掲載：2026年11月9日（この版は11月9日夜に更新しました）／ English version below

teai 不正アクセスによる情報流出のおそれについて（お詫びとお願い）

teai・Sente・te をご利用のみなさま、および JiuFlow・MU など当社のサービスをご利用のみなさまへ

teai のサーバーが、外部の者から不正に操作されていたことが分かりました。お客様の情報が読み取られたおそれがあります。teai と、決済やメール送信の仕組みを共有していた当社のほかのサービスのお客様も対象です。ご心配とご迷惑をおかけし、深くお詫び申し上げます。

お願いしたいこと（4つ）

パスワードを変えてください。 メールアドレスとパスワードで teai にログインしている方は、全員が対象です。同じパスワードを他のサービスでも使っている場合は、そちらも変えてください。どの方法でログインしているか分からない方も、パスワードの再設定をしてください。
teai の API キーを作り直してください（Sente・te をお使いの方を含みます）。 11月9日17時10分より前に作られたキーは、11月21日にすべて使えなくします。それまでに teai.io で作り直してください。
teai に他社の API キーを登録したことがある方は、各社でキーを作り直してください。 預かっていたキーを解く鍵も読まれたためです（11月9日の集計では、お客様が登録したキーはありませんでした。念のためのお願いです）。
teai や当社のサービスを名乗るメールのリンクを開かないでください。 今回、当社のドメインを差出人にした詐欺メールが送られていました。差出人の表示だけでは本物かどうか見分けられません。当社がパスワードやカード番号をメールで聞くことはありません。

JiuFlow・MU など、teai 以外の当社のサービスのお客様は、カードの利用明細に覚えのない請求がないかをお確かめください。くわしくは「teai 以外の当社のサービスのお客様へ」をご覧ください。

詐欺メールについては、別のページ（teai.io/notice/phishing-2026-11）でもお知らせしています。

お金について

カード番号の全体とセキュリティコードは、当社に保存していません（決済会社が管理しています）。
不正な利用枠（クレジット）の付与がありましたが、お客様の残高やお支払いへの影響はないとみています（確認中です）。
不審な返金や、入金先の口座の変更は見つかっていません。カード会社経由の払い戻し請求は、11月9日時点で0件です。
カードの明細に覚えのない請求があれば、カード会社と当社にご連絡ください。

いまの対応の状況

原因の機能（「コード実行」と、サーバーのファイルを扱う機能）は止め、本番に反映しました。
データベース・暗号化・メール送信・決済の鍵は、11月9日に新しいものに替えました。
ウェブのログイン状態は、11月9日にすべて解除しました。Sente・te で使う API キーは、11月21日に無効にします。
パスワードを旧方式で保存していた方は、再設定するまでパスワードではログインできないようにしました（11月9日）。
そのほかの漏れたおそれのある鍵の入れ替えと、サーバーに置かれた仕組みが残っていないかの確認は、続けています。分かったことは、このページに日付を付けて書き足します。

何が起きたか

teai のチャットには、簡単なプログラムを動かす「コード実行」という機能がありました。この機能が、サービス本体と同じ機械の上で、いちばん強い権限のまま動いていました。そのため、利用者の立場から、サーバーの中身や、サービスが外部とつながるための「鍵」を読むことができてしまいました。決済とメール送信の鍵は、teai 以外の当社のサービスとも共有していたため、影響がほかのサービスのお客様にも及びました。

日付（日本時間）	起きたこと
2026年9月8日ごろ	不審なアカウントが、この機能でサーバーの中を調べ始めた（とみられる）
9月21日	サーバーの「鍵」を読み出された。お客様の情報が入ったデータベースの鍵も含まれる。サーバーに不審なファイルを置かれた
9月25日〜28日	ほかの鍵も読み出された。当社代表のアカウントが乗っ取られ、そのアカウントを通じて、データの暗号化に使う鍵なども読み出された。当社がクラウド（Cloudflare）に保存していたデータも読み出された。サーバーを外から操作するための仕組みも置かれた
10月12日〜11月9日	漏れたメール送信の鍵を使い、当社のドメインを差出人にした詐欺メールが海外の宛先に大量に送られた
11月3日・7日	さらに別の2つのアカウントからも、同じ方法で鍵を読み出された
11月9日	当社が発見し、対応を始めた

関わったアカウントは複数あり、同じ人物によるものかは調べています。最初の不正から発見まで、約2か月かかりました。 この間、気づけなかったことを重く受け止めています。

読み取られたおそれがある情報

攻撃者はデータベースの鍵を持っていたため、データベースの中身を読むことも、書き換えることもできる状態でした。また、データベースの複製（バックアップ）の保管場所にも、攻撃者が書き込めたことを確認しました。複製を読み出した記録は残っていないため、データベースの複製は持ち出されたものとして扱います。これまでに見つかった書き込みは、当社代表のアカウントに入るための偽のログイン情報、不正な利用枠（クレジット）の付与、攻撃者が作った API キーと作業用の表などです。

teai に登録しているすべての方（最大 2,536人）

登録した名前（表示名）とメールアドレス
ご利用の記録（日時・使ったモデル・使用量・残高）
パスワード（そのままの形では保存していません。ただ、パスワードでログインする69人のうち、旧方式で保存されていた47人の方のパスワードは、漏れた鍵と組み合わせると推測されやすくなります。残り22人の方は、今はより強い方式で保存していますが、いつから替わっていたかを確認中のため、同じく推測されやすいものとして扱います。どちらの方にも変更をお願いし、69人全員に個別にもお知らせします）
ログイン状態の情報、メールアドレス確認用のコード、Google アカウントとの対応（Google のパスワードは保存していません）
teai のウェブ画面・API での会話と、AI が覚えている内容（保存されていた一部の方のみ。該当の方には個別にお知らせします）
サポートへのお問い合わせの内容（一部の方）
teai に登録された他社の API キー（暗号化して保存していましたが、暗号を解く鍵も読まれたため、読めるものとして扱います）
teai が発行した API キー：元に戻せない形で保存しています。ただし、攻撃者はデータベースに書き込めたため、偽のキーを足した可能性を否定できません。一部の方のキーが別の欄に残っていたため、そのキーは止めました。該当の方には、個別にもご連絡します。11月9日17時10分より前に作られたキーは、11月21日にすべて使えなくします。それまでに teai.io で作り直してください。

teai でお支払いをしたことがある方と、JiuFlow・MU など当社のほかのサービスでお支払いをしたことがある方（決済会社 Stripe で当社が管理している情報）

お名前・メールアドレス・請求先と配送先の住所・電話番号（入力がある方）・カードの種類と下4桁・有効期限・決済の履歴
カード番号の全体とセキュリティコードは、当社も Stripe の鍵を持つ者も読めない仕組みのため、含まれません

当社のサービスからメールを受け取ったことがある方

当社のサービスから送ったメールの宛先・件名・本文（メール送信会社に残っていた記録）

このほか、次のことは確認中です。

上の情報のうち、実際に持ち出されたものと、お客様のデータが書き換えられたかどうか
LINE などの連携先のサービス側に保存されている情報。teai のデータベースには LINE の利用者 ID は保存していないとみていますが、確認しています
Sente・te での会話。teai のデータベースには保存していないとみていますが、ほかの保存先も含めて確認しています
当社がクラウド（Cloudflare）に保存していて読み出されたデータに、お客様の情報が含まれていたか
そのほかのサーバーに保存していたデータ

teai 以外の当社のサービスのお客様へ

JiuFlow・MU などは、teai と同じく株式会社イネブラが運営しているサービスです。当社は、決済（Stripe）とメール送信の仕組みを、これらのサービスで共有していました。この鍵が読まれたため、上の「お支払いをしたことがある方」「メールを受け取ったことがある方」の情報が読み取られたおそれがあります。また、当社がクラウド（Cloudflare）に保存していたデータも読まれました。そこにほかのサービスのお客様の情報が含まれていたかは確認中です。各サービスのパスワードなどが読まれた形跡は、今のところ見つかっていません（確認を続けています）。

対象のサービスと人数：確認中です。決済会社とメール送信会社の記録から、サービスごとに数えています。対象のサービスの一覧は、人数とあわせてこのページに書き足します。
お知らせの方法：数え終わり次第、メールアドレスが分かる方には、ご利用のサービスからメールで個別にお知らせします。メールにはリンクを入れず、このページをご自身で開いていただくようご案内します。数え終わるまでの間も、分かったことはこのページに書き足します。
お願い：カードの利用明細に覚えのない請求がないか確かめ、あればカード会社と当社にご連絡ください。当社のサービスを名乗るメールのリンクは開かないでください。

起きた被害と、起きるおそれのある被害

確認できた被害

当社代表のアカウントが乗っ取られました
管理用の鍵などを使って、不正に利用枠（クレジット）が付与されました。お客様の残高やお支払いへの影響はないとみていますが、確認中です
データベースに、偽のログイン情報などが書き込まれました
データベースの複製の保管場所に、不審なファイルが書き込まれました
攻撃者のアカウントで、盗まれたものとみられるクレジットカードによる決済が行われました（23件・計 392,350円。11月9日に全額をカードへ返金し、攻撃者の定期購読も解約しました）。このほか、攻撃者のアカウントで、本人確認（3D セキュア）済みのカード2枚による決済が計 7,850円ありました。扱いは確認中です
当社が外部の AI サービスに支払っていた利用料の一部が、不正に使われた可能性があり、調べています
漏れたメール送信の鍵を使って、当社の6つのドメイン（jiuflow.com・teai.io・chatweb.ai・enablerdao.com・wearmu.com・takaramarket.com）を差出人にした詐欺メール（海外の銀行や決済・通信サービスをかたるもの）が、10月12日から11月9日にかけて、海外の宛先に約7万6千通送られていました。11月9日にメール送信の鍵をすべて作り直しました。作り直した後の確認では、詐欺メールの送信は見つかっていません。teai の利用者に宛てたものがあったかは、確認中です

起きるおそれのある被害

teai や当社のサービスを名乗る、詐欺メール（フィッシング）
同じパスワードを使っている他のサービスへの不正ログイン
パスワードを推測されたアカウントで、残高（クレジット）を不正に使われること
預けていた他社の API キーの不正利用

今わかっていること（11月9日時点）

不審な返金や、入金先の口座の変更は、9月以降ありません（9月以降の返金は、お客様のご依頼による通常の2件と、攻撃者が盗まれたものとみられるカードで行った決済23件を当社がカードへ全額返金したものです。入金先の口座は以前から同じです）。カード会社経由の払い戻し請求は、11月9日時点で0件です。
サービスのプログラムが書き換えられた跡は、見た範囲では見つかっていません（一部の設定変更は確認中です）。
9月7日以降に作られた teai の API キーを、作成の記録と照合しました。照合では見つけられない形で足されたキーもありえるため、11月21日に古いキーをすべて無効にします。
データベースが実際にどこまで読まれ、何が書き換えられたかは、確認中です。
お客様のアカウントに、勝手にログイン情報が加えられたり、メールアドレスや Google アカウントとの対応が書き換えられたりしていないかは、確認中です。
サーバーに置かれていた遠隔操作の仕組みが、すべて取り除かれたかは、確認中です。

お願い（くわしく）

① パスワードでログインしている方

teai.io を開く（メールのリンクからではなく、このページのリンクか、ご自身で入力したアドレスから開いてください）
ログイン画面の「パスワードを忘れた方」に、登録メールアドレスを入れる
届いたメールのリンク（30分有効）から、新しいパスワードを決める（ご自身でこの操作をした直後に届いたメールのリンクは、開いてかまいません）

パスワードを旧方式で保存していた方は、再設定が終わるまでパスワードではログインできないようにしました。お手数ですが、再設定をお願いします。Google アカウントやメールのリンクでログインしている方は、パスワードの変更は不要です。ウェブのログイン状態は11月9日に解除しましたので、もう一度ログインしてください。どの方法か分からない方は、上の手順でパスワードを再設定してください。

② teai の API キーを使っている方（Sente・te を含む）

teai.io にログインし、ご自身の API キーの一覧（teai.io/keys）を開く
新しいキーを作り、Sente・te など、お使いのアプリに設定し直す
古いキーを削除する（11月21日には、11月9日17時10分より前に作られたキーはすべて使えなくなります）

一覧に覚えのないキーがあれば削除して、ご連絡ください。

③ 他社の API キーを teai に登録したことがある方
OpenAI・Anthropic などの各社の管理画面で、そのキーを削除し、新しいキーを作ってください。あわせて、各社の利用明細に覚えのない使用がないか確かめてください。
（11月9日の集計では、お客様が登録したキーはありませんでした。念のためお願いしています）

④ 不審なメールに注意
teai からのお知らせは noreply@teai.io から、ほかのサービスのお客様へのお知らせは、ご利用のサービスのアドレスから送ります。ただし今回、当社のドメインを差出人にした詐欺メールが送られていたため、差出人の表示だけでは本物と判断しないでください。メールのリンクは開かず、teai.io をご自身で開いて確かめてください。パスワードやカード番号をお聞きすることはありません。詐欺メールの見分け方は teai.io/notice/phishing-2026-11 でお知らせしています。

⑤ 当社のサービスでお支払いをしたことがある方
カードの利用明細に覚えのない請求がないか確かめてください。あれば、カード会社と当社にご連絡ください。

当社が行った対応

11月9日に行ったこと

不正に使われたアカウントを止め、ログインもキーも使えないようにしました
原因の「コード実行」など、サーバー上でコマンドを動かす機能と、サーバーのファイルを扱う機能を止め、本番に反映しました
当社代表のアカウントに書き込まれた、偽のログイン情報を消しました
暗号化に使う鍵を新しくし、保存していたデータを暗号化し直しました
サーバーに置かれていたファイルを取り除き、調査のために保存しました
17時10分に、データベースの鍵をすべて無効にし、新しい鍵に替えました。この作業の不手際で、16時49分から17時10分までの21分間、サービスが止まりました
メール送信の鍵をすべて削除し、作り直しました。作り直した後の確認では、当社のドメインからの詐欺メールの送信は見つかっていません
決済（Stripe）の鍵を新しいものに替え、すべてのサービスに反映しました。この作業の誤りで、19時00分から19時31分ごろまで、お支払いができない状態になりました（この間に完了したお支払いはありません。お支払いができなかった方は、お手数ですがもう一度お試しください）
9月7日以降に作られた teai の API キー956本を作成の記録と照合し、作成の記録がない4本（当社代表と社内のアカウントのもの）と、値が別の欄に残っていたキー6本（うち使える状態だった5本）を止めました（値が別の欄に残っていた方には、個別にもご連絡します）
ウェブのログイン状態を、すべて解除しました
パスワードを旧方式で保存していた方は、再設定するまでパスワードではログインできないようにしました
個人情報保護委員会に速報を提出しました
決済会社 Stripe に、この件を報告しました
詐欺メールについて、海外の公的な窓口（イタリア・ベルギー）と、名前をかたられた事業者、メール送信の事業者に通報しました

今行っていること

そのほかの漏れたおそれのある鍵（外部のサービスと連携するための鍵など）の入れ替え
データベースの記録と、外部サービス側の記録の調査
サーバーに置かれた仕組みが、ほかに残っていないかの調査
teai 以外の当社のサービスで、対象となるお客様の人数の確認

これから行うこと

11月21日に、11月9日17時10分より前に作られた teai の API キーを、すべて使えなくします。
サーバー上でプログラムを動かす機能は、サービス本体から完全に切り離した場所でしか動かさないようにします。それまでは止めたままにします。
不審な操作を自動で見つけて、すぐ知らせる仕組みを入れます。知らせが確実に届くことを11月12日までに確かめ、確かめた日と結果をこのページに書き足します。
サービスや鍵の状態を確かめる方法を11月16日までに改善し、終えた日をこのページに書き足します。
新しい機能を出す前に、「悪用されたら何が読めるか」を必ず確かめます。
調べて分かったことは、このページに日付を付けて書き足します。

予定が変わる場合は、このページで理由と新しい予定をお知らせします。

お問い合わせ

お問い合わせフォーム：teai.io/contact
フォームが使えない場合：info@enablerdao.com（件名に「teai 不正アクセス」とお書きください）
ご自身の情報が対象かどうかのお問い合わせ、データの削除のご希望も、こちらで受け付けます。JiuFlow・MU など、teai 以外のサービスのお客様も、同じ窓口で受け付けます。

お詫び

お客様の大切な情報を守れなかったこと、そして約2か月のあいだ気づけなかったことを、心からお詫び申し上げます。ご心配とご迷惑をおかけしていることを、重ねてお詫びします。便利な機能を早く届けることを優先し、その機能がどこまで届いてしまうかの確認が足りませんでした。原因を一つずつ直し、分かったことは隠さずお伝えします。

2026年11月9日時点の情報（内容を更新した場合は、更新した日と変更点をこのページに書きます）
株式会社イネブラ代表取締役濱田優貴

Possible exposure of your information due to unauthorized access to teai — our apology and what to do

To everyone using teai, Sente and te, and to customers of our other services such as JiuFlow and MU,

We have found that teai's servers were accessed and controlled by an outside party without authorization. Your information may have been read. This also affects customers of our other services that shared teai's payment and email-sending systems. We are deeply sorry for the worry and trouble this causes.

Four things we ask you to do

Change your password if you sign in to teai with an email and password — this applies to everyone who does. If you use the same password elsewhere, change it there too. If you are not sure how you sign in, reset your password anyway.
Create a new teai API key (this includes Sente and te users). On November 21 we will disable every key created before 17:10 JST on November 9. Please create a new one at teai.io before then.
If you ever saved another company's API key in teai, delete it and create a new one with that company, because the key that protected stored keys was also read. (Our November 9 count found no keys saved by customers; this is a precaution.)
Do not open links in emails claiming to be from teai or our other services. Phishing emails were sent using our domains as the sender, so the sender address alone does not prove an email is genuine. We never ask for passwords or card numbers by email.

If you are a customer of JiuFlow, MU or another of our services other than teai, please check your card statement for charges you do not recognize. For details, see "To customers of our services other than teai".

We also explain the phishing emails on a separate page, teai.io/notice/phishing-2026-11.

About money

We do not store full card numbers or security codes (our payment provider holds them).
Usage credits were added without authorization, but we believe your balance and payments are not affected (this is still being checked).
We have found no suspicious refunds and no change to our payout account. There were no chargebacks as of November 9.
If you see a charge you do not recognize on your card statement, contact your card issuer and us.

Where our response stands

The features that caused this (code execution and features that handle server files) are turned off in production.
On November 9 we replaced the database, encryption, email-sending and payment keys.
On November 9 we signed everyone out of the website. API keys used by Sente and te will be disabled on November 21.
Since November 9, passwords stored with our old method can no longer be used to sign in until they are reset.
We are still replacing the other keys that may have leaked and checking that nothing placed on our server remains. We will add what we learn to this page, with dates.

What happened

teai's chat had a "code execution" feature for running small programs. It ran on the same machine as the service itself, with full administrator rights. This let a user read the inside of the server, including the credentials ("keys") the service uses to connect to other systems. Because the payment and email-sending keys were shared with our other services, customers of those services are also affected.

Date (JST)	What happened
Around Sep 8, 2026	Suspicious accounts appear to have started probing the server through this feature
Sep 21	Server keys were read, including the key to the database that holds customer information. A suspicious file was placed on the server
Sep 25–28	More keys were read. Our CEO's account was taken over and used to read further keys, including the ones used to encrypt data. Data we stored in the cloud (Cloudflare) was also read. A way to control the server remotely was installed
Oct 12 – Nov 9	The leaked email-sending key was used to send large numbers of phishing emails to overseas recipients, with our domains as the sender
Nov 3 and 7	Two more accounts read keys the same way
Nov 9	We discovered this and began our response

Several accounts were involved; whether they belong to one person is under investigation. It took about two months from the first abuse until we noticed. We take this failure seriously.

Information that may have been read

The attacker held the database key, so they could read and change the database. We also found that the attacker could write to the storage holding our database backups. Because no record of reads exists there, we treat the database backup as having been taken. The writes found so far include fake login data for our CEO's account, unauthorized credit grants, and an API key and a working table the attacker created.

Everyone registered with teai (up to 2,536 people)

Display name and email address
Usage records (time, model, amount, balance)
Passwords (not stored as-is. Of the 69 people who sign in with a password, the 47 whose passwords were stored with our old method are at higher risk, because the leaked key makes those passwords easier to guess. The other 22 are now stored with a stronger method, but we are still checking when they switched, so we treat them as also at risk. We ask all of them to change their password, and we will also contact all 69 individually)
Login session data, email verification codes, and the link to your Google account (we do not store Google passwords)
Chats and AI memory from teai's website and API (only for some people whose data was stored; we will contact them individually)
Support inquiries (some people)
Third-party API keys saved in teai (they were encrypted, but the decryption key was also read, so we treat them as readable)
teai-issued API keys: stored one-way. However, because the attacker could write to the database, we cannot rule out that fake keys were added. Some people's keys had also been left in another field; we have disabled those keys and will also contact the people concerned individually. Every key created before 17:10 JST on November 9 will stop working on November 21. Please create a new one at teai.io before then.

People who have paid on teai, or on our other services such as JiuFlow and MU (information we manage at our payment processor, Stripe)

Name, email address, billing and shipping addresses, phone number (if entered), card brand and last four digits, expiry date, and payment history
Full card numbers and security codes are not included; neither we nor anyone holding our Stripe key can read them

People who have received email from our services

Recipient, subject and body of emails our services sent (records kept by our email-sending provider)

We are still checking:

Which of the above was actually taken, and whether any customer data was changed
Information held on the side of connected services such as LINE. We believe teai's database does not store LINE user IDs, but we are checking
Sente and te conversations. We believe they are not stored in teai's database, but we are checking, including other storage
Whether the data we stored in the cloud (Cloudflare), which was read, included customer information
Other data stored on our servers

To customers of our services other than teai

JiuFlow, MU and our other services are run by Enabler Inc., the same company that runs teai. We shared our payment (Stripe) and email-sending systems between these services. Because those keys were read, the information listed above for "people who have paid" and "people who have received email" may have been read. Data we stored in the cloud (Cloudflare) was also read; whether it included information about customers of other services is still being checked. So far we have found no trace that passwords or similar information for those services were read (we are still checking).

Which services and how many people: still being checked. We are counting, service by service, from our payment and email providers' records, and will add the list of services and the numbers to this page.
How we will tell you: as soon as the count is finished, we will email each person whose address we have, from the service you use. The email will contain no links and will ask you to open this page yourself. Until then, we will keep adding what we learn to this page.
What we ask: check your card statements for charges you do not recognize, and if you find any, contact your card issuer and us. Do not open links in emails claiming to be from our services.

Harm confirmed and possible harm

Confirmed

Our CEO's account was taken over
Usage credits were added without authorization using our admin key and other means. We believe your balance and payments are not affected, but this is still being checked
Fake login data and other records were written to the database
Suspicious files were written to the storage holding our database backups
Payments were made from the attacker's accounts with credit cards that appear to have been stolen (23 payments, JPY 392,350 in total; we refunded all of them to the card on November 9 and cancelled the attacker's subscription). Separately, the attacker's accounts made JPY 7,850 in payments with two cards authenticated by 3-D Secure; how we handle these is still being checked
Some of the usage fees we paid to an outside AI service may have been used without authorization; we are investigating
Using our leaked email-sending key, about 76,000 phishing emails impersonating overseas banks and payment and telecom services were sent to overseas recipients from Oct 12 to Nov 9, using six of our domains (jiuflow.com, teai.io, chatweb.ai, enablerdao.com, wearmu.com and takaramarket.com) as the sender. We recreated every email-sending key on Nov 9; in our checks since then, we have found no further phishing sent. Whether any were sent to teai users is still being checked

Possible

Phishing emails pretending to be teai or our other services
Sign-ins to other services where you reuse the same password
Unauthorized use of your balance (credits) through an account whose password was guessed
Misuse of third-party API keys you saved

What we know so far (as of November 9)

No suspicious refunds or payout-account changes since September (the only refunds were two routine ones requested by customers, and the 23 payments the attacker made with cards that appear to have been stolen, which we refunded in full to the card; the payout account is unchanged). No chargebacks as of November 9.
So far we have found no sign that the service's code was altered (some configuration changes are still being checked).
We checked teai API keys created since September 7 against our creation records. Because keys could have been added in ways this check cannot detect, we will disable all older keys on November 21.
How much of the database was actually read or changed is still being checked.
Whether login credentials were added to any customer account, or its email address or Google link changed, is still being checked.
Whether every remote-control mechanism placed on our server has been removed is still being checked.

What to do (details)

1. If you sign in with a password: open teai.io from a link on this page or by typing the address yourself (not from an email link) → "Forgot password" → enter your email → set a new password from the link we send (valid for 30 minutes). A link in an email that arrives right after you made this request yourself is fine to open.
Passwords stored with our old method can no longer be used to sign in until they are reset, so please reset yours. If you sign in with Google or an email link, you do not need to change a password. We signed everyone out of the website on November 9, so please sign in again. If you are not sure which method you use, reset your password as above.

2. If you use a teai API key (including Sente and te): sign in at teai.io and open your API key list (teai.io/keys) → create a new key and set it in Sente, te or any other app you use → delete the old key. On November 21, every key created before 17:10 JST on November 9 will stop working. If you see a key you do not recognize, delete it and let us know.

3. If you saved another company's API key in teai: delete it in that company's dashboard, create a new one, and check that company's usage for anything you do not recognize. (Our November 9 count found no keys saved by customers; we ask as a precaution.)

4. Suspicious emails: teai notices are sent from noreply@teai.io, and notices to customers of our other services come from the address of the service you use. However, because phishing emails were sent using our domains, do not trust the sender address alone. Do not open links in emails; open teai.io yourself to check. We never ask for passwords or card numbers. How to spot the phishing emails: teai.io/notice/phishing-2026-11.

5. If you have paid on any of our services: check your card statements for charges you do not recognize. If you find any, contact your card issuer and us.

What we have done

On November 9:

Blocked the accounts involved, so they can no longer sign in or use keys
Turned off code execution and other features that run commands on the server, and the features that handle server files, in production
Removed the fake login data written into our CEO's account
Replaced the encryption keys and re-encrypted stored data
Removed and preserved the file placed on our server
At 17:10 JST, revoked every database key and issued new ones. A mistake during this work stopped the service for 21 minutes, from 16:49 to 17:10
Deleted and recreated every email-sending key; in our checks since then, we have found no further phishing from our domains
Replaced the payment (Stripe) key across all our services. A mistake during this work left payments unavailable from 19:00 to about 19:31 JST (no payment was completed during that time; if your payment did not go through, please try again)
Checked 956 teai API keys created since September 7 against our creation records, and disabled 4 keys with no creation record (belonging to our CEO's and internal accounts) and the keys whose value had been left in another field (6 keys, 5 of which were still usable; we will also contact the people concerned individually)
Signed everyone out of the website
Made passwords stored with our old method unusable for sign-in until they are reset
Filed a preliminary report with Japan's Personal Information Protection Commission
Reported the incident to Stripe
Reported the phishing to public authorities in Italy and Belgium, to the impersonated companies, and to our email-sending provider

In progress:

Replacing the other keys that may have leaked (such as keys for connected services)
Investigating database and third-party logs
Checking that nothing else placed on our server remains
Counting the affected customers of our services other than teai

On November 21, disable every teai API key created before 17:10 JST on November 9.
Features that run programs on the server will only return fully separated from the service. Until then they stay off.
Add automatic detection of suspicious operations with immediate alerts. We will confirm by November 12 that the alerts reliably arrive, and add the date and result to this page.
Improve how we check the state of our services and keys by November 16, and add the completion date to this page.
Check "what could be read if abused" before every new feature.
Add what we learn from the investigation to this page, with dates.

If any of these plans change, we will explain why and give the new plan on this page.

Contact

Contact form: teai.io/contact
If you cannot use the form: info@enablerdao.com (subject: "teai unauthorized access")
You can ask whether your data is affected or request deletion here. Customers of JiuFlow, MU and our other services can use the same contact points.

Our apology

We failed to protect your information and did not notice for about two months. We are truly sorry for the worry and trouble this causes. We prioritized shipping useful features quickly and did not check how far they could reach. We will fix each cause and report what we learn without hiding it.

Information as of November 9, 2026 (when we update this page, we will note the date and what changed)
Yuki Hamada, Representative Director, Enabler Inc.