アイスタイルの「@cosme」への不正アクセス（会員情報約300万人分漏えい）
公表日
アイスタイルが運営する「@cosme」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、登録会員約300万人分の個人情報が漏えいしました。
対象者は？
「@cosme共通ID」に登録されていた会員約300万人（不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。発生時点で会員だった退会者も含む）。漏えい情報には氏名、住所、電話番号、メールアドレス、生年月日、肌質、髪質などが含まれます。なお、パスワードおよびクレジットカード情報は漏えい対象に含まれていません。
アイスタイルから「cosme.net」ドメインより順次個別に案内メールが送信されます（2026年11月6日完了予定）。また、専用窓口（security-support@cosme.net）への問い合わせも可能です。
いますぐできること
- 漏えいした氏名や電話番号、メールアドレスを悪用した不審な連絡やフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に警戒してください。
- アイスタイルを名乗る不審なメールが届いた場合は、送信元アドレスが「cosme.net」ドメインであるか確認し、安易にリンクを開かないよう注意してください。
何が起きたのか
美容情報サイト「@cosme」を運営するアイスタイルは、2026年10月28日に第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認し、会員約300万人分の個人情報が外部に漏えいしたことを確認しました。漏えいしたデータには連絡先や住所に加え、肌質や髪質といった属性情報も含まれていましたが、ログインパスワードやクレジットカード情報は含まれていないことが確認されています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の具体的な手口や侵入経路については、現時点で公表されておらず調査中です。
いまの状況2026-11-02 時点続報待ち
アイスタイルは被害拡大防止の措置を講じるとともに、外部の専門会社と原因や影響範囲の調査を進めています。また、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。を行い、対象者約300万人に対する個別連絡を順次実施しています。現時点で不正利用や二次被害は確認されていません。
企業として考えたいこと
自社の会員管理システムにおいて、退会者のデータが適切に消去されず長期間保管されたままになっていませんか？
技術的な要約
株式会社アイスタイルは2026年10月28日、運営する美容総合サイト「@cosme」への第三者による不正アクセスにより、「@cosme共通ID」に登録された会員情報の一部が外部に漏えいしたことを確認した。同社は2026年11月2日に事案を公表し、漏えい対象は約300万人分に上ると発表した。漏えいした情報には氏名、住所、電話番号、メールアドレスのほか、肌質や髪質などの属性情報が含まれている。一方、ログインパスワードおよびクレジットカード情報は漏えい対象に含まれていないことを確認している。同社は被害拡大防止策を講じるとともに、第三者セキュリティ専門会社と原因や影響範囲の調査を進めており、個人情報保護委員会への報告と対象者への個別連絡を実施している。
攻撃の分類
- 侵入口
- 不明不正アクセスの手口や侵入経路は現時点で公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 本件不正アクセスに伴うサービス停止は公表されていない。なお、10月18日から20日にかけて外部メール配信システム「Cuenote FC」の停止が発生していた。
- データ
- 確定上限 3,000,000確定 3,000,000人会員ID氏名住所電話メール性別生年月日その他対象は約300万人。「@cosme共通ID」に登録された会員情報の一部（ユーザーID、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質）。不正アクセス時点で会員だった退会者も含まれる。ユーザーIDは登録時自動発番でログイン用ではない。パスワードおよびクレジットカード情報は含まれていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 外部メール配信システム「Cuenote FC」への不正アクセスに関して10月23日に公表を行っているが、11月2日公表の会員情報漏えい事案との因果関係は明らかにされていない。
時系列
- 2026-09-02ファイル転送サービスの公開設定不備により、@cosme会員情報が約20分間閲覧可能になる事象が発生4
- 2026-09-16アイスタイルがファイル転送サービスの公開設定不備について公表4
- 2026-10-18ユミルリンク社の対応により、アイスタイルが利用するメール配信システム「Cuenote FC」が停止（10月20日まで）6
- 2026-10-21システム復旧後、アイスタイルの利用環境で不審な外部アクセスの形跡を検知したとの連絡をユミルリンク社より受領6
- 2026-10-22アイスタイルが「Cuenote FC」の利用を順次停止6
- 2026-10-23
- 2026-10-28
- 2026-11-02
- 2026-11-06
技術解説
不正アクセスの検知と漏えい情報の範囲 事実
株式会社アイスタイルは2026年10月28日、運営する美容総合サイト「@cosme」への第三者による不正アクセスにより、「@cosme共通ID」に登録された会員情報の一部が外部に漏えいしたことを確認し、同年11月2日に公表した。漏えい対象は約300万人分におよび、対象データには氏名、ニックネーム、住所、電話番号、メールアドレス、性別、生年月日のほか、美容サービス特有の情報である肌質や髪質、登録時に自動発番されるユーザーIDが含まれている。また、不正アクセス発生時点で会員だった退会者も対象に含まれている。一方で、ログインパスワードおよびクレジットカード情報は対象に含まれていないことが確認されており、公表時点で本件に起因する不正利用や二次被害は確認されていない。
直近に発生していた他事案との関係性と侵入経路 解釈
アイスタイルは本件発覚前の2026年9月にファイル転送サービスの公開設定不備による会員情報の閲覧可能事案（約20分間）を公表していたほか、同年10月23日には外部メール配信システム「Cuenote FC」への不正アクセスに伴い自社利用環境で不審アクセスの形跡を検知した旨を公表していた。しかし、11月2日時点の公表では、今回の約300万人分の漏えいをもたらした不正アクセスの具体的な手口や侵入経路は公表されておらず、直前の外部メール配信サービス侵害事案等との因果関係も明らかにされていない。侵入経路がWebアプリケーションの脆弱性なのか、認証情報の悪用なのか、あるいはサプライチェーン関連なのかは今後の調査報告を待つ必要がある。
初動対応と利用者向け周知の評価 解釈
事案確認から公表まで5日間を要しているが、対象規模が約300万人と極めて大規模であることを考慮すると、漏えい範囲の特定や対象者リストの抽出、個人情報保護委員会への報告準備などを迅速に進めた対応と評価できる。また、対象者に対してcosme.netドメインから個別通知を行い、専用問い合わせ窓口を設けるとともに、漏えい情報を悪用したなりすまし連絡（フィッシング詐欺等）への注意喚起を行っている点も適切である。特にパスワードやクレジットカード情報が含まれていないことを早い段階で明確にしたことは、利用者の過度な混乱を防ぐ上で効果的であったと考えられる。
対応
- 封じ込め
- 不正アクセスの事実確認後、速やかに被害の拡大防止に向けた対応を実施し、第三者のセキュリティ専門会社とともに原因および影響範囲の調査を進めている。
- 公表の仕方
- 2026年11月2日に公式サイトで公表。対象者に対して把握している連絡先へcosme.netドメインから順次個別通知を実施（11月6日完了予定）。専用の問い合わせ窓口（メール）を開設し、なりすまし連絡への注意を呼びかけた。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 退会者データを含む個人情報の保管期間と保持ポリシーの最小化 | 退会済みユーザーの個人情報について、法的な保持義務期間やプライバシーポリシーで定めた保管期間を厳格に順守し、不要となった個人情報は速やかに論理削除または物理削除・匿名化を行うライフサイクル管理を自動化する。 |
| 大規模データストアに対する異常抽出・大量取得の検知機構 | 会員データベースや顧客管理APIにおいて、通常の業務閾値を超える大量データのエクスポートや頻繁なデータ取得リクエストを即座に検知・自動遮断する監視ルールおよびレートリミットを導入する。 |
| 機微属性情報（肌質・髪質等）を保護するためのアクセス制御とデータ分離 | 基本プロファイル（氏名・連絡先等）とパーソナルな属性データ（健康・嗜好・身体特徴等）の保存場所やテーブルを分離し、属性情報へのアクセス権限を最小権限の原則に基づいて制限する。 |
| 外部SaaSおよび連携システム侵害時の迅速な影響切り分け | 利用中の外部サービスや委託先でセキュリティインシデントが発生した際に、自社環境への侵入や認証情報の奪取、APIトークンの不正利用がないかを迅速にフォレンジック調査できるよう、接続ログや認可ログを中央集約して監査可能な状態を維持する。 |
自組織などでの確認項目
- 自社のサービスにおいて、退会済みユーザーの個人データが削除されずに残り続けていないか、データ保持期限と削除プロセスが実効性を持って機能しているか。
- 顧客データベースや基幹APIから一度に大量のデータが照会・出力された場合、SIEMや監視ツールでアラートが上がり即時遮断できる構成になっているか。
- 自社が利用するメール配信システムなどの外部SaaSが不正アクセスを受けた際、自社環境への侵入形跡やデータ漏えいの有無を迅速に追跡・調査できるログが取得・保存されているか。
未解明点
- 攻撃者が約300万人分の会員情報を取得した具体的な侵入経路および手口（脆弱性の悪用、管理権限奪取、認証情報流用など）は何だったのか。
- 2026年10月中旬に検知された外部メール配信システム「Cuenote FC」の侵害・不審アクセスと、本件約300万人分の情報漏えいとの間に直接的または間接的な因果関係はあったのか。
出典
- 1株式会社アクト2026-11-02研究者本文確認済
- 2ITmedia NEWS2026-11-02報道本文確認済
- 3NHKニュース2026-11-02報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-11-02報道本文確認済
- 5RTB SQUARE2026-11-02報道本文確認済
- 6株式会社アイスタイル2026-10-23公式本文確認済
- 7株式会社アイスタイル2026-11-02公式本文確認済
- 8流通ニュース2026-11-02報道本文確認済