@cosmeに不正アクセス、会員情報 約300万人が漏えい 退会済みの人も対象、肌質・髪質まで含まれる

事案の概要データ

図解：この事故の構造

何が起きたのか

アイスタイルは2026年11月2日、化粧品の口コミサイト「@cosme」への不正アクセスにより、会員情報の一部が外部に漏えいしたと公表しました。

確認したのは2026年10月28日。「@cosmeへの第三者による不正アクセスにより、@cosme共通IDに登録されているお客様の会員情報の一部が外部に漏えいしたことを確認いたしました」としています。

対象は約300万人。 情報項目は、ユーザーID、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、そして肌質・髪質です。

ログイン時のパスワードとクレジットカード情報は、現時点では含まれていないことを確認したとしています。ユーザーIDについても「登録時に自動発番されるもので、ログイン時に利用されるものではありません」と注記されています。

原因と侵入経路は公表されていません。「現在は第三者のセキュリティ専門会社と原因および影響範囲の調査を進めております」という段階です。

「退会していても対象」——やめた人のデータは、どこへ行くのか

公表文の注記に、見落とせない一文があります。

「現在既に@cosmeを退会されたお客様であっても、不正アクセス時点で会員の方は対象となり」

つまり、すでにサービスをやめた人の情報も漏れています。

これは、本サイトが最近続けて扱っている論点と同じです。良品計画の「退会されたお客さまの情報を含みます」（最大約2,726万件）。株式会社Sallyの「以前Webサイトの制作に利用していたサービス」。佐川急便の「送り状データの保管期間に基づく」約100日間。

やめた人、やめたサービス、やめた運用のデータが、残っている。 2026年10月から11月にかけての大型事案に、共通して出てくる構図です。

退会者のデータが残る理由は、実はもっともな場合もあります。同じ人が再登録したときに重複を防ぐため。不正利用者の再登録を弾くため。会計上の記録として。 だから「全部すぐ消せ」とは言えません。

しかし、残すなら残す理由を決め、残す項目を絞ることはできます。

再登録の判定にメールアドレスのハッシュ値だけあれば足りるなら、住所も電話番号も肌質も残す必要はありません。会計記録として必要なのは取引の記録であって、美容の属性情報ではないはずです。

中小企業がいまできる確認は、1つの質問に集約できます。「退会した人／取引が終わった人のデータを、いつ、どこまで消していますか」。

多くの会社で、答えは「消していません」です。顧客管理ソフトの「退会済み」フラグが立っているだけで、中身はそのまま残っています。フラグは、削除ではありません。

肌質・髪質という情報の重さ

漏えい項目の最後にある肌質・髪質は、一見すると軽い情報に見えます。カード番号でもパスワードでもありません。

しかし、これはその人の体質に関する情報です。そして、美容サービスにおいては、その人が何に悩んでいるかを示します。敏感肌、乾燥肌、脂性肌、薄毛。

悪用の形は想像がつきます。狙いを定めた広告や勧誘です。「乾燥肌でお悩みの◯◯様へ」と名前つきで届くメールは、無差別のスパムよりはるかに開封されます。そして、美容や健康の分野は高額な商材のトラブルが多い分野でもあります。

氏名・住所・電話番号・生年月日・性別と組み合わされば、電話での勧誘に十分な材料がそろいます。

ここから中小企業が持ち帰るべきことは、「業種ごとに、重い項目は違う」という視点です。

一般論として重いのは、カード番号、口座番号、マイナンバー、パスワード。これは誰でも分かります。しかし、自社の業種で特に重い項目は、自社でしか判断できません。

美容なら肌質・髪質。医療・介護なら病名や服薬。士業なら相談内容。学習塾なら成績や進路。不動産なら年収や勤務先。人材なら前職や転職理由。保険なら既往歴。

どれも、漏れたときに「金銭被害はないが、知られたくない」情報です。そして、こうした情報は往々にして暗号化もアクセス制限もされず、普通のデータベースに入っています。

一度、自社のデータベースの項目を全部書き出して、こう問うてみてください。「この項目が漏れたら、お客様はいちばん何を嫌がるか」。 その答えになった項目が、自社で最優先に守るべきものです。

Cuenote FCとの関係は、公表文では結びつけられていない

この事案については、原因の切り分けを慎重に扱う必要があります。

アイスタイルは、今回の公表（11月2日）とは別に、10月23日にもう1つの公表を出しています。「【お知らせ】メール配信システム「Cuenote FC」への不正アクセスについて」です。

そこにはこう書かれています。「当社が一部のメール配信に利用している外部システム「Cuenote FC」(運営:ユミルリンク株式会社)において、不正アクセスにより個人情報が外部に持ち出されたことが、同社より公表されました」「当社の利用環境についても、同社から、不審な外部アクセスの形跡を検知したとの連絡を受けています」

一方、11月2日の公表文は、Cuenote FCにまったく言及していません。 書かれているのは「@cosmeへの第三者による不正アクセス」です。

つまり、この2つが同じ原因なのかどうかを、会社は公表していません。 「Cuenote経由で@cosmeに入られた」とも「別件である」とも書かれていない、という状態です。

報道の中には両者を結びつけて書いたものもありますが、公表文の原文では因果関係が示されていません。 本サイトは「原因が同じ事案は1本の記事にまとめる」という方針を取っていますが、本件については、公表文で原因が確定していないため独立した記事として扱います。 続報で経路が明らかになれば、記述を改めます。

ここから中小企業が学べることがあります。同じ時期に2つの事象が起きると、読む側は勝手に結びつけます。

もし自社が「委託先の事故」と「自社の事故」を近い時期に公表することになったら、関係があるのかないのかを、書いてください。 「現在調査中で、両者の関係は確認できていません」でも構いません。何も書かないと、読んだ人が推測で埋めます。

なお、アイスタイルは10月22日からCuenote FCの利用を順次停止しています。別のシステムからのメール配信は継続しているとのことです。事故が起きたサービスを一時的に切り離し、業務は別の手段で回すという判断は、参考になります。

時系列で見る経過

• 2026年10月21日ユミルリンクから、アイスタイルのCuenote FC利用環境について「不審な外部アクセスの形跡を検知した」との連絡を受ける
• 2026年10月22日Cuenote FCの利用を順次停止（別システムからのメール配信は継続）
• 2026年10月23日「【お知らせ】メール配信システム「Cuenote FC」への不正アクセスについて」を公表
• 2026年10月28日@cosmeへの第三者による不正アクセスにより、@cosme共通IDの会員情報の一部が外部に漏えいしたことを確認
• （確認後）被害の拡大防止に向けた対応を実施。第三者のセキュリティ専門会社と原因および影響範囲の調査を開始。個人情報保護委員会へ報告
• 2026年11月2日「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」を公表。対象 約300万人
• 2026年11月6日対象者への個別連絡の完了予定日

中小企業が学ぶべきポイント

1. 退会した人の情報も漏れる。「退会済み」フラグは削除ではない。
2. 退会者のデータを残すなら、残す理由を決め、残す項目を絞る。
3. 「退会した人／取引が終わった人のデータを、いつ、どこまで消しているか」を確認する。
4. 肌質・髪質は体質の情報であり、その人が何に悩んでいるかを示す。
5. 名前つきで悩みに合わせた勧誘は、無差別のスパムよりはるかに効いてしまう。
6. 一般的に重い項目（カード・口座・マイナンバー）とは別に、業種ごとに重い項目がある。
7. 自社のデータベースの項目を全部書き出し「漏れたらお客様がいちばん嫌がるのはどれか」と問う。
8. 同じ時期に2つの事象を公表するときは、関係があるのかないのかを書く。書かないと読む側が推測で埋める。
9. 事故が起きたサービスを一時的に切り離し、業務は別の手段で回すという判断がある。

出典・参考

• 不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（アイスタイル・2026年11月2日）
• 【お知らせ】メール配信システム「Cuenote FC」への不正アクセスについて（アイスタイル・2026年10月23日）
• 化粧品口コミ情報サイトで侵害 - 会員情報が流出（Security NEXT）