概要

2026年10月14日から15日にかけて、同社の管理システムに第三者が不正アクセスした。10月19日、調査の中で会員情報の漏えいを確認し、10月28日に公表した。漏えいした可能性があるのはログインID、暗号化されたパスワード（復元・解読できない形式）、PC用と携帯用のメールアドレス。氏名、住所、電話番号、クレジットカード番号、お届け先情報などは含まれないという。電話注文や外部サイト経由の注文をした利用者は対象外。侵入経路や攻撃手法は調査中で、二次被害は現時点で確認されていない。

経緯

経緯情報は未登録です。

原因

管理システムが第三者に不正アクセスされた。侵入経路や攻撃手法の詳細は公表されておらず、外部の専門機関と連携して原因を調べている。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

4,238,242

サービス停止

不明

金銭的被害

不明

対象システム

管理システム、インターネット花キューピット、ビジネス花キューピット

漏洩した情報

• 可能性ありログインID
• 可能性あり暗号化されたパスワード
• 可能性ありメールアドレス（PC用・携帯用）

最大4,238,242件の会員情報が漏えいした可能性がある。氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報は漏えいしていないとされる。二次被害は現時点で確認されていない。

対応

不正アクセスに使われた攻撃経路をすべて遮断し、ネットワークのアクセス制御と監視体制を強化した。個人情報保護委員会と警察に報告し、対象者には順次メールで連絡する。あわせて、フィッシングメールへの注意を呼びかけている。

• 攻撃経路の遮断
• ネットワークのアクセス制御・監視体制の強化
• 個人情報保護委員会への報告
• 警察への相談
• 対象者へのメール通知
• フィッシングメールへの注意喚起
• 外部専門機関と連携した原因究明
• 恒久的な再発防止策の実施

教訓・対策

• 管理システムへの接続元を限定し、管理者アカウントに多要素認証を導入する
• パスワードはソルト付きハッシュなど復元できない方式で保存する
• 漏えい後のフィッシングに備え、SPF・DKIM・DMARCを整備し、利用者に周知しておく
• 管理システムのログを監視し、異常を早く検知できる体制を整える

参考資料

1. 花キューピットが不正アクセスで会員情報最大423万8,242件の漏えいの可能性を発表
   サイバーセキュリティ.com公開日: 不明報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

花キューピット株式会社

関連するインシデント

関連付けられたインシデントはありません。