アイスタイル ― 不正アクセスで「@cosme共通ID」の会員情報が漏えい

要点

アイスタイルは2026年10月28日（水）、@cosmeへの第三者による不正アクセスで、「@cosme共通ID」に登録された会員情報の一部が外部に漏えいしたことを確認し、11月2日に公表した（アイスタイルの発表）。
対象は約300万人。項目はユーザーID（自動発番でログインには使わないもの）、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質（同）。
ログイン時のパスワードとクレジットカード情報は含まれていないことを確認したとしている（同）。
不正アクセス時点で会員だった人は、すでに退会していても対象になる（同）。
対象者への個別連絡は「cosme.net」ドメインのメールで行い、11月6日（金）に完了する予定。案内メールでパスワードやカード情報の入力は求めない（同）。
個人情報保護委員会には報告済み。不正利用や二次被害は確認されていない（同）。

共通IDのように複数サービスの会員情報を1か所に集める仕組みは、1回の侵入で被害が全サービスの会員に及ぶ。ただし今回どこから入られたかは公表されていない（考察）。

概要

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

時期	出来事
2026-10-28（水）	不正アクセスによる会員情報の漏えいを確認（アイスタイルの発表）
11-02（月）	公表。個人情報保護委員会へは報告済み（同）
11-06（金）予定	対象者への個別連絡が完了する予定（同）

事実（アイスタイルの発表による）

項目	内容
対象	「@cosme共通ID」の会員情報の一部、約300万人（退会者を含む）
漏えいした情報	ユーザーID、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質
含まれない情報	ログイン時のパスワード、クレジットカード情報（現時点で確認）
二次被害	確認されていない
窓口	security-support@cosme.net

第三者のセキュリティ専門会社と原因・影響範囲を調査している（同）。
IT Postによると、@cosmeでは2026年9月にも従業員が使う外部ファイル転送サービスの設定ミスで会員1万997人分が閲覧可能になっていた事案が公表されている。今回の不正アクセスとは別の事案として報じられている（IT Post）。

考察

パスワードが含まれていないため、@cosme自体のアカウント乗っ取りの危険は相対的に小さい。一方、氏名・住所・生年月日に肌質・髪質まで揃っていると、化粧品の試供品や当選を装った、本人に合わせた詐欺の連絡を作りやすい。被害の中心はなりすまし連絡になると見ている（考察）。

発表は「確認日」の10月28日を示しているが、不正アクセスがいつ始まりいつ止まったかは書かれていない。退会者まで対象に含まれることから、保管期間中の退会者データも同じ場所に置かれていたことがわかる（考察）。

事実（既知の知見）

JPCERT/CCは2026年10月の注意喚起で、国内組織での不正アクセスが相次いでいるとして、外部公開システムの点検や、保存期間を過ぎたデータを残さないことなどを求めている（JPCERT/CC 注意喚起）。

考察

アイスタイルは侵入経路を明らかにしていない。共通IDの会員情報がまとめて取られたことから、個別ログインではなく会員基盤側の仕組みに到達された可能性はあるが、発表からは確認できない（考察）。