化粧品クチコミサイト「@cosme」を運営する株式会社アイスタイルは2026年9月16日、同サイトに登録された会員1万997人分の個人情報が、インターネット上で閲覧可能な状態にあったと公表した。原因は外部からの攻撃ではなく、従業員が社内でファイルを受け渡す際に使った外部ファイル転送サービスの公開設定の不備である。閲覧できた時間は約20分間にとどまるが、攻撃者が一切登場しない運用上のひとつの操作ミスだけで、1万人規模の会員情報が外部に露出し得ることを示した事例である。
20分間、URLを知る者なら誰でもアクセスできた
アイスタイルの発表によると、個人情報を含むファイルが閲覧可能な状態になったのは2026年9月2日の14時20分頃からの約20分間である。同日14時40分の時点で該当ファイルは削除され、閲覧できる状態は解消されたとしている。
漏えいの可能性がある情報は、@cosmeに登録されたメールアドレス、メールマガジン「@cosme通信」の配信設定状況（配信を希望する・しないの設定）、そして登録時に発番されるユーザーIDの3種類である。氏名、住所、電話番号、ログイン時のパスワードなどの個人情報や、クレジットカード情報は含まれていないと同社は説明している。
対象となったのは、2026年9月2日12時頃の時点でメールマガジンの配信を希望する設定になっていた会員のうち、同年8月26日から9月2日までの間に新規会員登録をした人、メールアドレスの変更・追加や配信設定の変更を行った人、あるいは@cosme SHOPPINGでの商品購入、アプリや@cosme CAREERでのプロフィール編集、肌質診断の登録といったサービスを利用した人の一部である。つまり、この1週間ほどの間にメールアドレスや配信設定などの登録情報を更新した会員、あるいは一部のサービスを利用した会員が対象となっている。
侵入経路ではなく、受け渡しの手段が穴になった
同社の説明では、従業員が社内で個人情報を含むファイルの受渡しを行う際に外部ファイル転送サービスを利用し、その際にファイルの公開設定に不備があった。結果として「ダウンロード用URLを知り得る者であれば誰でもファイルへアクセスできる状態」になっていたという。
ただし同社は、当該URLは社内関係者間でのみ共有しており、委託先を含む第三者への開示・提供は行っていないとしている。現時点で本件に起因する情報の不正利用や二次被害は確認されていないとも説明しており、実際に外部の第三者がファイルを取得したことを示す記述は発表には含まれていない。本件についてはすでに個人情報保護委員会への報告を済ませたとしている。
一方で同社は、心当たりのない差出人からのメールやURLが記載されたメールを受け取った場合には、URLを開く前に送信元を確認するよう会員に呼びかけている。漏えいの可能性がある情報そのものは限定的でも、メールアドレスとユーザーIDの組み合わせは、@cosmeの利用者を狙ったいかにも本物らしいメールを組み立てる材料になり得るという判断が読み取れる。
再発防止策は人の手を介さない方向を向いている
再発防止策として同社が挙げたのは、人為的ミスが発生しないよう手動によるデータ抽出を廃止するなどシステム的な管理体制の構築を早急に検討することと、個人情報を取り扱う際のセキュリティ手続きの再徹底および全社的な情報セキュリティ教育の実施である。
注目すべきは前者である。教育や手順の徹底といった、人が気をつけることを前提にした対策だけで終わらせず、手作業によるデータ抽出という工程そのものをなくす方向を明示している。設定ミスは注意力の問題ではなく、その作業が存在すること自体に起因するという整理といえる。
20分を短いと読むべきではない理由
この事案で重く受け止めるべきは、露出した情報の大きさではなく、露出に至るまでの手数の少なさである。脆弱性の悪用もマルウェアの実行も認証情報の窃取もなく、共有リンクの公開範囲をひとつ誤っただけで、1万人分のメールアドレスが外部から到達可能な場所に置かれた。しかも正規の業務手順の中で起きているため、外部からの侵入を検知する仕組みでは原理的に捉えられない。
公表までの時間も見ておく必要がある。発生は9月2日、公表は9月16日であり、その間は約2週間ある。閲覧可能だった時間が20分で、削除も同日中に完了しているにもかかわらず、影響範囲の特定と対象者の絞り込みには相応の日数がかかっている。どの会員がどの操作をいつ行ったかを事後に突き合わせる作業が必要になるためとみられ、対応が速ければ影響範囲の調査も軽くなるとは限らない。
多くの組織で、個人情報を含むファイルの受け渡しは現場の判断で行われている。メールに添付するのか、社内の共有ストレージに置くのか、外部のファイル転送サービスを使うのか。その選択と公開範囲の設定が担当者に委ねられている限り、同種の露出はどの企業でも起こり得る。着手すべきは監視の強化ではなく、手作業でデータを抽出して個人が外部サービスへ載せるという工程を業務から削ることである。アイスタイルが示した再発防止の方向は、その点で理にかなっている。
同じ手口に、自社は備えられていますか？