花キューピットに不正アクセス、423万8,242件の会員情報が漏えいの可能性

事案の概要データ

図解：この事故の構造

何が起きたのか

花キューピットは2026年10月28日、同社が運営する「インターネット花キューピット」「ビジネス花キューピット」の管理システムが第三者による不正アクセスを受け、会員情報が漏えいしたと公表しました。

不正アクセスが発生したのは10月14日から15日にかけてです。10月19日の調査の過程で会員情報の漏えいを確認し、10月28日に公表しました。

該当する可能性のある会員は4,238,242件。公式ECサイトでメールアドレスを登録した会員が対象です。外部ショッピングモールでの注文者、メールアドレスを登録していない電話注文者、加盟店で購入した方は対象外とされています。

パスワードは「復元できない暗号化」だった

この事案で評価すべき点は、パスワードがハッシュ化されていたことです。

公表では「そのままでは使用できない暗号化されたもの」と説明されています。Q&Aでは、復元・解読ができない不可逆な形式だと補足されています。

ハッシュ化とは、パスワードを特殊な計算で別の文字列に変換して保存する方法です。この計算は元に戻せません。ログインのときは、入力された文字を同じ方法で変換して照合します。つまり、サービス側はパスワードそのものを知らないのです。

だから漏えいしても、攻撃者はパスワードを読めません。同社が「直ちに第三者にアカウントを不正利用される可能性は低い」と判断しているのは、このためです。

対照的な事案が、同じ週の10月26日に報じられています。「AI Lab 225」では、パスワードを暗号化せずに保存していたとされています。この場合、漏えいすればそのまま使えてしまいます。

400万件という規模でありながら、被害の深刻さが抑えられているのは、ハッシュ化という基本的な作り方を守っていたからです。

カード番号を「そのサーバーに置いていなかった」

もうひとつ評価できるのが、クレジットカード情報の扱いです。

公表では、クレジットカード情報は該当のデータベースサーバー上で保持していなかったと説明されています。だから漏れていません。同社は「カードの停止・再発行は必要ない」と明記しています。

これは「データを分ける」という対策です。会員情報のデータベースと、決済に関するデータを別の場所に置いておけば、片方が破られても、もう片方は無事です。

多くのECサイトでは、カード情報を自社で持たず、決済代行会社に預ける方式（トークン化）をとっています。自社のデータベースにはカード番号がなく、代わりに決済代行会社が発行した「引換券」のような文字列だけが入っています。

中小企業のネットショップでも、この方式が使えます。自社でカード番号を持たないことが、最も確実な対策です。「持っていないものは漏れない」からです。

氏名・住所・電話番号も漏れていません。これらも別の場所に保存されていたと考えられます。

それでも利用者がやるべきこと

パスワードがハッシュ化されていても、安心してよいわけではありません。やるべきことが2つあります。

1. 花キューピットのパスワードを変更する。 同社も推奨しています。ID確認・パスワード再設定のページから行えます。

2. 同じIDとパスワードを他のサービスで使っているなら、そちらも変更する。 こちらのほうが重要です。

理由はこうです。ハッシュ化されていても、よくあるパスワード（「password」「123456」「自分の名前＋誕生年」など）は、攻撃者が片っ端から変換して突き合わせることで解けてしまいます。これを「辞書攻撃」と呼びます。

つまり、単純なパスワードを使っていた人ほど危険です。そして、その人が他のサービスでも同じパスワードを使っていれば、そちらが乗っ取られます。

また、メールアドレスが漏えいしているため、花キューピットや金融機関を装うフィッシングメールが届く可能性があります。同社は、メール・SMS・電話でパスワードやカード番号、暗証番号、認証コードを尋ねることは一切ないと明記しています。

中小企業が学べること

400万件の事案ですが、被害を抑えた作り方は、規模に関係なく真似できます。

1. パスワードはハッシュ化して保存する。 自社サイトで「パスワードを忘れた」ときに、元のパスワードがメールで送られてくるなら、それは平文保存です。作り直してください。

2. カード情報は自社で持たない。 決済代行会社に任せます。持たなければ漏れません。

3. データを種類ごとに分けて置く。 会員情報、決済情報、住所、履歴。全部を1つのデータベースに入れておくと、1回の侵入で全部持っていかれます。

4. 「漏れていないもの」を調べて、はっきり書く。 本件の公表は、漏えいした4項目と、漏えいしていない項目を明確に区別しています。だから利用者は「カードは大丈夫だ」と判断できます。曖昧な公表は、不安だけを広げます。

時系列で見る経過

• 2026年10月14日（水）〜15日（木）第三者が管理システムへ不正アクセス
• 2026年10月19日（月）調査の過程で会員情報の漏えいを確認。攻撃経路を直ちにすべて遮断
• 2026年10月ネットワークのアクセス制御と監視体制を強化。新たな不正挙動は確認されていない
• 2026年10月28日（水）4,238,242件が該当する可能性があると公表。登録メールアドレス宛てに順次個別連絡を開始
• （継続）外部の専門機関と連携して原因究明と恒久的な再発防止策を進める

中小企業が学ぶべきポイント

1. パスワードをハッシュ化していたため、400万件が漏えいしても直ちに悪用される可能性は低いと判断できた。
2. クレジットカード情報を同じサーバーに置いていなかったため、漏れなかった。持たないことが最強の対策。
3. データを種類ごとに分けて置けば、1回の侵入で全部持っていかれることを防げる。
4. ハッシュ化されていても、単純なパスワードは解かれる。使い回している他サービスのパスワードも変える。
5. 公表文で「漏えいした項目」と「漏えいしていない項目」を明確に分けると、利用者が判断できる。
6. 侵入は10月14〜15日、漏えい確認が10月19日。侵入そのものには数日気づけていない。

出典・参考

• 当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ - 花キューピット
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope