【解説】花キューピットで会員ID約424万件流出
他店も使い回しログインに備えを
花の宅配サービスを運営する花キューピット株式会社は2026年10月28日、運営する「インターネット花キューピット」などのECサイトの管理システムに不正アクセスがあり、会員情報4,238,242件が漏えいしたと発表しました。漏えいしたのはログインIDやパスワード（復元できない形で暗号化したもの）、メールアドレスで、クレジットカード情報や住所・電話番号は含まれていないとしています。
何が変わる？
- 経緯：10月14日〜15日に第三者が管理システムへ不正アクセスし、10月19日の調査で会員情報の漏えいを確認しました。侵入経路などの詳細は、外部の専門機関と調査中としています。
- 漏えいした情報：ユーザーID（ログインID）、パスワード（暗号化済み）、PC用と携帯用のメールアドレスです。対象は公式ECサイトで会員登録した利用者です。
- 漏えいしていない情報：氏名、住所、電話番号、生年月日、お届け先、クレジットカード情報は含まれないと説明しています。
- 会員への依頼：パスワードの変更と、同じIDとパスワードを他のサービスで使っている場合はその変更を求めています。あわせて、不審なメールのURLや添付ファイルを開かないよう呼びかけています。
- 同社の対応：攻撃経路の遮断と監視の強化を行い、個人情報保護委員会と警察に報告済みです。対象の会員には10月28日から順次メールで連絡するとしています。
EC事業者への影響
今回はカード情報が含まれず、パスワードも暗号化されていたとされます。それでも他のショップにとって無関係ではありません。漏れたメールアドレスとIDの組み合わせは、別のサイトで同じパスワードを試す「リスト型攻撃（パスワードリスト攻撃）」や、なりすましメールに使われやすいためです。ギフト需要の多いサイトの会員情報なので、贈り物やお届けを装ったメールにも注意が必要です。
- 会員登録・ログイン機能がある店舗：同じメールアドレスとパスワードを使い回しているお客さまは少なくありません。自社に落ち度がなくても、他社で漏れた情報で自社の会員アカウントにログインされ、ポイントの不正利用や登録カードでの不正注文につながるおそれがあります。
- ギフト・花・季節商品を扱う店舗：「お届け先の確認」「注文内容の確認」を装ったメールが出回ると、自社を名乗る偽メールと区別がつきにくくなります。お客さまへの注意喚起の文面を用意しておくと安心です。
- カートを問わず：ログイン失敗が短時間に集中していないか、深夜に見慣れない注文が続いていないかなど、異常に気づける体制があるかどうかが分かれ目になります。
10月は、カート事業者や物流会社での情報漏えいも続きました（futureshopの会員情報流出の解説）。相談先に迷う場合は、経済産業省が設けた中小企業向けの無料相談窓口も使えます（相談窓口の解説）。
今やるべきこと
- カートの管理画面で、会員ログインの失敗回数や不審なログインを確認できる機能・ログがあるかを調べる
- ログイン試行の回数制限、2段階認証、ログイン時の通知メールなど、使えるセキュリティ設定を有効にする
- ポイントの大量利用や、登録済みカードでの高額注文など、普段と違う動きがないか数日間注視する
- 「当店からパスワードやカード番号をメールで尋ねることはありません」といった注意喚起の文面を、サイトやメールマガジンに載せられるよう用意する
- スタッフや外部業者の管理画面アカウントも、他サービスとパスワードを使い回していないか確認する
