花キューピットの不正アクセス｜公表と続報のまとめ

何が起きたか

花キューピットが運営する通販サイト「インターネット花キューピット」「ビジネス花キューピット」の管理システムに、2026年10月14日〜15日に第三者の不正アクセスがありました。10月19日に会員の情報の漏えいを確認し、10月28日に公表しました。対象は4,238,242件で、ユーザーID・パスワード（ハッシュ値）・パソコン用と携帯用のメールアドレスです。氏名・住所・電話番号・クレジットカード番号・届け先の情報などは漏えいしていないとしています。退会した会員も対象に含まれます。侵入の経路は公表されていません（花キューピットの2026年10月28日の発表）。

会社の対応

• 攻撃に使われた経路をすべて遮断し、アクセスの制御と監視を強めた
• 個人情報保護委員会と警察に報告。外部の専門機関と原因を調べるとしています
• 10月28日から対象の会員にメールで順次連絡。パスワードの変更と、同じパスワードを使っているほかのサービスの変更をすすめています
• 10月28日の時点で、二次被害は確認されていないとしています

この事例から中小企業が学べること

• 通販サイトの管理システムに入れる人・場所を絞り、多要素認証をかける
• 会員のパスワードが元に戻せない形（ハッシュ化）で保存されているかを、カートや制作の会社に確かめる
• 退会した会員の情報をいつまで残すかを決め、期限を過ぎたものは消す
• 侵入に気づいてから漏えいを確かめるまでの調べ方（ログの保管期間・相談先）を決めておく