花キューピットの情報漏洩｜不正アクセスで会員情報 4,238,242件（ID・暗号化パスワード・メールアドレス）対象と確かめること 2026

2026年10月29日

＠SOHO編集部

この記事のポイント

✓花キューピットの情報漏洩を公式発表で整理
✓インターネット花キューピットとビジネス花キューピットへの不正アクセスで
✓暗号化されたパスワード

花キューピットの情報漏洩は、花キューピット株式会社が2026年10月28日に発表したもので、同社が運営する「インターネット花キューピット」と「ビジネス花キューピット」が第三者から不正アクセスを受け、会員情報の一部が漏えいしたことを確認したと公表されています。対象件数は4,238,242件（該当する可能性のある客）で、漏えいした項目はユーザーID（ログインID）、パスワード（そのままでは使えない暗号化されたもの）、PC用メールアドレス、携帯用メールアドレスです。氏名、住所、電話番号、クレジットカード番号、お届け先の情報などは漏えいしていないと発表されています。

花キューピットの通販サイトで会員登録をしたことがある人がまずすることは3つです。通販サイトのパスワードを変えること。同じIDとパスワードをほかのサービスでも使っているなら、そちらも変えること。そして、花の注文や配達を装ったメールのリンクを開かないことです。

この記事では、花キューピットの公式発表と、同じページにある「よくお寄せいただくご質問と回答」の内容だけをもとに、対象になる人とならない人、漏れた項目と漏れていない項目、パスワードの扱い、花を贈る時期に届きやすい偽の注文確認メールの見分け方を整理します。内容は2026年10月29日時点の記載にもとづいています。

2026年10月28日の発表で分かったこと（公表の経緯）

発表の題は「当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」です。花キューピットの通販サイトのトップからも、このお知らせにリンクが張られています。

発表に書かれている経緯は、日付で並べると次のとおりです。

日付	出来事
2026年10月14日（水）から10月15日（木）	当社管理システムに対し、第三者による不正アクセスが発生
2026年10月19日（月）	調査の過程で、不正アクセスによる会員情報の漏えいを確認
2026年10月28日（水）	公表。対象の会員の登録メールアドレス宛てに、順次連絡を開始

不正アクセスから漏えいの確認までが4日、確認から公表までが9日という流れです。発表は「会員情報の一部が漏えいしたことを確認いたしました」と言い切る形で書かれています。

このたび、当社が運営する「インターネット花キューピット」・「ビジネス花キューピット」におきまして、第三者からの不正アクセスにより、お客様の会員情報の一部が漏えいしたことを確認いたしました。出典: hana-cupid.co.jp

発表の最後には、新たに公表すべき重大な事実が分かった場合は、公式ホームページなどで知らせると書かれています。 2026年10月29日時点で、通販サイトのトップから案内されているのは10月28日のお知らせで、件数や項目を改めた続報や訂正は見当たりません。この記事の数字はすべて10月28日の発表の数字です。

漏えいした項目と、漏えいしていない項目

発表は、漏えいした項目と漏えいしていない項目をはっきり分けて書いています。自分の何が外に出たのかを確かめやすいように、表に並べます。

区分	項目
漏えいした項目	ユーザーID（ログインID）、パスワード（そのままでは使用できない暗号化されたもの）、PC用メールアドレス、携帯用メールアドレス
対象件数	4,238,242件（該当する可能性のあるお客様）

会社が「漏えいしていない」と明記したもの
お名前
性別、生年月日
住所、電話番号
クレジットカード番号
社名、部署名
お届け先情報等

表で押さえておきたいのは、ユーザーIDの中身です。同じページの質問と回答によると、ユーザーIDは登録したメールアドレスが初期値になっています。すでに同じアドレスで登録があった場合や、自分で変えた場合は、6文字以上の英数字になっています。つまり、多くの会員にとって、漏れた「ユーザーID」は自分のメールアドレスそのものだということです。

カードの情報については、会社は「該当のデータベースサーバー上でクレジットカード情報を保持していない」と説明しています。そのため、カードの停止や再発行について、会社は「本件を理由として直ちに手続きを行う必要はない」と案内しています。ただし、カード番号を「確認のため」と聞き出そうとする偽の連絡が来る可能性はあります。漏れていない情報を、偽の連絡で新たに渡してしまうことが一番避けたい流れです。

氏名や住所、お届け先が漏れていないことも、発表で明記されています。花を贈った相手の名前や住所が外に出た、という形ではありません。贈った相手に「あなたの情報が漏れたかもしれない」と知らせる必要は、発表の範囲からは読み取れません。

対象になる人と、ならない人

この件で取り違えやすいのが、対象の範囲です。花キューピットという名前は、全国の加盟店の店頭や、外部のショッピングモールでも見かけます。しかし今回の対象は、そのすべてではありません。

発表によると、対象になるのは「当社公式ECサイトからメールアドレスを登録したお客様」だけです。公式ECサイトとして挙げられているのは次の2つです。

インターネット花キューピット（i879.com）
ビジネス花キューピット（i879.com/biz/）

一方で、次の人は「本件に該当しておりません」と明記されています。

対象外と明記された人
外部ショッピングモールサイトで注文した人
電話注文などで、メールアドレスを登録していない人
花キューピット加盟店（花屋の店頭）で購入した人

街の花屋で「花キューピット」の看板を見て注文した人や、ショッピングモールのサイトで花キューピットの商品を買った人は、今回の対象に入りません。対象に入るのは、公式の通販サイトで会員登録をして、メールアドレスを登録した人です。

退会した人も気になるところです。質問と回答では、退会済みであっても漏えいが確認された人には個別に案内を進めていると書かれています。退会済みのアカウントは、ログインできない状態（アカウントの無効化）になっているとも説明されています。退会した人は、通販サイトでパスワードを変える操作はできませんが、同じパスワードをほかのサービスで使っている場合は、そちらを変えておくことが大切です。

原因と、会社の対応

原因について、発表に書かれているのは次のことです。

2026年10月14日から15日にかけて、当社管理システムに第三者による不正アクセスが発生した
外部の専門機関と連携し、詳細な原因究明を進めている

どのような経路で入られたのかは、2026年10月29日時点の発表には書かれていません。報道や個人の解説で原因を推し量った記述が出ることがありますが、会社の発表に無いことは確かな情報として扱えません。

会社が発表している対応は次のとおりです。

対応	発表の内容
通信の遮断と監視強化	不正アクセスに使われた攻撃経路を直ちにすべて遮断し、ネットワークのアクセス制御と監視体制を強化。新たな不正な動きは確認されていない
関係機関への報告	個人情報保護委員会と警察（サイバー犯罪相談窓口）に報告
調査と再発防止	外部の専門機関と連携して原因究明を進め、継続的な対策と恒久的な再発防止策を講じる
対象者への連絡	2026年10月28日から、登録メールアドレス宛てに順次連絡
補償	本件に伴う金銭的な補填や返金等は予定していない

補償について、会社は質問と回答で「本件に伴う金銭的な補填や返金等は予定しておりません」とはっきり書いています。理由として、漏えいした情報にクレジットカード情報や口座情報などの決済に関わる情報が含まれていないこと、パスワードも暗号化して管理されていることを挙げています。「お詫びの返金があるので、口座を教えてください」「補償の手続きのため、カード番号を入力してください」という連絡は、会社の案内と合わないので、偽物を疑う材料になります。

二次被害については、2026年10月28日の発表の時点で、本件に起因する情報の二次利用や不正利用などの被害は確認されていないとされています。

「不可逆な暗号化」のパスワードとは

発表では、漏えいしたパスワードは「復元・解読ができない形式（不可逆な暗号化）」で保存されていたと説明されています。質問と回答では「パスワード（ハッシュ化）」とも書かれています。

ハッシュ化とは、パスワードを決まった計算でまったく別の文字の並びに変えて保存する方法のことです。計算を逆にたどって元のパスワードを取り出すことができないように作られているため、「不可逆」と呼ばれます。会社はこれを理由に、直ちに第三者がアカウントを不正に使う可能性は低いと判断しています。

それでも会社は、万全を期すためにパスワードを変えることを勧めています。

しかしながら、万全を期すため、パスワードのご変更を行っていただくことをお勧めいたします。出典: hana-cupid.co.jp

変えたほうがよい理由は、一般論として、短いパスワードや、よく使われる単語や数字の並びのパスワードは、ハッシュ化されていても、候補を片端から同じ計算にかけて照らし合わせることで当てられてしまう場合があるからです。自分のパスワードがそうした弱いものかどうかは、自分にしか分かりません。会社の勧めに従って変えておくのが、いちばん手間の少ない備えです。

自分が対象かを確かめる方法

自分が対象かどうかは、次の順で確かめます。

花キューピットの公式通販サイト（インターネット花キューピットかビジネス花キューピット）で、会員登録をしたことがあるかを思い出す
登録したメールアドレスの受信箱で、2026年10月28日以降に花キューピットからの個別の連絡が届いていないかを見る
届いていなくても不安があれば、インターネット花キューピット個人情報相談窓口（0120-805-666）で確かめる

会社は、対象の会員数が多いため、全員への連絡が終わるまでに一定の時間がかかる見込みだとしています。 2026年10月29日の時点で連絡が届いていなくても、対象外とは限りません。

また、登録メールアドレスを変えたなどの理由で個別のメールが届かない会員には、このお知らせをもって個別の連絡に代える、とも書かれています。昔使っていたメールアドレスで登録したまま、そのアドレスをもう使っていない人は、連絡が届かないまま対象に入っている可能性があります。心当たりがある人は、ログインして登録情報を確かめるか、窓口に問い合わせてください。

個別のメールが届いたときも、そのメールのリンクからログインするのではなく、ブラウザのブックマークや自分で入力した公式サイトからログインする、という順番にしておくと安全です。本物のお知らせメールと、それをまねた偽のメールが同じ時期に届くことがあるからです。

会員がまずすること

漏れた項目に合わせて、することを順に並べます。

通販サイトのパスワードを変える

通販サイトにログインし、パスワードを変えます。 IDやパスワードを忘れた場合は、会社の質問と回答で案内されている再設定のページから手続きできます。

インターネット花キューピットの再設定のページ：https://www.i879.com/customer/remind
ビジネス花キューピットの再設定のページ：https://www.i879.com/biz/customer/remind

新しいパスワードは、ほかのサービスで使っていないものにします。長く、推測されにくい文字の並びにするのが基本です。

同じIDとパスワードを使っているサービスも変える

今回いちばん大事なのは、この作業です。多くの会員のユーザーIDはメールアドレスなので、漏れたのは「メールアドレスと、ハッシュ化されたパスワード」の組み合わせです。もし同じメールアドレスと同じパスワードで、ほかの通販サイトやメール、SNSにログインしているなら、そちらが狙われる可能性があります。

会社も、ほかのサービスで同じログインIDとパスワードを使い回している場合は、そちらのパスワードもあわせて変えるよう勧めています。特に、メールのアカウントのパスワードが同じだった場合は、最優先で変えます。メールを乗っ取られると、ほかのサービスのパスワードの再設定のメールまで読まれてしまうからです。

二段階認証を設定する

ほかのサービスのうち、ログインのときにパスワードに加えて別の確認を求める仕組み（二段階認証、多要素認証）を設定できるものは、この機会に設定しておきます。パスワードが当てられても、もう1つの確認が通らなければログインできないため、使い回しによる被害を大きく減らせます。仕組みの違いや選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で解説しています。

自分のメールアドレスが、ほかの漏えい事案にも含まれていないかを調べる方法は、漏えいを調べる方法の記事で紹介しています。今回の件と別の件の情報が組み合わさると、偽の連絡の材料が増えるので、一度確かめておく価値があります。

花を贈る時期に届く、偽の注文確認メールの見分け方

今回漏れたのは、メールアドレスと、花キューピットの会員だという事実です。花の通販の会員だと分かっている相手には、「ご注文の確認」「お届け完了のお知らせ」「お届け先が不在でした」といった、花の注文を装ったメールが作りやすくなります。

会社も、当社や金融機関などを装った不審なメール（フィッシングメール等）が送られる可能性があると注意を呼びかけています。フィッシングとは、本物そっくりのメールやSMSで偽のサイトに誘い、IDやパスワード、カード番号を入力させる手口のことです。

花の注文が増える時期は、偽のメールも本物に紛れやすい時期です。これから迎える年末の贈り物の時期や、春の母の日のころは、実際に花を注文した人が多いため、「注文の確認」をうたうメールが届いても不自然に感じにくくなります。

見分けるときの手がかりは次のとおりです。

偽のメールでよく使われる文面	確かめ方
「ご注文の決済に失敗しました。カード情報を再入力してください」	自分で通販サイトにログインし、注文履歴で本当に決済の問題があるかを見る
「お届け先が不在でした。再配達の手続きはこちら」	注文した覚えがあるか、注文履歴にその注文があるかを見る
「不正アクセスがあったため、24時間以内に本人確認を」	公式ホームページのお知らせに同じ案内が出ているかを見る
「お詫びとしてポイントを付与します。ログインして受け取ってください」	会社は補填や返金を予定していないと発表している。発表と合わない話として扱う

どの場合も、メールのリンクは押さず、ブックマークや自分で入力した公式サイトから確かめるのが基本です。注文した覚えがあるときほど、リンクを押したくなります。覚えがあるかどうかではなく、「リンクから入らない」という決まりで動くと迷いません。

会社は、メール、SMS、電話などで、パスワード、クレジットカード番号、暗証番号、認証コードなどを尋ねることは一切ないと明記しています。これらの入力や回答を求められたら、その時点で偽物と判断してよい材料になります。

偽のメールのよくある型を、職場の研修として学ぶ方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで整理しています。

偽のサイトにIDやパスワードを入力してしまった場合は、同じIDとパスワードを使っている全てのサービスで、すぐにパスワードを変えます。カード番号を入力してしまった場合は、カード会社に連絡して利用の停止を相談します。警察庁も、フィッシングの被害に遭った場合は、最寄りの警察署か、サイバー事案の通報を受け付けるオンラインの窓口に相談するよう案内しています。参考: 警察庁「フィッシング対策」

偽のメールを受け取ったとき、応じてしまったときの相談先

偽のメールに気づいたときや、うっかり応じてしまったときは、内容に合わせて相談先を選びます。

起きたこと	相談先
花キューピットを名乗るメールやSMSが本物か分からない	インターネット花キューピット個人情報相談窓口（0120-805-666）
偽のサイトにカード番号を入力してしまった	使っているカードのカード会社の窓口
お金をだまし取られた、身に覚えの無い請求が来た	最寄りの警察署
契約や請求のトラブルで、どこに相談すればよいか分からない	消費者ホットライン188（近くの消費生活センターなどを案内してもらえる）

消費者ホットラインは、消費者庁が案内している番号で、電話をかけると住んでいる地域の消費生活センターなどの相談窓口につながります。参考: 消費者庁「消費者ホットライン」

どの窓口に相談する場合も、届いたメールやSMSは削除せずに残しておきます。差出人のアドレス、届いた日時、本文、入力してしまった内容をメモしておくと、窓口での説明が短く済み、カードの停止などの手続きも早く進みます。

メールアドレスそのものを変えるかどうか

今回は、メールアドレスそのものが漏えいした項目に入っています。パスワードは変えられますが、漏れたメールアドレスを取り消すことはできません。そのため、これから先、迷惑メールや偽のメールがそのアドレスに届きやすくなることは考えておく必要があります。

メールアドレスを変えるかどうかは、そのアドレスを何に使っているかで判断します。

通販や会員登録だけに使っているアドレスなら、受信箱の迷惑メールの設定を見直し、偽のメールの見分け方を押さえておけば、無理に変えなくても対応できることが多い
仕事の連絡や、銀行、証券など大事なサービスの登録にも使っているアドレスなら、偽のメールが紛れ込む影響が大きいので、通販用と大事な用途用でアドレスを分けることを考える価値がある

アドレスを分けておくと、通販用のアドレスに届いた「銀行」や「カード会社」を名乗るメールは、それだけで不自然だと気づけます。大事なサービスに登録していないアドレスに、そのサービスからの連絡が届くはずがないからです。

花キューピットの通販サイトに登録しているメールアドレスを変える場合は、ログインして登録情報から変えます。変えた後も、会社からの個別の連絡が古いアドレスに届く可能性があるので、古いアドレスの受信箱もしばらくは見ておくと安心です。

家族のアカウントや、使っていないアカウント

花の通販は、家族の誰かが代表して会員登録し、家族みんなの贈り物をまとめて注文していることがあります。また、高齢の親が子どもに手伝ってもらって会員登録したまま、そのアカウントのことを忘れている、ということもあります。

家族の中で確かめておくとよいことは次のとおりです。

家族の誰が、どのメールアドレスで花キューピットの通販サイトに登録しているか
そのアカウントのパスワードを、ほかのサービスでも使っていないか
花の注文や配達を装ったメールが届いたら、リンクを押す前に家族に相談する

長く使っていないアカウントは、この機会に退会することも選べます。ただし、退会しても、今回すでに漏えいしたメールアドレスやハッシュ化されたパスワードが取り消されるわけではありません。退会は、これから先にアカウントが狙われる入口を減らすための手段であって、今回の件の後始末ではない、と考えておくと整理しやすくなります。退会する前に、同じパスワードを使っているほかのサービスのパスワードを変える作業を先に済ませてください。

今後の発表で確かめたいこと

2026年10月29日時点の発表では、まだ分かっていないことがあります。続報が出たときに、次の点が書かれているかを見ると、自分に関係する変化を見落とさずに済みます。

不正アクセスの経路と原因
対象件数4,238,242件のうち、実際に漏えいが確認された人数がどうなるか
対象者への個別の連絡が、いつまでに終わるか
パスワードの強制的な初期化など、会社の側で追加の措置をとるかどうか

特に最後の点は、もし会社がパスワードの初期化を行った場合、その案内に便乗した偽のメールが出回りやすいところです。初期化の案内が来たときも、メールのリンクからではなく、自分で開いた公式サイトで手続きをする、という決まりを続けてください。

ビジネス花キューピットを会社で使っている人

ビジネス花キューピットは、取引先への祝い花やお悔やみの花などを、会社として注文するための通販サイトです。今回の対象にはビジネス花キューピットも含まれています。

会社で使っている場合、漏れたメールアドレスは、自分や総務の担当者の仕事のアドレスです。発表によると、社名と部署名は漏えいしていません。それでも、仕事のメールアドレスに花の注文を装った偽のメールが届けば、取引先とのやり取りの中で開いてしまうおそれがあります。

会社で使っている人がしておくことは次のとおりです。

ビジネス花キューピットのパスワードを変え、社内でIDとパスワードを共有している場合は、共有している全員に知らせる
同じパスワードを、社内のほかの仕組みやメールで使っていないかを確かめる
社内の情報システムの担当者に、今回の件と、花の注文を装ったメールが届く可能性を伝える
取引先への贈り物の注文を、メールのリンクからは確定しない決まりにする

社内の担当者に伝えるときは、「会社で使っている花の通販サイトで、メールアドレスとハッシュ化されたパスワードが漏えいしたと発表された。社名と部署名は漏えいしていない。パスワードは変更済み」という事実だけで足ります。推し量った内容を足さずに、発表の範囲で伝えると、受け取った側も判断しやすくなります。

問い合わせ窓口

発表に載っている窓口は次のとおりです。

項目	内容
窓口の名前	インターネット花キューピット個人情報相談窓口（お客様専用ダイヤル）
電話番号	0120-805-666
メール	[email protected]（お知らせのページで案内されているアドレス）
受付時間	9時00分から17時30分

電話をかける前に、登録したメールアドレスと、覚えていればユーザーIDを手元に用意しておくと話が早くなります。自分が対象かどうか、個別の連絡がいつごろ届くのか、退会済みのアカウントはどう扱われるのか、を聞くと、その後の動きを決めやすくなります。

窓口を名乗る相手から電話がかかってきて、パスワードやカード番号を聞かれた場合は、その電話には答えません。会社は、これらを電話で尋ねることは一切ないと明記しています。いったん切って、上の番号に自分からかけ直してください。

在宅で仕事をする人が気をつけること

在宅で仕事をしているフリーランスや副業の人の中には、取引先の開店祝いや、お世話になった人へのお礼に、花の通販を使う人もいます。個人のアカウントで仕事の贈り物を注文していると、登録しているメールアドレスが仕事のアドレスと同じ、ということが起こります。

今回の件で漏れたのは、自分のIDとメールアドレス、ハッシュ化されたパスワードです。贈った相手の氏名や住所、お届け先の情報は漏えいしていないと発表されています。そのため、この件を理由に、取引先や贈った相手に報告する義務が自分に生じる形ではないと考えるのが自然です。

見直したいのは、仕事のメールアドレスとパスワードの扱いです。仕事のメールのパスワードと、通販サイトのパスワードが同じだった場合、通販サイトの漏えいから仕事のメールが乗っ取られる道ができてしまいます。仕事のメールが乗っ取られると、取引先から預かった資料や個人情報まで読まれるおそれがあり、そのときは自分が「預かった情報を漏らした側」になります。

個人情報保護委員会は、事業者が個人データを漏えいした場合などに報告が義務になる場合を公式ページで示しています。参考: 個人情報保護委員会「漏えい等の対応とお役立ち資料」仕事のメールの乗っ取りのように、預かった情報が外に出たおそれがあるときに自分がどの立場になるかは、仕事の中身と契約で変わります。判断に迷うときは、同じページで案内されている個人情報保護法相談ダイヤルで、状況を伝えて確かめるのが確実です。

独自データの考察。小さな通販サイトのパスワードが、仕事の入口になる

2004年から在宅ワークとフリーランスの仲介を続けてきた運営者として見てきた限りでは、アカウントの乗っ取りは、仕事で毎日使う大きなサービスからではなく、年に数回しか使わない通販サイトのような、意識の外にあるアカウントから始まることが少なくありません。花の通販は、まさに年に数回しか使わないサービスです。そうしたサービスほど、昔のパスワードを使い回したまま放置されがちで、そこから仕事のメールにたどり着かれる道が残ります。

今回の件は、自分が使っているサービスの一覧を作り、使っていないものは退会し、使うものはそれぞれ別のパスワードにする、というアカウントの棚卸しをするきっかけになります。運営者として見てきた実感では、こうした管理ができている人ほど、取引先から「情報を任せられる人」と見られ、長く続く関係になりやすい傾向があります。直接取引で中間の手数料が乗らない関係なら、その分の手間を、情報の扱いの丁寧さにかける余裕も生まれます。

情報の守り方を仕事にする道もあります。中小企業のセキュリティ対策や、社員向けの注意喚起の資料づくりを在宅で支援する仕事は、求められる場面が増えている分野です。 AI・マーケティング・セキュリティのお仕事では、@SOHOで扱っているこの分野の仕事の内容と、求められるスキルを紹介しています。不正アクセスの仕組みをネットワークの基礎から学ぶなら、CCNA（シスコ技術者認定）のような資格が入口になります。

最後に、この記事の数字と項目は、2026年10月28日の花キューピットの発表と、同じページの質問と回答（2026年10月29日時点の記載）にもとづいています。会社は原因の究明を続けており、新たに公表すべき重大な事実が分かった場合は公式ホームページなどで知らせるとしています。対象の範囲や会社の対応が変わる可能性があるので、公式の続報を確かめてから動くことを基本にしてください。

よくある質問

Q. 花キューピットの情報漏洩で、カード番号や住所も漏れたのですか？

漏れていません。発表では、氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報などは漏えいしていないと明記されています。漏えいしたのはユーザーID、暗号化されたパスワード、PC用と携帯用のメールアドレスです。カードの停止や再発行は、本件を理由に直ちに行う必要はないと案内されています。