- 花キューピット株式会社が運営する「インターネット花キューピット」「ビジネス花キューピット」で、管理システムに第三者からの不正アクセスがありました。不正アクセスは10月14日〜15日、漏えいの確認は10月19日です。
- 対象は4,238,242件（該当する可能性のあるお客様）です。漏えいしたのは、ユーザーID（ログインID）、パスワード（元に戻せない形で暗号化されたもの）、PC用メールアドレス、携帯用メールアドレスです。
- 氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先の情報は漏えいしていないとしています。
- 対象は、公式ECサイト（i879.com、i879.com/biz）でメールアドレスを登録した人です。退会した人も含まれます。ショッピングモールや電話での注文、加盟店のお店で買った人は対象外です。
- 対象の人には10月28日から順次メールで連絡するとしています。会社は、念のためパスワードの変更と、同じIDとパスワードをほかで使っている場合はそちらの変更もすすめています。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
この記事は、花キューピット株式会社が2026年10月28日に出したお知らせをもとにまとめたものです。最新の内容は花キューピットのお知らせのページで確かめてください。この記事も続報が出たら更新します。
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
何が起きたか（時系列）
お知らせに書かれた経緯は次のとおりです［花キューピット（10/28）］。
| 日付 | できごと |
|---|---|
| 10月14日（水）〜15日（木） | 会社の管理システムに、第三者からの不正アクセスがあった |
| 10月19日（月） | 調べる中で、会員情報が漏えいしたことを確認した |
| 10月28日（水） | 公表。対象の会員に、登録メールアドレスあてに順次連絡を始めた |
会社は、不正アクセスに使われた経路をすべて遮断し、ネットワークの監視を強めたとしています。今のところ新しい不審な動きは確認されていません。外部の専門機関と一緒に、詳しい原因を調べているところです。どこから、どうやって入られたのかは、お知らせには書かれていません。
対象になった人と件数
| 項目 | 内容 |
|---|---|
| 対象サービス | インターネット花キューピット / ビジネス花キューピット |
| 対象件数 | 4,238,242件（該当する可能性のあるお客様） |
| 対象になる人 | 公式ECサイト（i879.com、i879.com/biz）で注文のときに会員登録し、メールアドレスを登録した人。退会した人も含む |
| 対象にならない人 | 外部のショッピングモールで注文した人、電話注文などでメールアドレスを登録していない人、花キューピット加盟店（お花屋さん）で買った人 |
対象の人には、10月28日から登録メールアドレスあてに順次メールで連絡するとしています。人数が多いため、全員に届くまで時間がかかる見込みです。メールアドレスを変えたなどの理由でメールが届かない人には、このお知らせで個別の連絡に代えるとしています［花キューピット（10/28）］。
個人情報保護委員会と警察（サイバー犯罪相談窓口）には報告済みです。
漏れた情報・漏れていない情報
漏れた情報
- ユーザーID（ログインID）
- パスワード（ハッシュ化されたもの。会社は「元に戻したり解読したりできない形式」としています）
- PC用メールアドレス
- 携帯用メールアドレス
なお、ユーザーIDは、登録したメールアドレスが最初の値になっています。同じアドレスですでに登録があった場合や、自分で変えた場合は、6文字以上の英数字になっています。
漏れていないとされている情報
- お名前、性別、生年月日、住所、電話番号
- クレジットカード番号（そもそもこのデータベースにはカード情報を持っていないとしています）
- 社名、部署名
- お届け先の情報
10月28日の時点で、今回の件による情報の悪用などの被害は確認されていないとしています［花キューピット（10/28）］。
会員が今やること
- 花キューピットのパスワードを変える：会社は、パスワードは元に戻せない形で保存されていて、すぐに悪用される可能性は低いとしつつ、念のため変更をすすめています。手続きは、自分でブックマークや検索から開いた公式サイトで行います。IDやパスワードを忘れた人は、インターネット花キューピットの再設定ページ、ビジネス花キューピットの再設定ページから確認・再設定できます。
- 同じIDとパスワードをほかで使っていたら、そちらも変える：会社も、ほかのサービスで同じログインIDとパスワードを使い回している場合は、そちらの変更もすすめています。IDの初期値はメールアドレスなので、ほかのサービスでも「メールアドレス＋同じパスワード」でログインしている人は特に変えておきましょう。
- カードは止めなくてよい：カード情報は漏えいしていないため、この件を理由にカードを止めたり作り直したりする必要はないとしています。
- 分からないことは専用ダイヤルへ：インターネット花キューピット個人情報相談窓口 0120-805-666（9:00〜17:30）。
退会した人のアカウントは、ログインできない状態（無効化）になっているとしています。退会した人は、同じパスワードをほかで使っていないかを確かめてください。
不審なメールに注意
今回漏れたのはメールアドレスなので、これからは花キューピットや金融機関などを名乗る不審なメールが届くおそれがあります。会社も、心当たりのないメールのURLを開かない、添付ファイルを開かない、個人情報を入力しないよう呼びかけています［花キューピット（10/28）］。
- 会社がパスワードやカード番号を聞くことはない：メール、SMS、電話などで、パスワード、クレジットカード番号、暗証番号、認証コードなどを聞くことは一切ないとしています。聞かれたら応じないでください。
- 補償や返金をうたう連絡は疑う：会社は、この件での金銭の補填や返金は予定していないとしています。「お詫びの返金」「ポイント付与」などを理由にカード番号や口座を入力させるものは、偽物を疑ってください。
- 確かめるときは自分で窓口を調べる：届いたメールに書かれた番号やリンクは使わず、公式サイトに載っている窓口に自分で連絡します。
10月28日から、会社からの本物のお知らせメールも順次届きます。本物と偽物が同じ時期に届くので、見分けにくくなります。パスワードの変更は、メールのリンクからではなく、自分で開いた公式サイト（i879.com）から行ってください。
まだ分かっていないこと
- 不正アクセスの入り口と手口（お知らせでは外部の専門機関と調査中）
- だれが不正アクセスをしたのか
- 漏えいした情報が、外部でどう扱われているか
よくある質問
お花屋さんの店頭や、ネットのショッピングモールで買いました。対象ですか？
対象ではありません。花キューピット加盟店で買った人、外部のショッピングモールで注文した人、電話注文などでメールアドレスを登録していない人は、今回の件に該当しないとしています。
もう退会しています。対象ですか？
退会した人でも、漏えいが確認された人には個別に案内しているとしています。退会したアカウントはログインできない状態になっています。
自分が対象かどうか、どうすれば分かりますか？
対象の人には、10月28日から登録メールアドレスあてに順次メールで知らせるとしています。人数が多いので、届くまで時間がかかる見込みです。気になるときは、相談窓口（0120-805-666、9:00〜17:30）に問い合わせてください。
パスワードは変えたほうがいいですか？
会社は、パスワードは元に戻せない形で保存されていて、すぐに悪用される可能性は低いとしています。そのうえで、念のため変更をすすめています。同じIDとパスワードをほかのサービスでも使っていたら、そちらも変えておきましょう。
クレジットカードは止めたほうがいいですか？
このデータベースにはカード情報を持っておらず、漏えいしていないとしています。この件を理由にカードを止めたり作り直したりする必要はないとしています。ただ、偽のサイトやメールにカード番号を入力してしまった場合は、すぐにカード会社に連絡してください。
補償や返金はありますか？
金銭の補填や返金は予定していないとしています。
原因はPHPの脆弱性ですか？
お知らせにPHPの話はありません。原因については「第三者による不正アクセス」とだけ書かれていて、詳しいことは外部の専門機関と調査中とされています。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。花キューピットの会員情報については、インターネット花キューピット個人情報相談窓口にお問い合わせください。相談はこちら
