化粧品の口コミサイト「@cosme」を運営するアイスタイルは2026年11月2日、@cosmeへの第三者による不正アクセスにより、「@cosme共通ID」に登録された会員情報の一部、約300万人分が外部に漏えいしたと発表した。漏えいしたのは氏名や住所、電話番号、メールアドレス、生年月日に加え、肌質や髪質といった情報である。ログイン時のパスワードとクレジットカード情報は含まれていないことを確認したとしている。
10月28日に漏えいを確認
発表によると、アイスタイルは2026年10月28日、@cosmeへの不正アクセスにより会員情報の一部が外部に漏えいしたことを確認した。その後、被害の拡大を防ぐ対応を進め、現在は第三者のセキュリティ専門会社とともに、原因や影響範囲を調べている。個人情報保護委員会には報告済みだという。
不正アクセスの手口や侵入の経路は、現時点で公表されていない。
漏えいした情報
対象は約300万人で、漏えいした情報は次のとおり。
- ユーザーID（登録時に自動で付けられる番号で、ログインには使わないもの）
- ニックネーム、名前（漢字・カナ）
- 郵便番号、住所、電話番号、メールアドレス
- 性別、生年月日
- 肌質、髪質
すでに@cosmeを退会した人でも、不正アクセスの時点で会員だった場合は対象になる。アイスタイルは、退会後も一定期間保管している情報をもとに連絡するとしている。
個別の連絡は11月6日に完了の予定
対象者には、把握している連絡先を通じて順次個別に連絡する。対象者が多いため、連絡の完了は11月6日の予定である。案内メールの送信元アドレスは、@以降が「cosme.net」になるという。
現時点で、本件による個人情報の不正利用や二次被害は確認されていない。ただし、本件に関連したなりすましのメールやSMS、電話が届く可能性があるとして、心当たりのない連絡や不審なURLに注意するよう呼びかけている。アイスタイルからの案内メールで、パスワードやクレジットカード情報の入力を求めることはないという。
「肌質・髪質」が付いた名簿は、勧誘や詐欺に悪用されるおそれ
今回漏えいした情報は、住所や電話番号、生年月日といった本人を特定できる情報に、肌質や髪質といった美容に関する情報が付いている点に特徴がある。こうした組み合わせは、相手の関心に合わせた化粧品の勧誘や、景品の当選をかたる連絡など、もっともらしい詐欺に悪用されるおそれがある。
対象者は、@cosmeやアイスタイルをかたる連絡だけでなく、化粧品や美容に関する身に覚えのない案内にも注意したい。案内に従ってリンクを開いたり、カード情報を入力したりしないことが大切である。
企業にとっては、会員数が数百万人規模になれば、1回の侵入で漏えいする情報の量も大きくなる。会員情報を管理するデータベースにどの経路からアクセスできるのか、ふだんと違う大量の持ち出しに気づける仕組みがあるかを、改めて点検しておく必要がある。
同じ手口に、自社は備えられていますか？