「花キューピット」のECサイトに不正アクセス｜会員情報 最大423万件に漏えいの可能性——EC運営者にとっての意味と今やるべきこと

花キューピット株式会社（以下、花キューピット）は2026年10月28日、運営する「インターネット花キューピット」と「ビジネス花キューピット」の管理システムに第三者による不正アクセスがあり、会員情報 最大423万8,242件が漏えいした可能性があると公表しました。漏えいの可能性があるのはログインID・暗号化されたパスワード・メールアドレスで、カード情報は保有していないと説明されています。

発表の事実

花キューピットの公式のお知らせ（2026年10月28日）に書かれている事実を整理すると、次のとおりです。

対象は、公式のECサイトでメールアドレスを登録した会員だけとされています。外部のショッピングモール経由の注文、メールアドレスを登録していない電話注文、加盟店での購入は対象外です。退会した会員も対象に含まれる場合があるとしています。

パスワードは復元や解読ができない形式で暗号化して保存していたと説明されています。公表時点で二次被害は確認されておらず、攻撃に使われた経路はすべて遮断し、アクセス制御と監視を強めたとしています。原因の詳しい調査は外部の専門家と続けており、新たな事実がわかれば知らせるとしています。

EC運営者にとっての意味

今回の件は、カード情報を持たない設計でも、IDとメールアドレスだけで数百万件規模の対応が必要になりうることを示した例だとみられます。

花キューピットは、同じIDとパスワードをほかのサービスでも使っている会員に、そちらの変更も呼びかけています。メールアドレスが漏れると、店を名乗る偽メールが届きやすくなります。そのため、会員への案内では「店からパスワードやカード番号をメール・SMS・電話で尋ねることはない」と伝えています。

店舗側から見ると、次の3つは自店でも確かめておく意味が大きそうです。

なお、ショッピングモール経由の注文は対象外とされている点からは、モールに出店している店舗の会員情報とは管理が分かれていることがうかがえます。モールの管理画面については、楽天・Amazon・Yahoo!出店者のアカウント乗っ取り対策で確認点をまとめています。

今やるべきこと

• パスワードの保存方法を確かめる……ASPカートの場合は公式のヘルプやお知らせ、自社構築の場合は制作会社に、会員パスワードの保存方法を尋ねておきます。
• 管理画面の2段階認証を有効にする……使えるなら有効にし、退職者や契約の終わった外部委託先のアカウントが残っていないかを確かめます。
• なりすましメールへの注意の文面を用意する……「パスワードやカード番号をメールで尋ねることはない」ことを、サイトのお知らせやメールですぐ出せるようにしておきます。
• 相談先を控えておく……カード決済を使っている店舗は、異変があったときに連絡する決済代行会社・カード会社の窓口を確認しておきます。

事故が起きたときの手順は不正アクセスされたときの対応、日ごろの対策の全体像はECサイトのセキュリティ対策ガイドで整理しています。各社が公表した事例はEC情報漏えいの公表事例台帳にもまとめています。個人情報の報告の義務などは、最新は個人情報保護委員会などの公式情報や専門家で確認してください。

出典

• 花キューピット株式会社「当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」（2026年10月28日）

※本記事は2026年10月30日時点の公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。