花キューピットで423万件超の会員情報漏えい　暗号化パスワードでも変更した方がいい理由

花キューピットが会員情報423万8,242件の漏えいを公表

花キューピット株式会社は2026年10月28日、運営する「インターネット花キューピット」「ビジネス花キューピット」の管理システムが第三者から不正アクセスを受け、会員情報の一部が漏えいしたと発表しました。

同社の公表では、漏えい対象は 4,238,242件。対象となった情報は、ユーザーID（ログインID）、パスワード、PC用メールアドレス、携帯用メールアドレスです。パスワードについては、そのままでは使用できず、復元・解読できない形式で保存されていたと説明しています。

一方、氏名、性別、生年月日、住所、電話番号、クレジットカード番号、会社名、部署名、届け先情報などは、今回の漏えい対象ではないとされています。

「万全を期すため、パスワードのご変更を行っていただくことをお勧めいたします。」

花キューピットはさらに、同じログインIDとパスワードを他社サービスでも使い回している場合、そのサービス側のパスワードも変更するよう案内しています。

まず確認したいこと

今回、最優先で確認したいのは 花キューピットの公式ECサイトで会員登録をしたことがあるか です。

対象となるのは「インターネット花キューピット」と「ビジネス花キューピット」で、公式ECサイトからメールアドレスを登録した会員です。外部のショッピングモールで注文した人、電話注文などでメールアドレスを登録していない人、花キューピット加盟店の店頭で購入した人は今回の対象ではありません。

対象者には10月28日から登録メールアドレス宛てに順次連絡が行われています。ただし、メールアドレスを変更していて通知を受け取れない場合もあります。また、すでに退会した人でも、漏えいが確認された場合は対象です。過去に利用した記憶がある人も「もう退会したから関係ない」とは考えず、公式発表を確認してください。

今回クレジットカード情報は漏えいしていないため、この件だけを理由にカードを停止・再発行する必要はないと同社は案内しています。まず優先すべきなのは、パスワードの見直しと、今後届く可能性がある不審なメールへの警戒です。

何が起きた？　「暗号化されたパスワードが漏れた」の意味

花キューピットによると、10月14日から15日にかけて管理システムへの第三者による不正アクセスが発生し、調査中の10月19日に会員情報の漏えいを確認しました。その後、10月28日に対象範囲と利用者向けの対応を公表しています。

漏えいしたパスワードは、公式FAQでは「ハッシュ化」と表現され、復元・解読できない形式で保存されていたと説明されています。つまり、データベースから取り出した値をそのまま入力すればログインできるような、平文のパスワードが漏れたという説明ではありません。花キューピットも、直ちに第三者によってアカウントが不正利用される可能性は低いと判断しています。

ただし、ここで「暗号化されているなら何もしなくていい」と考えるのは避けたいところです。花キューピット自身が、万全を期すためパスワード変更を推奨しています。特に重要なのが パスワードの使い回し です。

今回漏えいした情報にはユーザーIDとメールアドレスも含まれています。もし同じメールアドレスやIDと同じパスワードの組み合わせを別のサービスでも使っているなら、ひとつのサービスで起きた漏えいが別サービスへの不正ログインを試す材料になる可能性があります。

そのため、花キューピットで使っていたパスワードを変更するだけでなく、同じパスワードを使っているサービスがないかを思い出し、見つかった場合はそちらも別のパスワードへ変更することが重要です。

また、メールアドレスが漏えいした以上、今後は花キューピットや金融機関などを装うフィッシングにも注意が必要です。今回の出来事を知っている利用者に「情報漏えいのお詫び」「本人確認」「補償手続き」「パスワード再設定」などと称して偽サイトへ誘導する手口は十分考えられます。

花キューピットは、メール、SMS、電話などでパスワード、クレジットカード番号、暗証番号、認証コードを尋ねることは一切ないと明記しています。漏えい通知らしいメールが届いても、そのメール内のリンクを急いで押すのではなく、ブラウザのブックマークや検索などから公式サイトを自分で開いて確認する方が安全です。

対象者が今やること　カード再発行より先に確認したい3点

今回の公表内容から、利用者側で優先したい対応は大きく3つです。

1. 花キューピットのパスワードを変更する

現在のところ不正利用は確認されておらず、漏えいしたパスワードも復元・解読できない形式だったとされています。それでも花キューピットは変更を推奨しています。過去に会員登録した人は、メールに書かれたリンクではなく公式サイトを直接開き、必要に応じてパスワード再設定を行ってください。

2. 同じパスワードを使っている他サービスも変更する

こちらの方が影響範囲が広くなる可能性があります。メール、通販、SNS、金融サービスなどで同じパスワードを使っている場合は、それぞれ異なるパスワードに変更します。今後はパスワードマネージャーやパスキーを利用し、サービスごとに認証情報を分けると、ひとつの漏えいが他サービスへ波及するリスクを抑えられます。

3. 「漏えい対応」を名乗るメールや電話を信用しすぎない

花キューピットは対象者へ実際にメールを送っています。そのため「本物の通知も届く」という状況自体が、利用者にとって判断を難しくします。差出人名やロゴが本物らしいだけでは判断せず、リンク先でパスワードやカード番号、認証コードなどを求められたら入力しないでください。

逆に、今回の件だけを理由に慌ててクレジットカードを止める必要はありません。花キューピットは、今回対象となったデータベースではクレジットカード情報を保持しておらず、決済情報の漏えいは発生していないと説明しています。氏名や住所、電話番号、届け先情報についても今回の漏えい対象外です。

「何が漏れたのか」と「何が漏れていないのか」を分けて考え、必要な対策だけを確実に行うことが大切です。

退会済みでも対象になる　昔使ったサービスの情報は残ることがある

今回の発表で見落としやすいのが、退会済みの会員も漏えい対象に含まれる場合があることです。花キューピットは、退会済みアカウント自体はログインできない状態になっている一方、漏えいが確認された人には個別案内を進めているとしています。

これは「いま使っていないサービスだから、自分には関係ない」とは限らないことを示す例でもあります。過去に登録したサービスから情報漏えいの発表があった場合、現在利用中かどうかだけで判断せず、退会者が対象に含まれるかまで公式情報で確認する必要があります。

今回の花キューピットの件では、現時点で二次利用や不正利用の被害は確認されていません。パスワードも復元・解読できない形式で保存され、氏名、住所、電話番号、クレジットカード情報などは漏えい対象外です。必要以上に不安になる必要はありません。

一方で、ユーザーIDとメールアドレス、パスワードに関する情報が漏えいしたこと自体は確認されています。対象者はパスワードを変更し、使い回しがあれば他サービスも変更する。そして、今後届く「漏えいのお知らせ」「補償」「本人確認」などを名乗る連絡では、メール内のリンクから手続きを始めない。この2点を押さえておくのが現実的な対策です。