花キューピット会員情報漏えい423万8242件の対象と含まれない情報を分ける

資料で確認できること

10月14日から15日に不正アクセス、19日に漏えいを確認

公式発表では、2026年10月14日から15日に同社管理システムへの第三者による不正アクセスが発生し、19日に調査の過程で会員情報の漏えいを確認したとしています。28日に公表し、対象会員へのメール連絡を順次始めました。

不正アクセスの発生日、漏えい確認日、公表日、個別連絡の開始日は異なります。発表時点で外部専門機関と詳細な原因究明を続けているため、経緯がすべて確定した最終報告とは扱いません。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ

当事者の説明

対象は423万8242件、ログインID・ハッシュ化パスワード・メールアドレス

対象サービスは『インターネット花キューピット』『ビジネス花キューピット』です。会社は対象件数を423万8242件とし、括弧内で『該当する可能性のあるお客様』と示しています。対象項目はユーザーID、パスワード、PC用メールアドレス、携帯用メールアドレスです。

パスワードはそのまま読める文字列ではなく、復元・解読できない形式で保存していたとの説明です。ただし、会社は万全を期すための変更と、同じID・パスワードを使う他サービスでの変更を勧めています。423万8242件を二次被害の人数や不正利用の件数へ置き換えることはできません。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ

当事者の説明

氏名・住所・電話・決済情報は対象外、注文経路にも非該当がある

会社は、氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報などは漏えいしていないと説明しています。該当データベース上でクレジットカード情報を保持していないため、今回の対象に含まれないとしています。

対象は公式ECサイトでメールアドレスを登録した会員です。外部ショッピングモールで注文した人、電話注文などでメールアドレスを登録していない人、花キューピット加盟店で購入した人は非該当と説明されています。ブランド名だけで全注文経路へ同じ影響を広げないようにします。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ

当事者の説明

攻撃経路を遮断し監視を強化、現時点で二次被害は未確認

会社は攻撃経路の遮断、ネットワークのアクセス制御と監視の強化、個人情報保護委員会と警察への報告を実施し、外部専門機関と調査を続けていると説明しています。28日の発表時点で、新たな不正挙動と、本件に起因する二次利用・不正利用は確認していないとしています。

『確認していない』は発表時点の調査状況です。漏えいが確認された事実を消す表現でも、今後の悪用が起きない保証でもありません。公式案内の更新と、自分のアカウントでの不審な動きを継続して確認します。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ

未確認の点

侵入手法、対象者ごとの項目、通知完了、将来の悪用は未確定

2026年10月29日の確認時点で、侵入に使われた具体的な脆弱性や認証情報、対象者ごとに漏えいした項目、全対象者への通知完了時期、第三者が取得情報を保持・利用しているか、恒久対策の検証結果は公開資料だけでは確定できません。

登録メールアドレスの変更などで個別メールが届かない場合、会社は公式発表を個別連絡に代えるとしています。メールが届いていないことだけで対象外と判断せず、利用した注文経路と会員登録の有無を公式ページで照合します。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年10月29日に取得した花キューピット株式会社の10月28日付公式発表と同ページのFAQを確認しました。JBJは会社、会員、加盟店、外部モール、専門機関、関係当局、攻撃者へ直接取材しておらず、システム、ログ、漏えいデータ、個別通知を独立に確認していません。掲載画像は公式通知と不審な連絡を分けて確認する説明用イメージで、同社や利用者の実際の職員・店舗・画面・メール・被害記録ではありません。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ

JBJの見解

確認された漏えいを重く扱い、対象外まで広げない

ログインID、ハッシュ化されたパスワード、メールアドレスの漏えいは、便乗したフィッシングや認証情報の使い回しを含む対応が必要な事案です。会社には、個別通知、原因究明、恒久対策、追加事実の継続的な説明が求められます。

一方、会社は氏名、住所、電話番号、クレジットカード番号などを対象外とし、外部モール・電話注文・加盟店購入の一部も非該当と説明しています。責任を曖昧にせず、発表を超えて『すべての購入者の全情報が漏えいした』と広げないことが、対象者へ必要な案内を届けるためにも重要です。

JBJの見解

利用経路、会員登録、通知、不審な連絡を分けて保存する

対象の可能性がある人は、利用したサイトや注文経路、会員登録の有無、登録したメールアドレス、届いた公式通知、パスワード変更日時、不審なメールやログイン通知を分けて保存してください。パスワードや認証コードそのものを公開投稿や相談本文へ載せないでください。

不審な連絡では本文中のリンクや添付を開かず、自分で公式サイトを開いて窓口を確認します。会社はメール、SMS、電話でパスワード、カード番号、暗証番号、認証コードを尋ねないと明記しています。金銭被害やアカウント不正利用が疑われる場合は、サービス運営者、金融機関、警察などの公式窓口へ早めに連絡します。

• 資料 01花キューピット株式会社：当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ