@cosme共通IDの会員情報約300万人分が漏えい——退会済みでも当時の会員は対象になり得る。案内メールの送信元は「cosme.net」で完了予定は11月6日

2026年11月4日

化粧品のボトルが棚に並んでいる様子。@cosme共通IDの会員情報が漏えいした可能性があるとの発表を伝える記事のイメージ画像

この記事のポイント

いつ：アイスタイルが不正アクセスによる漏えいを確認したのは10月28日で、11月2日に発表しています。
対象：@cosme共通IDに登録された会員情報の一部で、約300万人が対象と発表されています。不正アクセス時点で会員だった人は、すでに退会していても含まれ得ます。
漏えいした可能性のある項目：氏名、住所、電話番号、メールアドレス、生年月日に加え、肌質・髪質などです。ログイン用パスワードとクレジットカード情報は、現時点では含まれていないと説明されています。
連絡の届き方：把握している連絡先を通じて対象者へ順次個別に連絡する予定で、完了は11月6日です。案内メールの送信元は「cosme.net」ドメインとされています。
読者がすること：迷う連絡は、メールのリンクを開かず公式のお知らせで確かめます。退会した人は、11月6日を過ぎても連絡がなければ窓口へ照会します。
現状：同社が把握する範囲では、不正利用や二次被害は11月2日時点で確認されていません。

退会していても、不正アクセス時点で会員だった人は対象になり得る

アイスタイルは11月2日、@cosmeへの第三者による不正アクセスで「@cosme共通ID」に登録された会員情報の一部が外部に漏えいしたと、公式のお知らせで発表しています。同社は対象を約300万人としています。漏えいを確認したのは10月28日で、公表まで5日あいています（ITmedia）。

線引きは、今の会員かどうかではなく当時の登録

すでに@cosmeを退会した人でも、不正アクセス時点で会員だった場合は対象になり得ると、Yahoo!ニュース掲載の記事が伝えています。目安は「今も会員か」ではなく「当時登録していたか」です。

退会・解約した人も対象だったSo-net・plala(Sコース)の漏えいの記事も、元会員がどう扱われるかを考える参考になります。

退会した人が、自分で対象かを確かめるには

退会していると、案内が届かない、あるいは届いても気づきにくいことがあります。以下は読者が取れる行動の整理で、公式がこの手順を案内しているわけではありません。

当時の登録メールアドレスの受信箱と、迷惑メールフォルダを確認します。連絡手段がメールだけだという説明は見当たらないため、メール以外で届く連絡も見落とさないようにします。
当時のアドレスがもう使えない人や、完了予定の11月6日を過ぎても連絡がなく対象かどうか判断できない人は、報道が伝えている問い合わせ窓口に照会します。窓口は次の章にまとめました。

案内メールの送信元は「cosme.net」、完了予定は11月6日——ただし送信元だけでは本物と決められない

アイスタイルは、対象者へ把握している連絡先を通じて順次個別に連絡し、完了は11月6日の予定としています。届いた連絡が本物かどうかは、送信元と、求められる内容の両方で見ます。

案内メールの条件は、送信元と「求められないもの」

案内メールは「cosme.net」ドメインから送られると説明されています（ITmedia）。パスワードやクレジットカード情報の入力を求めることはないとも、@cosme公式お知らせで案内されています。

ここまでが、公式の案内として伝えられている内容です。一般的な注意として、表示上の送信元は偽装できるため、「cosme.netから来ているから本物」とは言い切れません。入力を求める連絡は公式の案内とは別物として扱い、応じないでください。

決め手は、メールのリンクを辿らず公式ページで確かめること

判断に迷う連絡は、本文中のリンクを辿らず、アイスタイルの公式お知らせや@cosme公式お知らせを自分で開いて照らし合わせます。送信元の確認より、この行動のほうが優先です。

11月6日を過ぎても連絡がない人、来たか判別できない人の行き先

問い合わせ窓口はメール受付で、security-support@cosme.net（10:00〜18:00、土・日・祝日を除く）と流通ニュースが伝えています。@cosmeの各種問い合わせフォームから連絡した場合も、この窓口から返信することがあるとしています。

これは報道が伝えている内容であり、本記事では公式ページの記載を確認できていません。利用する前に、アイスタイルの公式お知らせの記載と照らしてください。

漏れた可能性があるのは氏名から肌質・髪質まで。パスワードとカード情報は現時点では含まれないと説明

漏えいした可能性がある項目は次のとおりです。列挙はYahoo!ニュース掲載の記事に依拠しており、公式の正確な語や順序とは異なる場合があります。

区分	項目
識別情報	ユーザーID（登録時に自動発番される番号。ログインには使わない）、ニックネーム
連絡先	氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス
属性	性別、生年月日、肌質、髪質
含まれていないと説明	ログイン時のパスワード、クレジットカード情報（現時点）

317万6,375件が氏名と住所の組み合わせだったカーセンサーnet・C-MATCHの件と並べる

他社の事案と並べて見たい人は、カーセンサーnet・C-MATCHの件の記事が参考になります。こちらは317万6,375件が氏名と住所の組み合わせだった事案です。今回は氏名・住所に加え、性別や生年月日、肌質・髪質まで同じ会員情報に並んでいます。

住所・電話番号が含まれる可能性があるため、身に覚えのない連絡は一度止めて確かめる

優先するのは、パスワードやカードの変更より、身に覚えのない連絡への警戒です。ログイン用パスワードとカード情報は現時点では含まれていないと説明されています。公式が「変更は不要」と述べたわけではないため、続報で説明が変われば見直してください。

今回の項目には、住所と電話番号も入っている可能性があります。不審な電話は一度切り、公式サイトに載っている連絡先を自分で調べ直してかけ直してください。SMSや郵送で届いた連絡も、記載された番号やURLは使わず、同じ方法で確かめます。

なお、同社が把握する範囲では、不正利用や二次被害は11月2日時点で確認されていません。

セキュリティ対策Labが挙げた、肌質・髪質という属性情報への懸念

セキュリティ系メディアのセキュリティ対策Labは、肌質・髪質といった属性情報が含まれる点を取り上げ、注意を促しています。これは公式が確認した事実ではなく、報道側の指摘です。公式の確認事項と分けて受け取ってください。

続報で見るのは、侵入の手口と再発防止策

アイスタイルは、原因と影響範囲を第三者のセキュリティ専門会社と共同で調べており、個人情報保護委員会には報告済みです。調査結果を踏まえて再発防止策を検討・実施するとしています。侵入の手口と経路は、現時点で公表されていません。

続報で確かめたいのは、手口と経路が公表されるか、再発防止策の中身、そして対象の人数や項目の記載に更新があるかの3点です。

なお、同社は9月16日にも、外部ファイル転送サービスの設定不備による個人情報漏えいの可能性（10,997人・メールアドレス等）を9月16日付の公式お知らせで公表しています。これは別件で、今回の不正アクセスと同じ原因とする発表は確認できていません。

まとめ

アイスタイルは約300万人が対象と発表しており、不正アクセス時点で@cosme共通IDの会員だった人は退会済みでも含まれ得ます。氏名や住所に加えて肌質・髪質まで含まれる可能性がある一方、ログイン用パスワードとカード情報は現時点では含まれていないと説明しています。

対象者への連絡は11月6日までに順次進む予定です。送信元が「cosme.net」でも、それだけでは本物と言い切れないため、迷ったらメールのリンクではなく公式のお知らせで確かめてください。退会した人は、当時のアドレスが使えない場合や11月6日を過ぎても判断できない場合に、窓口へ照会します。侵入の手口と再発防止策は調査中のため、続報を待つことになります。