要点
- 化粧品総合サイト「@cosme」で、会員約300万人分の名前・住所・電話番号・生年月日などが、不正アクセスで外に漏れた。
- アイスタイルは、ログインのパスワードとクレジットカードの情報は含まれていないとしている。退会した人も対象になりうる。
- 本物そっくりの偽メール・偽SMS・偽電話が届くおそれがあり、そこで個人情報やカード番号を入れないことが一番の守りになる。
何が起きたか
@cosme を運営するアイスタイルは、2026年11月2日にお知らせを出した。それによると、@cosme が第三者から不正アクセスを受け、「@cosme共通ID」に登録された会員情報の一部が外に漏れた。対象は約300万人とされる。アイスタイルが漏えいに気づいたのは10月28日だという。
漏れたとされる情報を、こちらで4つに分けて並べる。
- 本人を示す情報: 名前（漢字とカナ）、性別、生年月日
- 連絡先: 住所と郵便番号、電話番号、メールアドレス
- サイトの中で使う情報: ニックネーム、ユーザーID（登録のときに自動で振られる番号。アイスタイルは、ログインには使わないとしている）
- 美容の情報: 肌の質、髪の質
ログインのパスワードとクレジットカードの情報について、アイスタイルは発表の時点で「含まれていないことを確認」したとしている。
いつ、どんな方法で入り込まれたかは、お知らせに書かれていない。原因の調べはまだ続いている。アイスタイルによると、調べにはセキュリティを専門にする会社が加わっている。国の個人情報保護委員会へは、もう報告が済んでいるという。
悪用の被害について、アイスタイルは「本件に起因する個人情報の不正利用や二次被害は確認されておりません」と書いている。これは、アイスタイルがつかんでいる範囲での話だ。
日本の利用者への影響
約300万人という数は大きい。名前・住所・電話番号・生年月日がそろって漏れると、その人あての「本物らしい」だましの連絡を作りやすくなる。肌質や髪質まで分かると、化粧品の当選やサンプルの案内を装った話にも説得力が出る。
対象は、不正アクセスがあった時点で会員だった人だ。その後に退会した人も含まれる。退会した人にも連絡は届く。アイスタイルの説明では、@cosme のプライバシーポリシーで退会後もしばらく残すことになっている情報を、その連絡に使うという。
@cosme共通ID を使う他の関連サービスが別に影響を受けたかどうかは、お知らせには書かれていない。今の時点では分からない。
今すぐやること
- アイスタイルからの連絡を待って確かめる。 自分が対象かを自分で調べる仕組みは、お知らせには書かれていない。対象の人には個別に連絡が来て、11月6日（金）までに終える予定だという。案内メールは「cosme.net」のドメイン（メールアドレスの@より後ろの部分）から届く。迷惑メールに振り分けられないよう、受信の設定を見ておく。
- メールやSMSのリンクから情報を入れない。 アイスタイルは、案内メールでパスワードやクレジットカード情報の入力を求めることはないと明記している。「お詫びのポイント」「本人確認」などと言ってそれを求める連絡は偽物と考える。
- 電話にも気をつける。 アイスタイルは、なりすましのメール・SMS・電話が来るおそれがあると呼びかけている。名前や住所を知っている相手でも、それだけで本物と思わない。
- パスワードを使い回しているなら変える。 パスワードは漏れていないとされる。ただ、メールアドレスが知られた以上、他のサービスで同じパスワードを使っている人は、それぞれ別のものに変えておくと安心だ（これはこちらの見立てで、アイスタイルの勧めではない）。
- 分からないことは窓口に聞く。 問い合わせ先は security-support@cosme.net（平日10時〜18時）。メールに書かれた電話番号やリンクではなく、@cosme の公式サイトから窓口を確かめる。
背景
会員の多い国内のサービスから個人情報がまとめて漏れると、その後しばらく、その会社の名前をかたる偽の連絡が増えやすい。漏れた名前や住所を使うと、文面が本物らしく見えるからだ。
今回は、パスワードやカード番号は含まれていないとされる。だから、すぐにお金を抜かれる心配は小さい。代わりに、漏れた情報を足がかりに、だまして新しい情報を聞き出す手口に気をつけたい。侵入の原因はまだ調査中で、続報で範囲や項目が変わることもある。
技術者向けの詳細
- 発表元: 株式会社アイスタイル。掲載 2026-11-02、不正アクセスの確認 2026-10-28（いずれも日本時間）
- 対象: @cosme共通ID の会員情報の一部、約300万人。不正アクセス時点の会員で、その後の退会者を含む
- 漏えい項目: 氏名（漢字・カナ）／性別・生年月日／住所・郵便番号／電話番号／メールアドレス／ニックネーム／ユーザーID（自動発番、ログインに使わない）／肌質・髪質
- 含まれないとされるもの: ログインパスワード、クレジットカード情報（発表時点の確認）
- 侵入の日時・手口・侵入された跡は未公表。外部のセキュリティ会社が調査中
- 個人情報保護委員会へ報告済み。警察への届け出の記載はない
- 対象者への通知: cosme.net ドメインのメール、11月6日完了予定
- 窓口: security-support@cosme.net（10:00〜18:00、土日祝を除く）
- 社内の周知で使うなら、「cosme.net 以外のドメインで @cosme を名乗るメール」「パスワードやカード情報の入力を求める案内」は偽物、という2点を伝えると分かりやすい
