@cosmeに不正アクセス、共通IDの会員情報約300万人分が漏えい

何が起きたのか

アイスタイルは2026年11月2日、同社が運営する「@cosme」が第三者の不正アクセスを受けたと公表しました。確認したのは10月28日で、「@cosme共通ID」に登録された会員情報の一部が外部に漏れたとしています。

原因と影響の範囲は、第三者のセキュリティ専門会社と調べています。不正利用などの二次被害は、公表の時点では確認されていません。

漏れた情報

対象は約300万人です。不正アクセスの時点の会員であれば、退会した人も対象になる場合があります。退会後も一定の期間、情報を保管しているためです。

項目はユーザーID、ニックネーム、氏名（漢字とカナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質の11項目です。ユーザーIDは登録時に自動で付く番号で、ログインには使いません。

ログイン用のパスワードとクレジットカード情報は含まれていないと、同社は説明しています。購入の履歴や投稿の内容については、お知らせでは触れられていません。パスワードが対象に入っていないため、お知らせにはパスワードの変更を求める記載もありません。

会社の対応

同社は被害の拡大を防ぐ措置を進め、個人情報保護委員会に報告しました。対象者には登録された連絡先へ順に個別に連絡し、11月6日に終える予定としています。案内のメールは「cosme.net」のドメインから送ります。対象者が多いため、連絡が終わるまでには一定の期間がかかる見込みです。「cosme.net」のメールを受け取れるよう、迷惑メールの設定を確かめてほしいとも案内しています。

再発防止策は第三者機関の調査結果を踏まえて決めます。同社はなりすましのメール、SMS、電話に注意するよう呼びかけ、メールでパスワードやカード情報の入力を求めることはないとしています。問い合わせ先は専用のメール窓口で、受付は平日の10時から18時です。返信には時間がかかることがあります。

中小企業が学べること

肌質や髪質のようにサービスのために集めた項目も、氏名や住所と結びつくと大事な個人情報になります。集めている項目を定期的に見直すと、漏れたときの影響を小さくできます。

• 会員登録で集めている項目の一覧を作り、今も使っているかを項目ごとに確かめます。使っていない項目は集めるのをやめます
• 退会した人の情報をいつまで持つかを決め、期限を過ぎたものは消します。今回は退会した人も対象に入りました
• 事故の連絡をどのドメインから送るかを、先にお客様へ知らせておきます。連絡に見せかけた偽のメールと見分けがつきやすくなります。漏えいのあとに偽メールが増える動きは、金融庁、漏えい情報を使う偽メールの増加に注意 利用者に4つの要請でも取り上げています