dla bezpieczeństwa integracji, dlatego przedsiębiorcy objęci wyciekiem powinni zastosować procedury wskazane przez KOMOJU.
Które platformy e-commerce mogą być powiązane z incydentem?
KOMOJU udostępnia integracje płatnicze dla wielu popularnych systemów sprzedaży internetowej. Wśród obsługiwanych platform znajdują się Shopify, Shopline, Wix, Salesforce Commerce Cloud, Cafe24, Magento i WooCommerce. Operator umożliwia również tworzenie indywidualnych integracji płatniczych wykorzystujących API.
Nie istnieje jednak podstawa do twierdzenia, że naruszenie bezpieczeństwa objęło każdą z wymienionych platform lub wszystkie wykorzystujące KOMOJU sklepy. Oznaczałoby to pomylenie incydentu po stronie dostawcy płatności z podatnością samego systemu e-commerce.
Szczególne znaczenie ma sposób, w jaki dany sklep internetowy komunikuje się z operatorem. W przypadku integracji wykorzystujących indywidualne klucze API ujawnienie danych uwierzytelniających może wymagać ich wymiany i ponownego skonfigurowania połączenia. Natomiast rozwiązania, które nie korzystają z objętego incydentem mechanizmu, nie wymagają automatycznie takiego samego działania.
Shopify — czy właściciele sklepów muszą wymieniać klucze API?
Właściciele sklepów Shopify korzystający z KOMOJU otrzymali ważną informację od operatora. W oficjalnym komunikacie z 30 października wskazano, że integracja Shopify nie korzysta z mechanizmu API objętego wyciekiem danych uwierzytelniających.
**KOMOJU potwierdza, że sprzedawcy korzystający z integracji Shopify nie muszą podejmować działań związanych z wymianą kluczy API z powodu tego incydentu.**
Nie oznacza to, że użytkownicy Shopify są całkowicie wyłączeni z każdego aspektu naruszenia. Przedsiębiorca lub klient związany z tą platformą mógł na przykład prowadzić korespondencję z obsługą KOMOJU, a dane z systemu CRM zostały objęte odrębnym naruszeniem. Ewentualne informacje o takim przypadku powinny pochodzić z indywidualnego zawiadomienia operatora.
Nie należy więc przedstawiać incydentu jako podatności Shopify ani sugerować, że sklepy korzystające z tej platformy powinny masowo zmieniać dane uwierzytelniające do panelu Shopify. Oficjalne zalecenie KOMOJU dotyczy określonych integracji i konkretnego zakresu ujawnionych informacji.
Shopline, Wix, Salesforce Commerce Cloud i inne integracje — co należy sprawdzić?
W przypadku pozostałych platform podstawowe znaczenie ma ustalenie, czy konkretny sprzedawca korzysta z integracji wykorzystującej dane uwierzytelniające objęte naruszeniem. Sam fakt, że KOMOJU oferuje płatności dla Shopline, Wix lub Salesforce Commerce Cloud, nie oznacza jeszcze, że klucze konkretnego sklepu wyciekły.
Operator deklaruje, że indywidualnie skontaktował się ze wszystkimi sprzedawcami, których klucze API zostały potwierdzone jako ujawnione. W komunikacie wskazuje również, że przedsiębiorcy, którzy nie otrzymali takiego powiadomienia, nie muszą profilaktycznie unieważniać ani generować nowych kluczy w związku z tym incydentem.
Właściciele sklepów powinni sprawdzić oficjalną korespondencję otrzymaną od KOMOJU oraz informacje dostępne w panelu operatora. Jeżeli sklep korzysta z indywidualnej integracji API i pojawiają się wątpliwości co do zakresu naruszenia, należy skontaktować się bezpośrednio z obsługą płatności za pomocą oficjalnych kanałów komunikacji.
Nie należy samodzielnie przekazywać kluczy API osobom kontaktującym się przez niezweryfikowane wiadomości, nawet jeżeli twierdzą, że reprezentują operatora płatności.
Dlaczego ujawnienie kluczy API operatora płatności jest niebezpieczne?
Klucze API służą do uwierzytelniania komunikacji pomiędzy sklepem internetowym a zewnętrznym systemem. W przypadku operatorów płatności mogą być wykorzystywane do inicjowania określonych operacji, pobierania informacji o transakcjach lub obsługi dodatkowych funkcji, zależnie od zakresu uprawnień konkretnego klucza.
Jeżeli poufny klucz trafi do osoby nieuprawnionej, istnieje ryzyko, że zostanie wykorzystany do wykonywania operacji w granicach przyznanych mu uprawnień. Nie oznacza to jednak, że każdy ujawniony klucz umożliwia samodzielne pobieranie pieniędzy, wykonywanie zwrotów czy uzyskiwanie informacji o wszystkich klientach.
Możliwości napastnika zależą od rodzaju danych uwierzytelniających, przyznanych uprawnień, dodatkowych ograniczeń bezpieczeństwa oraz sposobu działania integracji.
W przypadku KOMOJU nie potwierdzono dotychczas nieautoryzowanych transakcji związanych z wyciekiem. Samo ujawnienie części kluczy jest jednak wystarczającym powodem do ich wymiany u sprzedawców, którzy otrzymali odpowiednie powiadomienie od operatora.
Jak bezpiecznie wymienić klucze API po otrzymaniu zawiadomienia?
Jeżeli KOMOJU potwierdziło ujawnienie danych uwierzytelniających konkretnego sprzedawcy, należy przeprowadzić ich wymianę zgodnie z oficjalną procedurą. W sklepie internetowym zintegrowanym z systemem płatności nieprawidłowa zmiana klucza może doprowadzić do przerwania komunikacji i problemów z przyjmowaniem nowych zamówień.
Administrator powinien ustalić, w których elementach infrastruktury wykorzystywane są dotychczasowe dane uwierzytelniające. Mogą znajdować się w konfiguracji modułu płatniczego, ustawieniach indywidualnej integracji, menedżerze sekretów albo środowisku aplikacji odpowiedzialnej za komunikację z operatorem.
Po wygenerowaniu nowego klucza należy wprowadzić go do odpowiednich komponentów, sprawdzić poprawność połączenia i przeprowadzić testy działania procesu zakupowego. Trzeba zweryfikować inicjowanie płatności, obsługę powiadomień o ich statusie oraz funkcje dodatkowe korzystające z API. Następnie należy unieważnić ujawnione dane uwierzytelniające w sposób zgodny z instrukcją operatora.
W przypadku sklepy internetowe korzystające z kilku połączonych systemów sprzedaży, magazynowania i księgowości powinny także sprawdzić, czy ten sam klucz nie był używany w więcej niż jednej integracji. Bezpieczna rotacja danych dostępowych wymaga uwzględnienia wszystkich miejsc, w których były wykorzystywane.
KOMOJU ostrzega przed wiadomościami wyłudzającymi hasła i klucze API
Po ujawnieniu incydentu bezpieczeństwa wzrasta ryzyko prób podszywania się pod dostawcę płatności. Cyberprzestępcy mogą wykorzystywać autentyczne informacje o naruszeniu, aby wysyłać wiadomości sugerujące konieczność pilnego zalogowania się, wymiany hasła albo przekazania danych dostępowych.
KOMOJU jednoznacznie informuje, że nie prosi o hasła ani dane uwierzytelniające API przez e-mail lub telefon. Operator rozpoczął powiadamianie osób objętych wyciekiem CRM za pośrednictwem wiadomości wysyłanych z adresu [email protected], ale sam widoczny adres nadawcy nie stanowi wystarczającego potwierdzenia autentyczności wiadomości.
Dlatego właściciele sklepów powinni zachować szczególną ostrożność wobec korespondencji zawierającej żądanie natychmiastowego przekazania klucza, hasła lub innych poufnych danych.
Bezpieczniejszym rozwiązaniem jest samodzielne otwarcie oficjalnej strony operatora, zalogowanie się przez znany adres i sprawdzenie dostępnych komunikatów. Nie należy korzystać z podejrzanych odnośników prowadzących do stron imitujących panel płatności.
Czy po incydencie należy zmienić hasło do panelu KOMOJU?
KOMOJU podaje, że dane logowania do paneli sprzedawców nie były dostępne do odczytu w ramach zidentyfikowanego naruszenia. Jednocześnie operator rekomenduje zmianę hasła jako środek ostrożności oraz włączenie uwierzytelniania dwuskładnikowego.
Weryfikacja dostępu do panelu płatności jest szczególnie istotna w przedsiębiorstwach, w których z jednego konta korzystało wcześniej kilku pracowników lub współpracowników. Warto sprawdzić listę uprawnionych użytkowników i ograniczyć dostęp osobom, które nie potrzebują go do wykonywania obowiązków.
Należy również unikać wykorzystywania tego samego hasła w panelu operatora płatności, systemie sklepowym i innych usługach. Nawet jeżeli nie doszło do jego ujawnienia, stosowanie indywidualnych danych uwierzytelniających ogranicza ryzyko rozprzestrzeniania się skutków ewentualnego przyszłego incydentu.
Czy sklepy korzystające z KOMOJU mogą nadal przyjmować płatności?
Według komunikatu z 30 października KOMOJU kontynuuje obsługę płatności i prowadzi dodatkowe kontrole bezpieczeństwa swoich systemów. Operator nie zaleca wszystkim sprzedawcom wstrzymywania sprzedaży ani rezygnowania z jego usług w związku z ujawnionym naruszeniem.
Sprzedawcy, których dane uwierzytelniające wymagają wymiany, zostali poinformowani indywidualnie. W pozostałych przypadkach KOMOJU nie wskazuje konieczności podejmowania specjalnych działań dotyczących kluczy API.
Właściciele sklepów powinni jednak monitorować poprawność realizacji płatności, zwrotów i rozliczeń. Nieoczekiwane transakcje, problemy z autoryzacją lub podejrzane zmiany ustawień wymagają wyjaśnienia z operatorem niezależnie od tego, czy sklep został formalnie objęty zawiadomieniem o wycieku.
Co z bezpieczeństwem danych osobowych klientów?
Ujawnienie około 4100 rekordów zawierających adresy e-mail oraz dodatkowy wyciek informacji z systemu CRM oznaczają, że incydent ma również wymiar związany z ochroną danych osobowych.
Zakres odpowiedzialności poszczególnych podmiotów zależy od ich roli w przetwarzaniu danych. Właściciel sklepu powinien ustalić, czy otrzymał zawiadomienie o naruszeniu informacji należących do jego klientów lub pracowników, a następnie ocenić ewentualne obowiązki wynikające z przepisów o ochronie danych osobowych.
W przypadku przedsiębiorców objętych RODO istotne jest ustalenie, czy naruszenie powoduje ryzyko dla praw lub wolności osób fizycznych. Jeżeli spełnione są odpowiednie przesłanki, może wystąpić obowiązek zgłoszenia naruszenia organowi nadzorczemu, co do zasady w ciągu 72 godzin od jego stwierdzenia. Sam fakt korzystania z operatora KOMOJU nie oznacza jednak automatycznie, że każdy sprzedawca musi dokonywać zgłoszenia.
Do chwili zakończenia dochodzenia nie należy również przedstawiać incydentu jako potwierdzonego wycieku danych kart lub pełnej historii zakupów. Operator wyraźnie rozróżnia informacje faktycznie ujawnione od danych, w przypadku których nie stwierdzono naruszenia.
Dlaczego incydent KOMOJU jest ważnym ostrzeżeniem dla branży e-commerce?
Współczesne sklepy internetowe korzystają z wielu zewnętrznych usług odpowiedzialnych za płatności, dostawy, magazynowanie, fakturowanie i komunikację z klientami. Nawet jeżeli podstawowa platforma sprzedażowa jest aktualna i prawidłowo zabezpieczona, bezpieczeństwo całego procesu zakupowego zależy również od infrastruktury dostawców tych integracji.
Incydent KOMOJU pokazuje, że naruszenie bezpieczeństwa po stronie operatora płatności może mieć konsekwencje dla sprzedawców, mimo że nie doszło do wykorzystania podatności ich sklepu. Ujawnienie kluczy API stwarza odmienny rodzaj zagrożenia niż przejęcie panelu administracyjnego, ale może wymagać równie szybkiej reakcji technicznej.
Jednocześnie należy unikać nieuzasadnionego rozszerzania skali zagrożenia. KOMOJU nie potwierdziło wycieku danych kart płatniczych ani nieautoryzowanych transakcji. Potwierdzono natomiast ujawnienie części danych uwierzytelniających API, około 4100 rekordów z danymi osobowymi oraz odrębny wyciek informacji z CRM.
Najważniejszym działaniem dla przedsiębiorców korzystających z KOMOJU jest sprawdzenie oficjalnych zawiadomień i zastosowanie indywidualnych zaleceń operatora. Właściciele sklepów Shopify nie muszą wymieniać kluczy API z powodu tego incydentu, ponieważ ich integracja nie korzysta z objętego naruszeniem mechanizmu. W przypadku pozostałych integracji decyzja powinna zależeć od potwierdzonego zakresu wycieku, a nie od samej nazwy platformy sklepowej.
Ochrona sklepu internetowego wymaga więc nie tylko aktualizowania oprogramowania, ale także kontrolowania bezpieczeństwa zewnętrznych integracji, właściwego zarządzania kluczami API i reagowania na komunikaty dostawców usług płatniczych. Incydent KOMOJU przypomina, że nawet prawidłowo działająca sprzedaż nie wyklucza naruszenia poufności informacji wykorzystywanych przez infrastrukturę e-commerce.