アイスタイルの@cosmeに不正アクセス｜会員約300万人の情報が漏えい

化粧品の口コミサイト「@cosme」を運営するアイスタイル（東証プライム）は2026年11月2日、@cosme が第三者の不正アクセスを受け、会員の個人情報が漏えいしたと公表しました（アイスタイルの発表）。 対象は約300万人で、不正アクセスの時点で会員だった、いまは退会した人も含みます。 @cosme の会員と、口コミや EC の会員の情報を預かっている会社に関係します。

公表された内容

• 確認：2026年10月28日に漏えいを確認したとしています
• 件数：約300万人（2026年11月2日の発表）
• 情報の種類：ユーザー ID・ニックネーム・氏名（漢字・カナ）・郵便番号・住所・電話番号・メールアドレス・性別・生年月日・肌質・髪質
• 含まれないもの：パスワードとクレジットカードの情報は含まないとしています
• 原因・経路：公表されていません。外部のセキュリティの専門会社と調べている途中です
• 二次被害：不正利用は確認されていないとしています

経緯

• 2026年10月23日：メール配信システム「Cuenote FC」（ユミルリンク）への不正アクセスで、同社のデータが持ち出されたと公表（件数は書かれていません。アイスタイルの発表）
• 2026年10月28日：@cosme の会員の情報の漏えいを確認
• 2026年11月2日：@cosme への不正アクセスと約300万人の漏えいを公表。10月23日の件との関係は、この発表には書かれていません

会社の対応

• 外部のセキュリティの専門会社と調査
• 個人情報保護委員会に報告
• 対象の人への個別の連絡を、11月6日までに終える予定としています
• 再発防止策は、調査の結果をふまえて決めるとしています

中小企業が今日からできること

• 会員の名簿に何を持っているかを書き出す：肌質・好みなど、サービスのために集めた項目も漏えいの対象になる。要らない項目は集めない・消す
• 退会者の情報を消す決まりを作る：退会した人の情報をいつ消すかを決め、実際に消えているかを確かめる
• 委託先の事故と自社の事故を分けて追う：メール配信など委託先からの連絡と、自社のサイトの異常を、それぞれ誰が調べるかを決めておく
• 口コミ・会員サイトの管理画面を守る：管理者のアカウントに多要素認証をかけ、使っていないアカウントを消す
• 社員に知らせる：@cosme の会員の社員がいれば、同社をかたるメールのリンクを開かないよう呼びかける