要点
発表された事実
- 花キューピット株式会社は2026年10月28日、同社が運営する「インターネット花キューピット」「ビジネス花キューピット」で、第三者の不正アクセスにより会員情報の一部が漏えいしたと公表した（花キューピット）。
- 不正アクセスは10月14日〜15日に「当社管理システム」に対して発生し、10月19日に調査の過程で会員情報の漏えいを確認した（同）。
- 対象は4,238,242件（該当する可能性のある会員）。漏えいした項目はユーザーID（ログインID）、パスワード（同社は「不可逆な暗号化」「ハッシュ化」と説明）、PC用メールアドレス、携帯用メールアドレス（同）。
- 氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報は漏えいしていない。同社は該当データベースサーバー上でカード情報を保持していない（同）。
- 対象は公式ECサイト（i879.com、i879.com/biz/）でメールアドレスを登録した会員で、退会者も含む。外部モールや電話注文、加盟店での購入は対象外（同）。
- 攻撃経路を遮断し、個人情報保護委員会と警察に報告した。10月28日から対象者へメールで順次連絡している。二次被害は確認されていない（同）。
- 【2026-10-31追記】花キューピットは10月30日、お知らせの表記を訂正した。漏えいしたパスワードの説明を「そのままでは使用できない暗号化されたもの」から「そのままでは使用できないハッシュ値のもの」に、「不可逆な暗号化」を「不可逆な変換」に改め、FAQの「パスワード（ハッシュ化）」も「パスワード（ハッシュ値）」とした。「パスワードも暗号化して管理されております」という一文は削除した（花キューピット 10月30日訂正）。
わかったこと
- 【2026-10-31】漏えいしたパスワードは、暗号化（復号できる形式）ではなく、ハッシュ値（元に戻せない変換）で保存されていたと同社が表記を改めた（花キューピット、10月30日訂正）
わかっていないこと
- 「管理システム」が何を指すか（EC管理画面か、会員データベースの管理基盤か）と、侵入の手口
- パスワードのハッシュ方式（ソルトやストレッチングの有無）（【2026-10-31追記】10月30日の訂正で「ハッシュ値」で保存していたことは明確になったが、アルゴリズムやソルト・ストレッチングの有無は公表されていない）
- 10月14日〜15日の侵入を同社が検知した時期と経緯
- 4,238,242件のうち、現会員と退会者の内訳
関係しそうな既知の手口
- （考察）ハッシュ化されていても、弱いパスワードは総当たりや辞書攻撃で割り出される余地がある。ユーザーIDの初期値がメールアドレスなので、使い回しがあれば他のサービスへのリスト型攻撃に使われうる。
概要
- 花の通販「インターネット花キューピット」と法人向け「ビジネス花キューピット」の管理システムに不正アクセスがあり、会員約424万件のログインIDとハッシュ化パスワード、メールアドレスが漏えいした。
- 氏名や住所、カード情報は含まれない。侵入の手口は公表されていない。
- 同社はパスワードの変更と、同じID・パスワードを使っている他サービスの変更を呼びかけている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-14（水）〜15（木） | 当社管理システムに第三者による不正アクセスが発生（花キューピット） |
| 10-19（月） | 調査の過程で会員情報の漏えいを確認（同） |
| 10-28（水） | 公表。対象会員へのメール連絡を順次開始（同） |
| 10-30（金） | 漏えいしたパスワードの表記を「暗号化」から「ハッシュ値」「不可逆な変換」に訂正（花キューピット） |
発表内容の整理
事実（花キューピット、10月28日）
| 項目 | 内容 |
|---|---|
| 対象サービス | インターネット花キューピット／ビジネス花キューピット |
| 件数 | 4,238,242件（該当する可能性のある会員。退会者を含む） |
| 漏えいした情報 | ユーザーID、パスワード（ハッシュ化）、PC用メールアドレス、携帯用メールアドレス |
| 含まれない情報 | 氏名、性別、生年月日、住所、電話番号、カード番号、社名、部署名、お届け先 |
| 対応 | 攻撃経路の遮断、ネットワークのアクセス制御と監視の強化、個人情報保護委員会・警察への報告、外部専門機関と原因究明 |
| 補償 | 金銭的な補填や返金の予定はない |
- 同社FAQは、ハッシュ化されているため「直ちに第三者によってアカウントが不正利用される可能性は低い」としつつ、念のためパスワード変更を勧め、同じID・パスワードを使い回している他社サービスの変更も勧めている（花キューピット）。
- ユーザーIDは登録メールアドレスが初期値で、同一アドレスの重複時や本人が変えた場合は6文字以上の英数字になる（同）。
- 退会済みアカウントはログインできない状態だが、漏えいの対象には含まれ、個別に案内している（同）。
考察
漏れた項目は少ないが、「ログインID＋パスワードのハッシュ＋メールアドレス」は、アカウント乗っ取りに必要な材料がそろった組み合わせだ。ハッシュの方式が公表されていないため、どれだけ割り出しに耐えるかは判断できない。古い会員や退会者まで含まれていることから、長期間のデータがまとまって一つの場所にあったとみられる（考察）。
氏名や住所、お届け先が漏れていないとされる点は、会員情報が項目ごとに別のテーブルや別システムに分かれていた可能性を示すが、どの範囲に侵入されたかは公表されていない（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは、国内で相次ぐ不正アクセスの類型として、標的ごとに既知の脆弱性を探して悪用を試みるもの、機器の管理不備を突いた環境設定ファイルやバックアップファイルの窃取、アプリの管理用APIへの不正なリクエストなどを挙げ、従業員向け管理システムなど外部からの利用を想定していないシステムも被害に遭っているとしている（JPCERT/CC）。
考察
花キューピットは「管理システム」とだけ書いており、どの類型に当たるかはわからない。同じ10月中旬に国内のECサイトや会員サービスで侵入の公表が続いており、管理用の画面や仕組みが外から届く状態になっていなかったかは、再発防止策で示されるべき点だろう（考察）。
利用者・運用者がいまできること
- 花キューピットの会員は、i879.comのパスワードを変更する。同じメールアドレスとパスワードを他のサービスでも使っていれば、そちらも変える。
- 花キューピットや金融機関を名乗るメール・SMSのリンクからログインしない。同社はメールや電話でパスワードを尋ねないとしている。
- EC事業者は、パスワードを現代的なハッシュ（bcrypt、Argon2など、ソルト付き・低速）で保存し、管理システムを外部から直接届かない場所に置く。