花キューピットに不正アクセス｜会員のIDとメールアドレス約424万件

花キューピットは2026年10月28日、通販サイト「インターネット花キューピット」「ビジネス花キューピット」の管理システムが第三者の不正アクセスを受け、会員の情報が漏えいしたと公表しました。 対象は4,238,242件（該当する可能性のある会員の数）で、ユーザーID・ハッシュ化したパスワード・メールアドレスです（花キューピットの2026年10月28日の発表）。 公式の通販サイトでメールアドレスを登録した会員（退会した人を含む）に関係します。

公表された内容

• いつ起きたか：10月14日〜15日に管理システムへの不正アクセスがあり、10月19日の調査で会員の情報の漏えいを確かめたとしています
• 漏えいした情報：ユーザーID（ログインID）、パスワード（そのままでは使えないハッシュ値）、パソコン用と携帯用のメールアドレス。4,238,242件（花キューピットの2026年10月28日の発表）
• 含まれない情報：氏名・性別・生年月日・住所・電話番号・クレジットカード番号・社名・部署名・届け先の情報は漏えいしていないとしています。カードの情報はそもそも持っていないとしています
• 対象外の客：外部のショッピングモールや電話で注文した客、加盟店で買った客は対象ではないとしています
• 原因・侵入の経路：公表されていません
• 二次被害：10月28日の時点で確認されていないとしています

会社の対応

• 攻撃に使われた経路をすべて遮断し、アクセスの制御と監視を強めたとしています
• 個人情報保護委員会と警察に報告し、外部の専門機関と原因を調べています
• 10月28日から、対象の会員に登録のメールアドレスあてで順次連絡しています
• パスワードの変更と、同じIDとパスワードをほかのサービスで使っている場合はその変更もすすめています

中小企業が今日からできること

• 管理システムの入口を絞る：通販サイトの管理画面に入れる人と接続元を限り、多要素認証をかける。使っていない管理者のアカウントを消す
• パスワードの保存のしかたを確かめる：自社の会員サイトが、パスワードを元に戻せない形（ハッシュ化）で保存しているかを、カートや制作の会社に確かめる
• 退会した会員の情報を残しすぎない：今回は退会した会員も対象でした。もう取引のない会員のメールアドレスなどを、いつ消すかを決める
• ログを残す期間を決める：侵入から漏えいの確認までに数日かかっています。管理画面とサーバーの記録を、調べられるだけの期間残しているかを確かめる
• かたりのメールへの注意を出す準備をする：メールアドレスが漏れると、会社をかたる偽のメールが届くおそれがある。注意の文を用意しておく