約300万人の会員情報が対象に
アイスタイルが運営する美容総合サイト「@cosme（アットコスメ）」で第三者による不正アクセスがあり、約300万人分の会員情報が漏えいしました。アイスタイルは2026年10月28日に漏えいを確認し、11月2日に公表しました。
対象は「@cosme共通ID」に登録された会員情報の一部です。氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレスのほか、ユーザーID、ニックネーム、性別、生年月日、肌質、髪質が含まれます。
ログイン時のパスワードとクレジットカード情報は漏えいした情報に含まれていないと、アイスタイルは確認しています。ユーザーIDは登録時に自動発行され、ログインには使われません。
対象者への連絡と調査
アイスタイルは、把握している連絡先を通じて対象者への個別連絡を進めています。11月6日までに完了する予定で、すでに退会した人も、不正アクセス時点で会員だった場合は対象です。
案内メールは「cosme.net」ドメインから送信されます。アイスタイルは、案内メールでパスワードやクレジットカード情報の入力を求めることはないとしています。
アイスタイルは被害拡大を防ぐ対応を進め、第三者のセキュリティ専門会社と原因および影響範囲を調査しています。個人情報保護委員会への報告は済んでおり、調査結果を踏まえて再発防止策を検討・実施する方針です。
漏えい情報を使った連絡への注意
アイスタイルは、漏えいした情報を悪用したなりすましメール、SMS、電話が届く可能性があると案内しています。11月2日時点で、今回の事案に起因する個人情報の不正利用や二次被害は確認されていないとしています。
氏名や連絡先は、本人を装った連絡に利用される可能性があります。個人情報を聞き出す手口にはフィッシングなどがあり、公開プロフィールがなりすましの情報源として使われる場合もあります。
集められた個人情報は、本人の名前を使った行動やオンラインアカウントの乗っ取りに悪用されることがあります。今回漏えいした情報には肌質や髪質も含まれており、アイスタイルは不審な連絡やURL、情報入力に注意するよう呼びかけています。
個人情報漏えい時の報告と通知
個人情報保護委員会は、個人の権利利益を害するおそれがある個人データの漏えいについて、事業者による委員会への報告と本人への通知が必要になると案内しています。要配慮個人情報を含む場合、不正目的の漏えい、財産的被害のおそれ、1,000人を超える漏えいなどを該当する事態として挙げています。
個人情報保護委員会は、漏えいを把握した事業者に速やかな報告を求め、報告の目安をおおむね3〜5日以内としています。本人への通知も状況に応じて速やかに行い、概要や対象となる個人データの項目、原因などを分かりやすく伝えるよう求めています。
アイスタイルは個人情報保護委員会への報告を済ませ、対象者への個別連絡を進めています。今後、新たに公表すべき事実が判明した場合は、同社サイトで知らせる方針です。
