化粧品の口コミ情報サイト「＠cosme」が第三者による不正アクセスを受け、会員の個人情報が流出した。運営するアイスタイルが11月2日に発表した。「＠cosme共通ID」に登録された会員情報の一部が外部に漏えいしたことを、2026年10月28日に確認したという。
事案の詳細
アイスタイルによれば、今回の事案は「＠cosme」の侵害により発生し、「＠cosme共通ID」に登録されている会員情報の一部が流出したもの。流出の確認日は2026年10月28日。
対象は約300万人。不正アクセスの時点で会員だった人は、すでに退会していても対象になる。流出したのは、ユーザーID、ニックネーム、氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質。ユーザーIDは登録時に自動で振られるもので、ログインには使われない。現時点では、ログイン用のパスワードとクレジットカード情報は含まれていないことを確認したとしている。
なおアイスタイルは、これとは別に10月23日、メール配信に使っているユミルリンクの「Cuenote FC」で侵害の形跡が検知されたとの報告を受けたことも公表している。11月2日の発表では、今回の流出とこの件との関係には触れておらず、原因は第三者のセキュリティ専門会社と調査中としている。
影響と背景
11月2日時点で、個人情報の不正利用や二次被害は確認されていない。アイスタイルは個人情報保護委員会へ報告済み。対象者には個別に連絡し、11月6日に完了する予定。案内メールは「cosme.net」ドメインから送り、メールでパスワードやクレジットカード情報の入力を求めることはないとして、なりすましのメールやSMS、電話に注意するよう呼び掛けている。問い合わせ窓口は security-support@cosme.net（平日10時〜18時）。
対策・今後の展望
アイスタイルは、対象となる会員への連絡と、第三者の専門会社と協力した原因・影響範囲の調査を続ける方針を示している。
個人情報を扱う会員制サービスでは、ID基盤や周辺の業務システム（メール配信など）を含めた運用全体が攻撃対象になりやすい。侵害の発生時は、どの情報がどの範囲で影響を受けたかを切り分け、関係者への連絡と調査を並行して進めることが重要になる。
例えるなら、会員情報は「住所録が入った金庫」で、IDやメール配信の仕組みは「金庫の鍵や運搬ルート」に当たる。サービス本体だけでなく周辺の仕組みに弱点や侵害の痕跡があると、本人確認に使われる情報までまとめて外へ出る可能性がある。
中小企業は、まず自社が利用している会員管理やメール配信などの外部サービスを棚卸しし、連絡窓口と障害・侵害時の通知手順を確認する。次に、扱っている個人情報の項目を整理し、漏えい時に連絡すべき対象と優先順位を担当者に共有する。最後に、委託先から侵害の連絡を受けた場合の社内判断フローを決めておく。
参照: アイスタイル「＠cosmeへの不正アクセスによる個人情報漏えいに関するお知らせ」（2026年11月2日）／化粧品口コミ情報サイトで侵害 – 会員情報が流出