【約300万人】@cosmeに不正アクセス、会員の住所・電話番号・肌質などが漏えい｜パスワード・カード情報は対象外

化粧品の口コミサイト「@cosme」を運営するアイスタイルは2026年11月2日、第三者による不正アクセスで、「@cosme共通ID」の会員情報の一部が外部に漏えいしたと公表しました。対象は約300万人で、名前・住所・電話番号・メールアドレスのほか、肌質や髪質も含まれます。

現時点で、ログイン時のパスワードとクレジットカード情報は含まれていないことを確認しているとしています。対象者には、11月6日（金）までに順次、個別に連絡する予定です。

漏えいしたのは約300万人分、肌質・髪質も含む
10月28日に確認、原因は調査中
案内メールは「cosme.net」ドメインから届く
問い合わせ先
まとめ

漏えいしたのは約300万人分、肌質・髪質も含む

項目	内容
対象	「@cosme共通ID」に登録している会員
人数	約300万人
漏えいした情報	ユーザーID、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質
含まれない情報	ログイン時のパスワード、クレジットカード情報（現時点で確認済み）
二次被害	不正利用や二次被害は確認されていない

ユーザーIDは登録時に自動で割り振られるもので、ログインには使われません。すでに退会した人でも、不正アクセスの時点で会員だった人は対象になります。プライバシーポリシーに基づいて退会後も一定期間保管している情報をもとに連絡するとしています。

10月28日に確認、原因は調査中

アイスタイルは2026年10月28日（水）に、不正アクセスによる漏えいを確認しました。被害の拡大を防ぐ対応を進め、現在は第三者のセキュリティ専門会社と原因や影響範囲を調べています。個人情報保護委員会にはすでに報告しました。侵入の経路や時期は、公表されていません。

案内メールは「cosme.net」ドメインから届く

対象者が多いため、個別の連絡が終わるのは11月6日（金）の予定です。案内メールは「cosme.net」ドメインから送信されます。アイスタイルは、案内メールでパスワードやクレジットカード情報などの入力を求めることはないとしています。

本件に関連して、なりすましのメール・SMS・電話が届くおそれもあります。心当たりのない連絡や不審なURLを開かず、パスワードや個人情報を入力しないよう呼びかけています。

ここからは公式発表には書かれていない、筆者の見解です。漏えいした情報には、名前や住所に加えて肌質・髪質まで含まれます。これらを使えば、「あなたの肌質に合ったサンプルを無料でお届け」といった、本人に合わせたもっともらしい勧誘も作れます。本物の案内でも送信元の表示は偽装できるため、ドメインだけで判断せず、メールのリンクからは入力しないことをおすすめします。@cosmeと同じパスワードをほかのサービスで使っている場合も、念のため変えておくと安心です。