花キューピットへの不正アクセス（会員情報最大423万件漏えい）
公表日
花キューピットの管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、ECサイトの会員情報最大約423万件のIDや暗号化されたパスワードなどが漏えいしました。
対象者は？
「インターネット花キューピット」および「ビジネス花キューピット」にメールアドレスを登録した会員（最大4,238,242件、退会者を含む）。氏名、住所、電話番号、クレジットカード番号等は含まれておらず、電話注文や外部モール等での利用者は対象外です。
該当する可能性のある会員に対して、登録されているメールアドレス宛てに順次個別の案内メールが送信されています。
いますぐできること
- 花キューピットで利用していたパスワードを変更する。
- 同じログインIDやパスワードを他社サービスでも使い回している場合は、それらのサービスのパスワードも変更する。
- 花キューピットや金融機関をかたる不審なメールやフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に注意し、不審なリンクを安易に開かない。
何が起きたのか
2026年10月14日から15日にかけて、花キューピットの管理システムに対して外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われました。その後の社内調査により、10月19日に会員情報の漏えいが確認され、10月28日に公表されました。漏えいした情報にはユーザーID、暗号化されたパスワード、メールアドレスが含まれますが、氏名や住所、クレジットカード情報などは含まれていません。
なぜ起きたのか・なぜ広がったのか
管理システムに対して外部の第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われたためです。どのような経路や手法で侵入されたのかについてはまだ発表されておらず、外部専門機関と連携して調査が進められています。
いまの状況2026-10-28 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。に利用された攻撃経路はすでにすべて遮断され、ネットワークのアクセス制限や監視体制が強化されています。警察や個人情報保護委員会に報告済みで、原因究明が進められています。公表時点で不正利用などの二次被害は確認されておらず、金銭的な補償等は予定されていません。
企業として考えたいこと
自社サービスを退会した利用者の個人情報やパスワード情報を、削除せずにデータベースに残したままにしていませんか？
技術的な要約
花キューピット株式会社は2026年10月28日、同社が運営するECサイト「インターネット花キューピット」および「ビジネス花キューピット」の管理システムが不正アクセスを受け、会員情報が外部に漏えいしたと発表した。不正アクセスは2026年10月14日から15日にかけて発生し、10月19日の調査過程で会員情報の漏えいが確認された。漏えい対象は公式ECサイトに登録された会員情報最大4,238,242件で、ユーザーID、暗号化（ハッシュ化）されたパスワード、PCおよび携帯メールアドレスが含まれる。氏名、電話番号、住所、クレジットカード等の決済情報は含まれておらず、公表時点で二次被害は確認されていない。同社は攻撃経路を遮断した上で個人情報保護委員会や警察へ報告し、外部専門機関と連携して詳細な原因究明と再発防止策を進めている。
攻撃の分類
- 侵入口
- 不明公式発表では「当社管理システムに対し、第三者による不正アクセスが発生」と記載されており、具体的な侵入経路や悪用された手法は明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 4,238,242確定 4,238,242件会員IDハッシュ化PWメール漏えい対象は公式ECサイトからメールアドレスを登録した会員情報4,238,242件（退会者を含む）。対象項目はユーザーID（ログインID）、暗号化（復元・解読不能な不可逆暗号化/ハッシュ化）されたパスワード、PC用メールアドレス、携帯用メールアドレス。氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、届け先情報は含まれていない。
- 波及先
- —
- 金銭影響
- 決済関連情報が含まれておらずパスワードも暗号化されていることから、本件に伴う金銭的な補填や返金等は予定していない。
- サプライチェーン
- —
時系列
- 2026-10-14
- 2026-10-15
- 2026-10-19
- 2026-10-28
- 2026-10-28
- 2026-10-28花キューピットが公式サイトで「当社運営サイトへの不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」を公表。6
- 2026-10-28
- 2026-10-28
技術解説
不正アクセスの発生経緯と流出情報の対象範囲 事実
花キューピット株式会社は2026年10月28日、同社が運営するECサイト「インターネット花キューピット」および法人向け「ビジネス花キューピット」の管理システムが不正アクセスを受けたと発表した。公表内容によると、不正アクセスは2026年10月14日から15日にかけて発生し、10月19日の調査過程で会員情報の漏えいが確認された。漏えい対象は公式ECサイトにメールアドレスを登録した会員の最大4,238,242件であり、退会済みの会員も含まれる。電話注文や外部ショッピングモール、加盟店経由の利用者は含まれていない。流出した情報項目は、ユーザーID（ログインID）、復元・解読不能な形式で暗号化（ハッシュ化）されたパスワード、PC用メールアドレス、携帯用メールアドレスである。一方で、氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報は含まれていない。同社はクレジットカード情報等の決済情報をデータベース上で保持しておらず、公表時点で本件に起因する情報の二次利用や不正利用等の被害は確認されていないとしている。
決済情報の非保持化とパスワードハッシュ化による被害極小化 解釈
本事案において漏えいしたデータがユーザーID、暗号化パスワード、メールアドレスに局限されていた点は、決済や配送に関わる機微情報の漏えいを免れたという意味で重要な特徴である。同社がクレジットカード番号などの決済情報を自社環境で保持しない構成（決済情報の非保持化）を徹底していたことにより、直接的な金銭詐取などのリスクは排除されている。また、保存されていたパスワードに不可逆な暗号化（ハッシュ化）が施されていたことも、平文パスワードの流出に比べて即座の不正ログインを防ぐ防壁として機能している。ただし、ハッシュ化されたパスワードであっても、採用されているアルゴリズムの強度やソルト・ストレッチングの適用有無によっては、オフラインでの辞書攻撃や総当たり攻撃で解読される懸念が残る。さらに、ログインIDとメールアドレスの組み合わせが流出したことにより、他社サービスへのパスワード使い回しを狙ったリスト型攻撃や、同社をかたるフィッシングメールなどの標的型攻撃に利用される二次リスクへの警戒が求められる。
退会者データの保持方針と攻撃経路に関する検討課題 解釈
本件では、サービスを退会したユーザーの会員情報も漏えい対象に含まれていたことが明らかにされている。ECサービス等のWebシステムでは、退会処理後も過去の注文履歴管理や会計・法的な要件から一定期間データを保持することがあるが、認証情報や連絡先などの個人情報をいつまで、どのような形で保持し続けるかというデータライフサイクル管理の難しさが浮き彫りとなった。利用目的が終了した退会者の認証情報やメールアドレスについては、速やかな物理削除やマスキング、あるいは通常運用から隔離された別環境への退避を行うことで、侵入を受けた際の漏えい規模を抑制できた可能性がある。また、攻撃経路については管理システムへの不正アクセスと公表されているものの、具体的な侵入経路（公開管理画面の脆弱性、認証情報の窃取・突破、境界防御機器の脆弱性など）は現時点で明らかにされていない。遮断対応と監視強化は行われたが、侵入原因の特定と恒久対策の詳細が今後の重要事項となる。
対応
- 封じ込め
- 不正アクセスに利用された攻撃経路を直ちにすべて遮断し、ネットワークのアクセス制御および監視体制の強化を実施した。
- 公表の仕方
- 2026年10月28日に公式ウェブサイト上で公表し、対象会員（退会者含む）へ登録メールアドレス宛てに順次個別連絡を開始した。また、パスワード変更の推奨や不審メールへの注意喚起を行っている。
- 当局対応
- 個人情報保護委員会
- 警察（サイバー犯罪相談窓口）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クレジットカード情報等の決済情報は自社データベースに保持しない | トークン決済や外部決済代行サービスの画面遷移型決済を利用し、自社のWebサーバーおよびデータベースサーバーにカード番号を保存・処理・通過させないアーキテクチャを確立する。 |
| パスワード保存には最新の安全な低速ハッシュアルゴリズムを採用する | パスワードハッシュ化にはArgon2id、bcrypt、PBKDF2などの耐攻撃性の高いアルゴリズムを選定し、ユーザーごとに個別のソルト（Salt）を付加し十分なストレッチング回数を設定して保存する。 |
| 退会済みユーザーの個人情報や認証情報を適切に廃棄・匿名化する | 退会処理が行われたアカウントについては、法令遵守上必要な情報を除き、認証情報（ハッシュ化PW含む）やメールアドレスを定期的なバッチ処理で物理削除または不可逆なマスキング処理を実施する。 |
| 管理システムへのアクセス制御とログ監視を厳格化する | 管理画面やバックオフィスAPIへのアクセスは社内VPNや固定IP制限、多要素認証（MFA）を必須化し、通常と異なる送信元や時間帯からのアクセス、大量データ取得リクエストを即座に検知するアラートを設定する。 |
自組織などでの確認項目
- 自社のECサイトやサービスにおいて、退会済みユーザーの個人情報や認証情報がデータベース内に無期限で残り続けていないか。
- 自社の管理システムやバックオフィス向けAPIエンドポイントに対して、IPアドレス制限や多要素認証（MFA）などのアクセス制御が正しく適用されているか。
- データベースに保存されているユーザーパスワードの暗号化方式（ハッシュ関数・ソルト・ストレッチング）は最新のセキュリティ基準を満たしているか。
未解明点
- 管理システムへの侵入を許した具体的な攻撃経路や手口（脆弱性の悪用、管理者アカウントの認証情報漏えい、設定不備など）は具体的に何であったか。
出典
- 1INTERNET Watch2026-10-28報道本文確認済
- 2読売新聞2026-10-29報道本文確認済
- 3NHKニュース2026-10-28報道本文確認済
- 4読売新聞オンライン2026-10-28報道本文確認済
- 5ネットショップ担当者フォーラム2026-10-29T07:30:00+09:00報道本文確認済
- 6花キューピット株式会社2026-10-28公式本文確認済
- 7新潟日報2026-10-28報道本文確認済