@cosme会員情報約300万人が漏えい対象項目とパスワード非対象を確かめる

資料で確認できること

@cosme共通ID約300万人の会員情報の一部が漏えい

アイスタイルは2026年11月2日、10月28日に@cosmeへの第三者による不正アクセスを確認し、@cosme共通IDに登録されている会員約300万人の情報の一部が外部へ漏えいしたと公表しました。対象人数は概数で、個別の対象項目が全員同じとは示されていません。

対象項目は、自動発番のユーザーID、ニックネーム、氏名、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質です。退会済みでも、不正アクセス時点で会員であり、方針に基づいて情報が保管されていた人は対象に含まれます。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて

当事者の説明

ユーザーIDはログイン用ではなく、パスワードとカード情報は対象外

会社は、対象のユーザーIDは登録時に自動発番されるもので、ログイン時に使うIDではないと説明しています。また、11月2日時点で、ログイン時のパスワードとクレジットカード情報は漏えいした情報に含まれていないことを確認したとしています。

対象者には、会社が把握する連絡先を通じて順次案内し、11月6日までの連絡完了を予定しています。案内メールはcosme.netドメインから送るとしており、会社からの案内でパスワードやカード情報の入力を求めることはないと注意しています。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて

当事者の説明

専門会社が原因と影響を調査し、専用窓口を案内

アイスタイルは被害拡大を防ぐ対応を進め、第三者のセキュリティ専門会社と原因・影響範囲を調査中です。個人情報保護委員会へ報告し、調査結果を踏まえて再発防止策を検討・実施すると説明しています。新しい事項は自社サイトで案内する方針です。

不審なメール、SMS、電話が届く可能性に注意し、心当たりのない連絡やURL、個人情報の入力を避けるよう呼び掛けています。専用窓口のメールアドレスと営業時間も公表されていますが、問い合わせ先は公式ページを自分で開いて照合してください。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて

未確認の点

侵入方法、個別の漏えい項目、正確な人数、二次被害は未確定

2026年11月3日の確認時点で、不正アクセスの開始日時と方法、攻撃者が情報を取得できた期間、約300万人の正確な人数、対象者ごとの漏えい項目、退会後の保管期間別の人数、漏えいデータが第三者へ渡った範囲は公表資料だけでは確定できません。

会社は発表時点で、本件に起因する個人情報の不正利用や二次被害は確認していないとしています。これは将来の被害がないという保証ではありません。一方、パスワードやカード情報も漏れたと断定することは、公式発表の範囲を超えます。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて

確認の範囲

このコラムの確認範囲

本稿は2026年11月3日に、アイスタイルの11月2日付発表とIPAの同日付相談窓口案内を確認しました。JBJはアイスタイル、利用者、調査会社、関係当局、攻撃者へ直接取材しておらず、サーバー、ログ、会員情報、通知、二次被害を独立に確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて
• 資料 02独立行政法人情報処理推進機構：不正アクセスによる個人情報漏えい等の被害にあわれた方の相談受付強化について

JBJの見解

美容情報の漏えいでは、項目の組み合わせによる影響も説明が必要

住所や連絡先に加え、性別、生年月日、肌質、髪質が組み合わさると、本人らしい内容を装った連絡に使われるおそれがあります。会社には、人数だけでなく、対象者ごとの項目、退会済み会員を含む理由、通知と調査の進捗を継続して示すことが求められます。

約300万人という規模は重大ですが、対象者全員の全項目が漏れた、すべての@cosmeサービスでカード情報が侵害されたと広げる根拠はありません。正当な批判と、利用者の美容上の悩みや属性を推測・暴露する投稿、従業員個人への攻撃を分ける必要があります。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて
• 資料 02独立行政法人情報処理推進機構：不正アクセスによる個人情報漏えい等の被害にあわれた方の相談受付強化について

JBJの見解

公式通知、登録情報、不審な連絡を一組で残す

利用者は、@cosme共通IDへの登録・退会状況、会社から届いた公式通知、登録していた連絡先、公式発表のURLと確認日時を整理してください。不審なメールやSMS、電話は、日時、送信元、URL、要求内容を保存し、記載先からではなく公式サイトを開いて照合します。

パスワードを他サービスで使い回している場合は、今回の対象外という説明とは別に、各サービスの公式画面から異なるパスワードへ変更し、多要素認証を確認します。被害や不安がある場合は、アイスタイルの専用窓口やIPAなどの公式相談先を利用できます。

• 資料 01株式会社アイスタイル：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて
• 資料 02独立行政法人情報処理推進機構：不正アクセスによる個人情報漏えい等の被害にあわれた方の相談受付強化について