花キューピット株式会社（インターネット花キューピット）のサイバー攻撃被害｜管理システムへの不正アクセスで「インターネット花キューピット」「ビジネス花キューピット」の会員情報が漏えい、ログインID・ハッシュ値のパスワード・メールアドレスの対象は4,238,242件

AI要約・精査

要約

精査

AI要約

AI精査

ChatGPTによるAI精査

GeminiによるAI精査

速報サイバー攻撃の被害事例最終更新 2026年11月2日

花キューピット株式会社（インターネット花キューピット）管理システムへの不正アクセスで「インターネット花キューピット」「ビジネス花キューピット」の会員情報が漏えい、ログインID・ハッシュ値のパスワード・メールアドレスの対象は4,238,242件

不正アクセス

状況対応中（攻撃経路は遮断済み、対象の会員へ順次メールで連絡、原因を調査中）

被害発生日2026年10月14日

企業名花キューピット株式会社

この事例の要点

花の宅配サービスを運営する花キューピット株式会社は、同社の管理システムが第三者による不正アクセスを受け、「インターネット花キューピット」と「ビジネス花キューピット」の会員情報の一部が漏えいしたと発表しました。漏えいした情報はユーザーID（ログインID）、ハッシュ値のパスワード、PC用と携帯用のメールアドレスで、対象件数は4,238,242件（該当する可能性のあるお客様）です。お名前、生年月日、住所、電話番号、クレジットカード番号、お届け先情報などは漏えいしておらず、同社はクレジットカード情報を保持していないとしています。パスワードは復元・解読ができない形式で保存されていたものの、同社は念のための変更と、同じIDとパスワードを使っている他社サービスでの変更も勧めています。

分かっていること・まだ公表されていないこと

分かっていること

対象サービス：インターネット花キューピット、ビジネス花キューピット
漏えいした情報：ユーザーID（ログインID）、パスワード（そのままでは使用できないハッシュ値のもの）、PC用メールアドレス、携帯用メールアドレス
対象件数：4,238,242件（該当する可能性のあるお客様）
お名前、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報等は漏えいしていない
対象は、同社公式ECサイトからメールアドレスを登録した会員のみ。外部ショッピングモールサイトでの注文者、電話注文などでメールアドレスを登録していない人、花キューピット加盟店での購入者は該当しない
退会済みの会員でも、漏えいが確認された人には個別に案内している。退会済みのアカウントはログインできない状態になっている
漏えいしたパスワードは復元・解読ができない形式（不可逆な変換）で保存されており、同社は直ちに第三者に不正利用される可能性は低いと判断している。そのうえで、万全を期すためのパスワード変更と、同じログインIDとパスワードを使っている他社サービスでの変更を勧めている
同社はクレジットカード情報等を保持しておらず、決済情報の漏えいは発生していない
現時点で、本件に起因する情報の二次利用や不正利用等の被害は確認されていない
不正アクセスに利用された攻撃経路をすべて遮断し、ネットワークのアクセス制御と監視体制を強化。公表時点で新たな不正挙動は確認されていない
個人情報保護委員会と警察（サイバー犯罪相談窓口）へ報告。外部の専門機関と連携して原因究明を進めている
本件に伴う金銭的な補填や返金等は予定していない
同社や金融機関等を装った不審なメール（フィッシングメール等）への注意を呼びかけ、メールや電話で個人情報やパスワード等を尋ねることは一切ないと案内している

まだ公表されていないこと

不正アクセスの手口と、管理システムに侵入された経路
不正アクセスに気づいたきっかけ
4,238,242件のうち、退会済みの会員の件数
恒久的な再発防止策の具体的な中身

事例の概要

企業名	花キューピット株式会社
被害発生日	2026年10月14日
被害の内容	2026年10月14日から15日にかけて、花キューピット株式会社の管理システムに対し、第三者による不正アクセスが発生。10月19日、調査の過程で不正アクセスによる会員情報の漏えいを確認した。対象は「インターネット花キューピット」と「ビジネス花キューピット」で、ユーザーID（ログインID）、パスワード（そのままでは使用できないハッシュ値のもの）、PC用メールアドレス、携帯用メールアドレスが漏えいした。対象件数は4,238,242件（該当する可能性のあるお客様）
出典	花キューピット株式会社「当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」（2026年10月28日）

対策に向けたガーディアンの見解

1会員のパスワードは、元に戻せない形で保存しておく

今回はログインIDとパスワードが漏えいしましたが、パスワードは復元・解読ができない形式で保存されていたため、同社は直ちに不正利用される可能性は低いと判断しています。会員制のECサイトを運営する企業は、パスワードがどのような形式でデータベースに保存されているのかを、制作会社やシステムの担当者に一度確かめておくと安心です。そのままの文字列や元に戻せる形で保存されている場合は、改修の優先度を上げる必要があります。

2ID・パスワードの使い回しに備え、ログインの異常に気づける仕組みを用意する

同社は、同じログインIDとパスワードを他社サービスで使っている人に変更を勧めました。漏えいしたメールアドレスとIDの組み合わせは、ほかのサイトへの不正ログインの試行に使われることがあります。自社のサイトでも、短時間に失敗が続くログインを制限する、普段と異なる環境からのログインを本人に知らせる、二段階認証を選べるようにする、といった備えを進めておくと、他社で起きた漏えいの影響を受けにくくなるでしょう。

3退会した会員のデータを、いつまで持つのか決めておく

今回の対象には退会済みの会員も含まれ、同社は漏えいが確認された人に個別の案内を進めています。退会後のアカウントはログインできない状態でも、データが残っていれば漏えいの対象になります。退会から何年でデータを消すのか、法令で保存が必要な取引記録と会員情報をどう分けるのかをルールにしておけば、万一の際に影響を受ける人数を小さく抑えられるはずです。

詳しい解説と対策（WEB戦略ラボ）

花キューピットの不正アクセス｜ハッシュ値のパスワード漏えいと会員サイトの3つの対策

解説を読む

企業がするべきセキュリティ対策については

サプライチェーン攻撃の起点は中小企業にある

ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。

対策の解説を読む

お勤め先のホームページは大丈夫ですか？守りの基本を無料で確かめられます

セキュリティ対策を相談する

大企業の情報システム・調達のご担当者取引先のセキュリティを診断で確かめる中小企業の経営者・ご担当者自社のホームページの守りを無料で確かめる

SOLUTION

GUARDIANの
サイバーセキュリティ
対策サービス

SCAN DOG ライト版

まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。

SCSC Dog

診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。

SCAN DOG 正規版

WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。

最新の動き