対象：インターネット花キューピット（i879.com）またはビジネス花キューピット（i879.com/biz/）の公式ECサイトで、メールアドレスを登録して会員になった人（退会済みでも漏えいが確認された人を含む）。本記事は花キューピット株式会社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 原因
- 対象者への個別連絡が終わる時期
- 二次被害の有無
- 調査の結果と再発防止策の詳細
同社は、新たに公表すべき重大な事実が判明した場合は、速やかに公式ホームページ等で案内するとしています。続報の時期は書かれていません。10月30日に発表ページを確認し、10月28日の発表以降の新しい発表は見当たりませんでした。
会員が今日やること
自分が対象になり得るかを知る
同社が対象としているのは、公式ECサイト（i879.com、i879.com/biz/）でメールアドレスを登録した会員です。外部ショッピングモールでの注文、電話注文などでメールアドレスを登録していない場合、花キューピット加盟店で購入した場合は、本件に該当しないとしています。
漏えいが確認された会員には、10月28日から登録メールアドレス宛てに順次、個別に連絡するとしています。対象者が多いため、連絡が終わるまでに一定の時間がかかる見込みです。退会済みの会員でも、漏えいが確認された人には個別に案内するとしています（退会済みのアカウントはログインできない状態）。
連絡メールがまだ届かなくても、登録した覚えがあるなら、対象の可能性がある前提で次に進みます。
パスワードを変更する
同社は、パスワードは復元・解読できない形式で保存されていて、直ちにアカウントが不正利用される可能性は低いと判断しつつ、万全を期すためパスワードの変更を勧めています。
同社が案内している手続きは、ID確認・パスワード再設定のページです（インターネット花キューピット／ビジネス花キューピット）。ログイン後にパスワードを変える画面があるかは、発表には書かれていません。ユーザーIDは登録メールアドレスが初期値です（既に同じアドレスの登録がある場合や自分で変えた場合は、6文字以上の英数字）。
同じIDとパスワードを使い回したサービスを変える
同社は、他社サービスで同じログインIDとパスワードを使い回している場合は、そちらのパスワードも変更するよう勧めています。
今回はユーザーID（多くはメールアドレス）とパスワードの組が対象です。同じ組み合わせを別のサービスで使っているなら、そちらを先に変えます（パスワード漏えいの確認方法／パスワードマネージャーの選び方）。使えるサービスでは2段階認証を有効にします。
花キューピットや金融機関を名乗る連絡のリンクは開かない
同社は、漏えいしたメールアドレスを使って、同社や金融機関等を装った不審なメール（フィッシングメール等）が届く可能性があるとしています。心当たりのない連絡は、本文のURLを開かず、添付ファイルを開かず、個人情報を入力しないよう呼びかけています。同社がメール・SMS・電話でパスワードやクレジットカード番号、暗証番号、認証コード等を尋ねることは一切ないとしています。
今回漏れたメールアドレスは、花キューピットの会員のものです。そのため、次のような名目の連絡が来たら、リンクを開かずに確かめます（これは当サイトの見立てで、同社が確認した事例ではありません）。
- 「ご注文の確認」「お届けの状況」「ギフトのメッセージが届いています」などを名乗るもの
- 「会員情報の更新」「パスワードの再設定」「アカウント停止」を急がせるもの
- 個別連絡メールそっくりに作った、パスワードやカード番号の入力を求めるもの
当サイトの助言として、自分で公式サイトを開く（ブックマークか検索から）か、個人情報相談窓口（0120-805-666、9:00〜17:30）で確かめます。
クレジットカードの手続きは不要と同社は説明している
同社は、該当のデータベースにクレジットカード情報を保持していないため、本件を理由にカードの停止や再発行をする必要はないとしています。ただし、カード会社の明細を普段から確認することは、本件と関係なく有効です。
① 花キューピットや金融機関を名乗るメール／SMS／電話
注文・お届け・ギフトの連絡に見える → ここでは判断しない
↓
② リンクは開かず、公式サイトを自分で開くか、相談窓口に自分で電話する
個人情報相談窓口 0120-805-666
↓
③-A パスワード・暗証番号・カード番号を求める
同社は一切尋ねないとしている → 応じない
③-B 公式サイトにも同じ案内がある
手続きは公式サイトの案内に沿って行う
何が起きたのか（花キューピット株式会社の発表より）
以下は、同社が2026年10月28日に公表した「当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」と、同ページのよくあるご質問にもとづきます。
2026年10月14日（水）〜15日（木）
管理システムに対し、第三者による不正アクセスが発生10月19日（月）
調査の過程で、不正アクセスによる会員情報の漏えいを確認10月28日（水）
公表。対象の会員への個別メールを順次開始。個人情報保護委員会と警察（サイバー犯罪相談窓口）に報告済みとしている（報告日の記載なし）
- 対象サービス
- インターネット花キューピット／ビジネス花キューピット
- 漏えいした項目
- ユーザーID（ログインID）、パスワード（そのままでは使用できない暗号化されたもの。FAQではハッシュ化）、PC用メールアドレス、携帯用メールアドレス
- 漏えいしていないとされる項目
- お名前、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報等
- 対象となる人
- 公式ECサイトからメールアドレスを登録したお客様のみ。外部ショッピングモールでの注文、メールアドレスを登録していない電話注文、花キューピット加盟店での購入は該当しない
- 同社の対応
- 攻撃経路をすべて遮断し、アクセス制御と監視を強化。個人情報保護委員会と警察に報告。外部の専門機関と連携して詳細な原因を調査
- 補償
- 金銭的な補填や返金等は予定していない（同社は、漏えいした情報に決済関連情報は含まれず、パスワードも暗号化して管理していると併せて説明）
- 問い合わせ
- インターネット花キューピット個人情報相談窓口 0120-805-666（9:00〜17:30）
「暗号化されたパスワード」とは
同社は、漏えいしたパスワードを「復元・解読ができない形式（不可逆な暗号化）」で保存していたと説明しています。FAQでは「ハッシュ化」と書かれています。ハッシュ化は、パスワードを一方向の計算で別の文字列に変えて保存する方法で、保存された文字列から元のパスワードを取り出せないように作られています。鍵で元に戻せる通常の暗号化とは違います（パスワードのハッシュ化とは／安全な保存方法）。
ただし、同社の発表は、どのような方式で保存していたかまでは書いていません。一般に、短いパスワードやありふれたパスワードは、保存された文字列と照らし合わせて推測される余地が残ります。同社は、万全を期すためとして変更を勧めています。
分かっていること・分かっていないこと
2026年10月30日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | 10月14日〜15日に管理システムへ。10月19日に会員情報の漏えいを確認 | 確定（同社） |
| ユーザーID（ログインID） | 漏えいを確認 | 漏えいを確認（同社） |
| パスワード | 暗号化（ハッシュ化）されたもの。復元・解読できない形式で保存と説明 | 漏えいを確認（同社） |
| PC用・携帯用メールアドレス | 漏えいを確認 | 漏えいを確認（同社） |
| 対象件数 | 4,238,242件（該当する可能性のあるお客様） | 確定（同社）。「可能性」の件数 |
| 氏名・性別・生年月日・住所・電話番号・お届け先情報・社名・部署名 | 漏えいしていない | 含まれない（同社） |
| クレジットカード情報 | 保持しておらず、決済情報の漏えいは発生していない | 含まれない（同社） |
| 退会済み会員 | 漏えいが確認された人には個別に案内。退会済みアカウントはログイン不可 | 漏えいが確認された人に個別案内（同社） |
| 原因・侵入の経路 | 書かれていない。外部の専門機関と調査中 | 調査中 |
| 対象者への個別連絡 | 10月28日からメールで順次。完了までに一定時間。届けられない人は発表で代える | 実施中（同社） |
| 二次被害 | 10月28日時点で確認していない。フィッシング等の可能性に注意 | 確認されていない（同社） |
| 補償 | 金銭的な補填や返金は予定していない | 確定（同社） |
| 他のデータベースや、他のサービスへの影響 | 書かれていない | 記載なし |
読み方の注意：件数は「該当する可能性のあるお客様」の数
4,238,242件は、同社が「件数」と書き、括弧内で「該当する可能性のあるお客様」とも書いた数字です。同じ人が複数のアカウントを持つ場合に人数が少なくなるかは書かれていません。当サイトは、タイトルなどでは「最大」を付けています。
ユーザーIDとメールアドレスで、一般に何が起きうるか
以下は、今回の項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- メールアドレス（PC用・携帯用）：同社や金融機関を装った偽メール、偽SMSの宛先に使われうる。花キューピットの利用者だと分かるため、注文や配送、ギフトの連絡に見せかけやすい
- ユーザーID＋暗号化されたパスワード：直ちにアカウントが不正利用される可能性は低いと同社は判断している。一方、当サイトの見立てでは、使い回しがあれば別のサービスへのログインを試される余地が出る
- 氏名・住所・電話番号が含まれないこと：メールアドレスだけでは名前を差し込んだ偽メールは作りにくい。ただし、今回の件と無関係に集めた別の情報と組み合わされることはありうる
どれも、届いた連絡のリンクや番号を使わず、自分で開いた公式サイトで確かめれば防げるものが中心です（フィッシングとは）。
運営者が見直すこと
原因は公表されていないため、ここでは公表された内容から言えることだけを挙げます。
- パスワードを復元できない形で持つこと：今回の漏えいで、パスワードが復元できない形で保存されていたことは、影響を小さくした点として同社が説明している。保存方式の選び方はパスワードの安全な保存方法を参照
- 退会後の情報の扱い：退会済みの会員にも個別に案内する、という扱いが出ている。退会後にどの情報を、いつまで持つかを決め、期間を過ぎた情報を消す運用を点検する
- 管理システムへの入口の管理：発表は、管理システムに対する不正アクセスが発生したとだけ書いている。管理システムの入口をどう守るかは、原因が公表されたあとで具体化する
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因や侵入の経路は推測していません。
- 花キューピット株式会社「当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」（2026年10月28日、同ページの「よくお寄せいただくご質問と回答」を含む。10月30日に確認） — hana-cupid.co.jp
- 花キューピット「ユーザーID確認・パスワードの再発行」（同社が案内する手続きページ） — i879.com
更新履歴
2026-10-30：初版。花キューピット株式会社の10月28日の発表（FAQを含む）にもとづく。10月28日の発表以降の新しい発表は見当たらず。原因・個別連絡の完了・二次被害の有無が公表されたら更新します。
次に読む
- 同じ時期の国内事案：ミスターマックス（会員の氏名・メール・電話） ／ ニフティの不正アクセス
- 便乗詐欺への備え：フィッシングとは ／ スマホを安全に使う基本
- アカウントを守る：パスワード漏えいの確認方法 ／ パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）