花キューピットで最大423万件。パスワードは「解読できない形式」でも、短いもの・使い回しは変えておこう

• 花キューピットが10月28日、「インターネット花キューピット」「ビジネス花キューピット」への不正アクセスで、会員情報が最大423万8,242件漏れたと発表した
• 漏れたのは、ログインID、パスワード（ハッシュ化されたもの）、PC用と携帯用のメールアドレス。名前、住所、電話番号、届け先、クレジットカード情報は含まれていない
• 会社は、パスワードは復元・解読できない形式なので「直ちに不正利用される可能性は低い」としつつ、パスワードの変更を勧めている。短いパスワードや、ほかと使い回しているものは、変えておきたい

発表されたこと

二次被害は現時点で確認されていない。金銭の補償や返金は予定していないとしている。問い合わせはインターネット花キューピット個人情報相談窓口（0120-805-666、9時〜17時30分）。

「解読できない形式」なら安心か

花キューピットは、パスワードをハッシュ化（元に戻せない形に変換）して保存していた。漏れたのはその変換後の値で、パスワードそのものではない。これは正しい作りで、メールのパスワードがそのまま漏れたSo-netの件よりも被害は小さい。

ただし、ここは筆者の見方として補足したい。ハッシュ化されていても、攻撃者はよく使われるパスワードを片っ端から同じ方法で変換し、一致するものを探すことができる。

• 「123456」「password」「hana1234」のような短い・よくあるパスワードは、見つかりやすい
• ほかのサービスですでに漏れたことのあるパスワードも、同じように試される
• どのくらい割り出しにくいかは、ハッシュの方式（計算に時間のかかる方式か、ソルトを付けているか）によって変わる。花キューピットは方式を公表していない

会社の「直ちに不正利用される可能性は低い」は、その通りだと思う。そのうえで、弱いパスワードや使い回しなら、念のため変えておくのが安全だ。

会員がやること

1. パスワードを変える（会社も勧めている）。忘れた場合は、公式サイトの再設定のページから
2. 同じIDとパスワードを使っているほかのサービスも変える。ログインIDはメールアドレスが初期値なので、メールアドレスとパスワードの組み合わせが、ほかのサイトでそのまま試される可能性がある
3. 花キューピットや金融機関を名乗るメールに注意する。会社は、メール・SMS・電話でパスワードやカード番号、暗証番号、認証コードを聞くことは一切ないとしている
4. カードの停止や再発行は必要ない（カード情報は持っていないため）

「花の注文」を装ったメールに気をつけたい

ここも筆者の見方だ。今回漏れたメールアドレスは、「花キューピットで買い物をした人」のアドレスだと分かっている。だから、攻撃者は次のようなもっともらしいメールを作りやすい。

• 「ご注文のお花のお届けに問題がありました」
• 「お届け先の住所を確認してください」
• 「お支払いが完了していません。カード情報を再入力してください」
• 「お詫びのクーポンを差し上げます」

注文した覚えがあっても、メールのリンクからは入らない。自分でブックマークや検索から公式サイトを開いて、注文の状況を確かめる。花は記念日や見舞いなど、気持ちが動く場面で贈るものだけに、「届かないかも」と言われると焦りやすい。

今週の漏えいとの比べ方

今週は、漏えいの発表が続いた。何が漏れたかで、やることが変わる。

まとめ

• 花キューピットで最大423万8,242件。漏れたのはログインID・ハッシュ化されたパスワード・メールアドレス
• 名前・住所・カード情報は含まれない。補償や返金は予定なし
• ハッシュ化されていても、短い・よくある・使い回しのパスワードは変えておく
• 「花のお届け」「支払いの確認」を装ったメールのリンクは開かず、公式サイトを自分で開いて確かめる

出典

• 花キューピット「当社運営サイト（インターネット花キューピット等）への不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」（2026年10月28日。経緯、件数、項目、対象、よくある質問、問い合わせ先）
• ビジネス＋IT「花キューピット、会員情報最大423万件が漏えいの可能性　ECサイトに不正アクセス」（2026年10月28日配信）

本記事は2026年10月28日時点の公式発表に基づく。「解読できない形式なら安心か」の補足、花の注文を装うメールの例、漏えいの比べ方は筆者の見方である。