花キューピットの不正アクセス — 管理システムへの不正アクセスで会員のログイン情報が漏えいした経緯と、会員登録つきサイトを持つ企業の3つの対策

花キューピットの不正アクセスとは

花キューピットの不正アクセスは、花キューピット株式会社の管理システムが第三者の不正アクセスを受け、公式ECサイトの会員のユーザーID、ハッシュ値のパスワード、メールアドレスが漏えいした事案です。不正アクセスは2026年10月14日から15日にかけて発生し、同社は10月19日に調査の過程で会員情報の漏えいを確認しました。10月28日に公表し、同じ日から対象の会員へ順次メールで連絡しています。

対象はメールアドレスを登録した公式ECサイトの会員で、お名前、住所、電話番号、クレジットカード番号、お届け先情報などは漏えいしていません。本件に起因する情報の二次利用や不正利用等の被害は、公表の時点で確認されていないとのことです。最新の動きは、当社の事例速報「花キューピット株式会社（インターネット花キューピット）のサイバー攻撃被害」で更新しています。

不正アクセスの発生から訂正までの経緯

漏えいの確認から9日後に公表と個別の連絡を始め、その2日後にお知らせの言葉を改めました。侵入の経路や手口、不正アクセスに気づいたきっかけは示されていません。

漏えいした情報と、漏えいしていない情報

漏えいはログインに関わる項目とメールアドレスで、氏名や住所、決済の情報は含まれませんでした。メールアドレスを登録していない電話注文の人、外部のモールで注文した人、加盟店で購入した人は該当しません。

同社はクレジットカード情報等を保持しておらず、決済情報の漏えいは発生していないと説明しています。本件を理由にカードの停止や再発行を行う必要はないとの案内も出されました。

ハッシュ値のパスワードが漏えいしたら何が起きるのか

ハッシュ値のパスワードは、漏えいしてもそのままではログインに使えません。それでも推測を試みる手口はあり、IDとメールアドレスが一緒に漏れれば、不審なメールや他社サービスへの不正ログインに備える必要が出てきます。公表された内容から、会員制サイトを持つ企業が押さえたい点を4つに整理します。

パスワードのハッシュ化と暗号化の違いは？

ハッシュ化は元の文字列に戻せない一方向の変換で、暗号化は鍵があれば元に戻せる変換です。ログインの確認では、入力された文字列を同じ方法で変換して保存値と比べれば足りるため、パスワードの保存にはハッシュ化が使われます。花キューピットは10月30日に、お知らせの「暗号化されたもの」を「ハッシュ値のもの」へ、「不可逆な暗号化」を「不可逆な変換」へ訂正しました。元に戻せるかどうかで会員の受け止めは変わるため、技術の言葉を正確に選ぶことは、事故の説明の中身そのものといえます。

元に戻せない形式でも、パスワードの変更が勧められるのはなぜか

同社は、直ちに第三者にアカウントを不正利用される可能性は低いと判断したうえで、万全を期すためにパスワードの変更を勧めました。一般に、ハッシュ値そのものは元に戻せなくても、攻撃者は候補のパスワードを同じ方法で変換し、ハッシュ値と突き合わせて推測を試みます。短いパスワードやよく使われる文字列ほど当てられやすく、計算に時間がかかる方式ほど推測の手間は増えていきます。同社が使っているハッシュの方式やソルトの有無は公表されていません。

ログインIDとメールアドレスがそろうと、使い回しが狙われる

同社のよくある質問によると、ユーザーIDは登録メールアドレスが初期値で、同じアドレスの登録が既にある場合や自分で変更した場合は6文字以上の英数字になります。同社は、他社サービスでも同じログインIDとパスワードを使っている人に、そちらの変更も勧めました。IPAも、パスワードを複数のサービスで使い回さないよう呼びかけており、推測された組み合わせが別のサービスで試される場面に備えるためにも欠かせない習慣です。漏えいしたメールアドレスを利用し、同社や金融機関を装う不審なメールが届く可能性についても、同社は注意を求めました。

退会済みの会員も対象に含まれた

退会済みの会員でも、漏えいが確認された人には個別に案内が進められています。退会済みのアカウントはログインできない状態になっていても、データが残っていれば漏えいの対象になり得るわけです。個人情報保護法は、使う必要のなくなった個人データを遅滞なく消去する努力を事業者に求めており、退会から何年で消すかの決まりは、事故の日の対象の人数にも関わってきます。

会員制のネットショップや予約サイトが狙われる理由

会員制のサイトが狙われるのは、メールアドレスとログイン情報が1か所にまとまり、それを足がかりに他社のサービスへの不正ログインまで試せるからです。個人情報保護委員会も、ECサイトや会員用ウェブサイトへの不正アクセスによる情報漏えいが多く報告されていると説明しています。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、ほかのサービスから漏れたIDとパスワードを機械的に試すリスト型攻撃を、パスワードの使い回しが招く手口として整理しました。外部のECサービスを使う店舗の備えは、フューチャーショップの事例でも取り上げています。

会員のパスワード漏えいを防ぐには？会員登録つきサイトを持つ企業の3つの対策

会員登録つきのサイトを持つ企業が優先したいのは、①会員パスワードの保存方式を確かめ、ソルト付きの専用ハッシュ方式に切り替える、②管理システムの接続元と担当者を絞り、会員データの出力を記録して見張る、③全会員への個別連絡とパスワード再設定の案内を事故の前に用意する、の3つです。①は漏れた値が悪用されにくい形を保つため、②は会員データへの入口を狭めるため、③は公表の日に会員を迷わせないための備えにあたります。

対策1：会員パスワードの保存方式を確かめ、ソルト付きの専用ハッシュ方式に切り替える

最初に確かめたいのは会員パスワードの保存方式で、目指す形はソルトを付けた専用のハッシュ方式です。花キューピットは、復元や解読のできない形式で保存していることを踏まえ、直ちに不正利用される可能性は低いと判断しました。保存の形は、事故の日に会員へ説明できる内容を左右するものです。

米国NISTの認証ガイドライン SP 800-63B は、パスワードにソルトを付け、適切なハッシュ方式で保存するよう定めています。Webの安全性に取り組むOWASPの指針は Argon2id を第一に挙げ、次に scrypt、既存の仕組み向けに bcrypt を示しました。いまの保存の形を制作会社に尋ね、次の表に当てはめてください。

判断の目安は、「保存方式の名前とソルトの有無を、制作会社から文書で受け取っている」状態です。落とし穴は、長くログインしていない会員の分が古い方式のまま残ることで、OWASPはそうした会員に再設定を求める方法も挙げています。「パスワードを忘れた方へ」から元のパスワードがメールで届くサイトは、元に戻せる形で保存している合図といえるでしょう。確認はサイトの担当者が半日で終えられ、方式の切り替えは制作会社と相談して数日から2週間ほどを見込みます。

対策2：管理システムは接続元と担当者を絞り、会員データの出力を記録して見張る

管理システムは、接続できる端末と担当者を絞り、会員データの一括出力が記録と通知に残る形にしましょう。花キューピットの事例で不正アクセスの対象として公表されたのは、同社の管理システムでした。同社は攻撃経路の遮断とあわせて、ネットワークのアクセス制御と監視体制を強化しています。

手口は明らかになっていないものの、IPAの「ECサイト構築・運用セキュリティガイドライン」は、管理画面のIDとパスワードが漏れると顧客情報が大量に漏えいするおそれがあるとして、接続端末の制限を必須の要件に挙げました。次の順で、会員データに届く入口を固めてください。

1. 管理画面、管理用ソフト、データベースの操作画面など、会員情報に届く入口を書き出す
2. 接続できる端末をIPアドレスで制限し、制作会社や保守会社の経路も同じ決まりに入れる
3. 管理者のログインに二要素認証を入れ、IDを担当者ごとに分けて、退職や契約終了の日に止める
4. 会員データを一括で出力できる権限を絞り、出力のたびに責任者へ通知が届くようにする
5. WebサーバとWebアプリケーションのログを別の保管先に1年分残し、IPAの iLogScanner などで月に1回確かめる

判断の目安は、「登録した端末の外から管理システムに入れず、誰がいつ会員データを出力したかを後から追える」ことです。陥りやすいのは、検証用のサイトや古い管理画面が、本番と同じ会員データを抱えたまま残っている状態でしょう。ログが短い期間で消える設定だと、事故の後に確かめたい日の記録が手元になく、原因の調査にも響きます。設定の変更は制作会社に依頼すれば1〜2日ほどで、ログの確認はサイトの担当者が月に30分ほど充てれば続けられます。

対策3：全会員への個別連絡とパスワード再設定の案内を、事故の前に用意しておく

会員制サイトの事故で備えておきたいのは、全会員への個別連絡の進め方と、パスワード再設定の案内です。花キューピットは対象の会員へ順次メールで連絡し、人数が多いため完了までに一定の時間がかかると説明しました。個人情報保護委員会のガイドラインは、本人への通知を状況に応じて速やかに行うよう求め、連絡先が古いなど通知が難しい場合は、事案の公表や問い合わせ窓口の設置といった代替措置を認めています。次の6項目を手順書に書いておけば、公表の日に動きやすくなります。

判断の目安は、「公表の当日に、連絡メール、お知らせ、よくある質問、窓口の4つを同時に出せる」状態です。落とし穴は、連絡メールの中のリンクから再設定へ誘導し、便乗する偽のメールと見分けがつかなくなることにあります。保存方式が弱いサイトでは、NISTが漏えいの証拠がある場合の変更を必須としている点も踏まえ、次回ログイン時の変更を求める判断が要るでしょう。ひな形は個人情報の責任者とサイトの担当者で半日あれば作れ、配信できる通数の上限は年に1回確かめます。

会員サイトの入口ごとに確かめる、ガーディアンの支援

会員制サイトの事故で備えが要る入口は、ログインの画面だけにとどまらず、お知らせを載せる公式サイト、会社の名前で届くメール、外から見える管理画面にも広がります。入口ごとの確認点と当社のサービスは次のとおりです。

事故の日の第一報と訂正は、SCSC Dog の公式サイト運用で支える

会員が連絡メールの真偽を確かめに行く先は、会社の公式サイトです。第一報の後に続報や訂正を重ねる場面でも、SCSC Dog なら公式サイトの更新を当社が代行し、WAFと24時間365日の有人監視、障害時の復旧まで一体で受け持ちます。基盤の直近365日の稼働率は99.99994%（当社集計）です。SPF・DKIM・DMARC の標準設定は、再設定を促す偽のメールへの備えになるでしょう。

ログインの画面は SCAN DOG 正規版で見続け、管理画面の露出は SCAN DOG ライト版でつかむ

会員登録やログイン、再設定の画面は、SCAN DOG 正規版で毎日から1年ごとまでの頻度を選んで診断を続けられ、指摘への対応の状況もまとめて残せます。管理画面やログインIDの露出、古いCMSの有無は、SCAN DOG ライト版にURLの一覧をお預かりすれば、約10営業日でレポートをお届けします。対策2の入口の一覧に結果を書き足すと、制作会社へ依頼する順番も決まるはずです。

SCS評価制度で問われる、管理者IDの管理とネットワークの監視

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業の備えの水準を★の段階で示す、経済産業省などの任意の制度です。★3・★4の申請受付は2026年度末に始まる予定となっています。取引を規制するものではありませんが、ネットショップや予約サイトを運営する企業でも、取引先から管理の体制を尋ねられる場面は出てくるとみられます。

この事例と関わりが深いのは、★3の要求事項「4-1-2 管理者IDの管理手続」と「5-1-1 ネットワーク接続・データの監視」です。前者は管理者権限を持つ人を限定し、不要になったIDを速やかに削除又は無効化することなどを、後者は不正アクセスをリアルタイムに検知・遮断する仕組みの導入や、ログとアラートの分析を求めています（IPA「★3・★4 要求事項・評価基準」）。対策2で管理者のIDを担当者ごとに分け、ログを確かめる作業は、この2つへの備えにもなります。制度の要求事項の読み方はSCS評価制度への対応を参考にしてください。

まとめ

花キューピットの事例では、管理システムへの不正アクセスにより、公式ECサイトの会員のユーザーID、ハッシュ値のパスワード、メールアドレスが漏えいし、対象は4,238,242件（該当する可能性のあるお客様）と公表されました。同社は順次メールで連絡を進め、パスワードの説明を10月30日に訂正しています。侵入の経路と手口は明らかになっていません。

会員登録つきのサイトを持つ企業が、今日から進めたいのは次の3つです。

• 制作会社にパスワードの保存方式とソルトの有無を尋ね、専用のハッシュ方式への切り替えを決める
• 管理システムの接続元と担当者を絞り、会員データの出力の通知とログの保管を整える
• 全会員への連絡、届かない会員、退会済みの会員、再設定の案内、窓口の段取りを手順書にまとめる

会員が確かめに来る公式サイトの現状は、77's Check!! を使えば無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応