Signal
📡 Signal｜アットコスメに不正アクセス、会員約300万人分の肌質まで流出
@cosme 共通 ID の会員約300万人分が流出。氏名・住所・生年月日に肌質と髪質までそろった記録で、個別連絡は11月6日まで。
化粧品の口コミサイト「@cosme (アットコスメ)」を運営するアイスタイルは11月2日、第三者の不正アクセスで「@cosme 共通 ID」の会員約300万人分の情報が外部に漏えいしたと発表した。氏名や住所、生年月日に加え、会員が登録した肌質と髪質まで含まれる。
アイスタイル 不正アクセスによる個人情報漏えいのお知らせ (2026年11月2日・約300万人・10月28日に確認・対象情報・11月6日に個別連絡を完了予定)[istyle 株式会社アイスタイル]
不正アクセスは10月28日に確認し、公表はその5日後だった。ログインのパスワードとクレジットカード情報は含まれていないとしている。化粧品を選ぶために登録した体の特徴が、住所や電話番号と同じ記録にそろって持ち出された点が、ほかの会員情報の漏えいとの違いになる。
10月28日に確認、原因は調査中
発表によると、同社は10月28日に不正アクセスを確認した。原因と影響範囲は、第三者のセキュリティ専門会社と調べている。不正アクセスの日時と手口は明らかにしていない。
同社は個人情報保護委員会へ報告済みで、被害の拡大を防ぐ対応を進めているとした。現時点で、本件に起因する不正利用や二次被害は確認されていないという。
300万人分に含まれる肌質と髪質
対象は次の情報だ。
- ユーザー ID、ニックネーム
- 氏名 (漢字・カナ)、性別、生年月日
- 郵便番号、住所、電話番号、メールアドレス
- 肌質、髪質
ユーザー ID は登録時に自動で振られる番号で、ログインには使わない。すでに退会した人も、不正アクセスの時点で会員だった場合は対象になる。
肌質や髪質は、それだけでは本人を特定しない。だが生年月日と住所と肌質が1件にそろった記録は、化粧品の購買に直結する属性つきの名簿になる。肌の悩みに合わせた商品の案内や、無料サンプルを名目にした連絡は、受け取る側にとって不自然に見えにくい。パスワードやカード番号が含まれなくても、この組み合わせは詐欺の文面を本人に合わせて作る材料になる。
正規の案内と偽の案内が重なる1週間
同社は対象者に、把握している連絡先を通じて順次個別に連絡し、11月6日 (金) に完了する予定だ。案内メールは「cosme.net」ドメインから送るため、迷惑メールの設定を確かめるよう求めた。同社からの案内メールで、パスワードやクレジットカード情報の入力を求めることはないとしている。なりすましのメール、SMS、電話にも注意を呼びかけた。
正規の案内が届く期間と、偽の案内が出回る期間は重なる。cosme.net 以外のドメインから届く「会員情報の確認」や、カード番号を尋ねる連絡は、同社の案内ではない。
同じ11月2日には、家電量販店のノジマも、通販サイト「ノジマオンライン」などの会員約700万件の漏えいを発表した。10月30日の無印良品の MUJI アプリ (最大約2,726万件)、31日のクラブツーリズム (約432万件) と合わせ、数百万件規模の会員情報の漏えいがこの4日間で4件重なった。
次に見るもの
確認先は、アイスタイルの企業サイトのお知らせだ。専門会社の調査を受けて、不正アクセスの日時と手口、確認から公表までの経緯が示されるかを見る。11月6日の個別連絡の完了も、同じ場所で報告されるかが次の目印になる。問い合わせの窓口は security-support@cosme.net (平日10時〜18時)。
ことば
- @cosme 共通 ID — 化粧品の口コミサイト @cosme のサービスを使うための会員 ID。今回は、登録した氏名や住所に加えて、肌質・髪質などのプロフィールも対象になった。
- 属性データ — 年齢、性別、肌質のように、人の特徴や好みを表す情報。それだけでは本人を特定しにくいが、氏名や住所と結びつくと、相手に合わせた勧誘や詐欺の材料になる。
- 送信ドメイン — メールアドレスの @ より後ろの部分で、送り主の組織を表す。正規の案内が使うドメインを知っておくと、似た名前の偽のアドレスと見分けやすい。
🔗 一次ソース