【最大423万件】花キューピットに不正アクセス、ID・パスワード・メールアドレスが漏えい｜パスワード変更を

花キューピットは2026年10月28日、運営する通販サイト「インターネット花キューピット」と「ビジネス花キューピット」の会員情報が、不正アクセスで漏えいしたと公表しました。対象は最大4,238,242件で、ログインID、暗号化されたパスワード、メールアドレスが含まれます。

クレジットカード情報などの決済情報は、漏えいの対象外です。会社側は念のためパスワードの変更を勧めており、ほかのサービスで同じIDとパスワードを使っている場合は、そちらも変更するよう呼びかけています。

漏えいしたのはID・パスワード・メールアドレスの4項目
パスワードは「不可逆な暗号化」、それでも変更を推奨
10月14日〜15日に不正アクセス、19日に漏えいを確認
会員がとるべき対応
公表内容から読み取れること（考察）
問い合わせ先
まとめ

漏えいしたのはID・パスワード・メールアドレスの4項目

項目	内容
対象サービス	インターネット花キューピット、ビジネス花キューピット
対象件数	4,238,242件（該当する可能性のある会員）
漏えいした情報	ユーザーID（ログインID）、パスワード（そのままでは使えない形に暗号化されたもの）、PC用メールアドレス、携帯用メールアドレス
漏えいしていない情報	クレジットカード情報などの決済情報（該当のデータベースに保持していない）

対象は、2つのサイトで注文の際に会員登録をした人です。退会済みの人でも、漏えいが確認されていれば個別に案内するとしています。氏名・住所・電話番号は、漏えいした情報として挙げられていません。

パスワードは「不可逆な暗号化」、それでも変更を推奨

花キューピットの説明では、漏えいしたパスワードは、復元や解読ができない形式（ハッシュ化）で保存されていました。そのため、直ちに第三者にアカウントを不正利用される可能性は低いと判断しています。

そのうえで、万全を期すためにパスワードの変更を勧めています。同じログインIDとパスワードをほかのサービスでも使っている場合は、そのサービスのパスワードも変えるよう求めています。

10月14日〜15日に不正アクセス、19日に漏えいを確認

日付	できごと
2026年10月14日（水）〜15日（木）	管理システムに、第三者による不正アクセスが発生
2026年10月19日（月）	調査の過程で、会員情報の漏えいを確認
2026年10月28日（水）	公表。対象の会員へのメール連絡を順次開始

侵入の経路や原因は、外部の専門機関と調べている段階で、まだ明らかにされていません。攻撃に使われた経路はすべて遮断され、ネットワークのアクセス制御と監視も強化されました。同社は、個人情報保護委員会と警察（サイバー犯罪相談窓口）にも報告しています。情報の不正利用などの二次被害は、現時点で確認されていません。

会員がとるべき対応

1. 花キューピットのパスワードを変更する

パスワードは、公式サイトの再設定ページから変更できます。IDを忘れた場合も、同じページで確認できます。

インターネット花キューピット：https://www.i879.com/customer/remind
ビジネス花キューピット：https://www.i879.com/biz/customer/remind

2. 同じID・パスワードを使うほかのサービスも変更する

同じログインIDとパスワードの組み合わせをほかのサービスでも使っている場合は、そちらのパスワードも変更してください。

3. 花キューピットや金融機関を装ったメールに注意する

漏えいしたメールアドレスに、花キューピットや金融機関などを装った不審なメールが届くおそれがあります。心当たりのない連絡は、本文のURLを開かず、添付ファイルも開かず、個人情報を入力しないでください。なお、同社がメール・SMS・電話でパスワードやクレジットカード番号、認証コードなどを尋ねることは一切ないとしています。

なお、クレジットカード情報は漏えいしていないため、本件を理由にカードの停止や再発行をする必要はないとしています。金銭的な補填や返金は予定されていません。

公表内容から読み取れること（考察）

ここからは、公式発表をもとにした筆者の考察です。

ハッシュ化されたパスワードは元に戻せない形式ですが、短いパスワードや、よく使われる単語の組み合わせは、総当たりで推測される余地が残ります。花キューピットが「可能性は低い」としながらも変更を勧めているのは、こうした余地を考えてのことだと考えます。

注意したいのは、漏えいしたのがログインIDとメールアドレスの組み合わせだという点です。メールアドレスをログインIDにしているサービスは多く、同じパスワードを使い回していると、ほかのサービスに不正ログインされるおそれがあります。花キューピットだけでなく、使い回しているサービスのパスワードを先に変えるほうが、被害を防ぐうえで効果が大きいでしょう。