花キューピットに不正アクセス、会員のIDやメールアドレス約424万件が漏えい

項目	内容
発生・公表日	不正アクセス: 2026年10月14日〜15日 / 漏えい確認: 10月19日 / 公表: 10月28日
対象組織・業界	花キューピット株式会社（東京都品川区） / 生花の通信配達サービス
対象サービス	「インターネット花キューピット」「ビジネス花キューピット」
影響件数	4,238,242件（該当する可能性のある会員）
漏えい項目	ユーザーID / 暗号化されたパスワード / PC用・携帯用メールアドレス
攻撃手法	第三者による不正アクセス（原因は調査中）
情報源	花キューピット公式発表（2026年10月28日） / INTERNET Watch（2026年10月28日）

概要

花キューピット株式会社は2026年10月28日、運営するECサイトで不正アクセスがあり、会員情報の一部が漏えいしたと公表しました。

対象は「インターネット花キューピット」と「ビジネス花キューピット」の会員です。件数は4,238,242件で、退会済みの会員も含みます。

漏えいした項目は、ユーザーID・パスワード・PC用と携帯用のメールアドレスです。パスワードは、復元や解読ができない形式で保存していたと同社は説明しています。

氏名・住所・電話番号・お届け先などは、漏えいしていないとしています。同社はクレジットカード情報を保持しておらず、決済情報も対象外です。

外部のショッピングモールで注文した人は対象外です。電話注文などでメールアドレスを登録していない人も対象外です。加盟店で購入した人も含まれません。

同社は、二次被害は確認していないとしています。原因は外部の専門機関と調べています。

本件のように、パスワードを復元できない形で保存しておけば、漏えいしてもそのままでは使えません。会員情報を預かる事業者は、パスワードを平文や復号できる形で持たないことが基本です。

保存には、1件ずつ別の値（ソルト）を加え、計算に時間がかかるハッシュ関数を使います。こうしておけば、IDと一緒に盗まれても、パスワードを割り出すのに長い時間がかかります。そのあいだに会員へ変更を呼びかけられます。なお、同社のハッシュの方式は公表されていません。

本件で不正アクセスを受けたのは、事業者側の管理システムでした。管理システム上の操作は、端末の監視だけでは、誰が何をしたかまで分かりません。管理システム側の記録を見る必要があります。

そこで、管理システムへのログインと、会員情報を読み出した件数を記録しておきます。普段と違う接続元や、数百万件単位の読み出しがあれば、担当者が調べ始めると決めておきます。この記録は、漏えいの範囲を絞り込む手がかりにもなります。

ただ、その操作が予定された作業なのか、不正なのかは記録だけでは決めにくいことがあります。AI SOCは認証やサーバーのログを集めて異常を検知し、関連するログの突き合わせまでをAIが一次調査として行います。最終判断は人が行いますが、そこまでの時間を縮める道具の一つです。（→ ヤグラ AI SOC）

判明次第、本記事に追記します。

日時	内容
2026-10-29	第一報を公開