@cosme会員約300万人分の情報が漏えい、不正アクセスで【2026年11月】

2026年11月2日、@cosme（アットコスメ）を運営するアイスタイルは、@cosmeへの第三者による不正アクセスで、会員約300万人分の情報が外部に漏えいしたと発表しました。対象は「@cosme共通ID」に登録された会員情報の一部で、名前・住所・電話番号・メールアドレス・生年月日などが含まれます。

不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて

一方で、ログイン時のパスワードとクレジットカード情報は含まれていないことを確認したとしています。対象の会員には11月6日（金）までに順次個別の連絡が届く予定です。@cosmeの会員にとっては、公式からの連絡を待ちつつ、便乗したなりすましの連絡に注意する段階という位置づけです。

@cosmeの情報漏えいとは？一言でまとめると

一言でいうと、@cosmeが外部から不正にアクセスされ、@cosme共通IDの会員約300万人分の個人情報が外部に漏れたという発表です。

アイスタイルが11月2日に公表した内容は、次のとおりです。

誰が、どのように不正アクセスしたのかは公表されていません。この記事も、アイスタイルの公式発表にある事実だけをもとにまとめています。

漏えいした情報：住所・電話番号・生年月日・肌質まで

漏えいの対象になったのは、@cosme共通IDに登録された次の11項目です。

ユーザーIDは、登録時に自動で割り振られる番号で、ログインには使われないと説明されています。

連絡先と生年月日がそろって漏れているため、本人あての郵便・電話・メールを装った連絡に使われやすい組み合わせです。@cosmeらしい項目として、肌質・髪質も対象に入っています。

ログイン時のパスワードとクレジットカード情報は、現時点では含まれていないことを確認したとしています。

退会した人も対象になる

すでに@cosmeを退会した人も、不正アクセスの時点で会員だった場合は対象です。

アイスタイルは、@cosmeのプライバシーポリシーにもとづいて退会後も一定期間保管している情報をもとに連絡するとしています。「もう使っていないから関係ない」とは言い切れないので、以前登録していた人も連絡を確かめておくと安心です。

公式発表の経緯と今後の予定

公式発表に書かれている日付を時系列に並べます。

対象者が多いため、全員への連絡が終わるまでに一定の期間がかかるとしています。案内メールは「cosme.net」ドメインから送られます。

11月2日時点のアイスタイルのニュース一覧では、本件の続報はまだ出ていません。新たに知らせることが分かれば、同社サイトで案内するとしています。

まだ分かっていないこと

11月2日の発表で、調査中のこと、書かれていないことを整理します。

不正アクセスがいつ行われたのか、どこから入られたのかは、まだ示されていません。発表にあるのは「10月28日に漏えいを確認した」という日付です。

@cosmeのサービスを止めたかどうかも、発表には書かれていません。調査結果と再発防止策は、今後の続報で示される見込みです。

10月23日の「Cuenote FC」のお知らせとは別の発表

アイスタイルは10月23日にも、メール配信システム「Cuenote FC」への不正アクセスについてお知らせを出しています。

これは、一部のメール配信に使っている外部のシステム（ユミルリンク株式会社が運営）の件です。アイスタイルの利用環境にも不審な外部アクセスの形跡があったとの連絡を受け、10月22日から同システムの利用を順次停止したとしていました。

11月2日の発表は、この件との関係には触れていません。今回の漏えいの原因として結びつける情報は公式には出ていないので、別々のお知らせとして見るのが正確です。

@cosme会員がやること

アイスタイルの案内と、こうした発表のあとの一般的な注意を分けて整理します。

① 「cosme.net」からの連絡を受け取れるようにする

対象の会員には、11月6日（金）までに個別の連絡が届く予定です。案内メールは「cosme.net」ドメインから送られます。

アイスタイルは、cosme.net ドメインのメールを受信できるよう、迷惑メールの設定を確かめてほしいとしています。

② なりすましのメール・SMS・電話に注意する

アイスタイルは、本件に関連してなりすましのメール・SMS・電話が届く可能性があると注意を呼びかけています。

心当たりのない連絡、不審なURLへのアクセス、パスワードや個人情報の入力には十分注意してほしいとしています。同社の案内メールで、パスワードやクレジットカード情報の入力を求めることはありません。

③ 不安なことは専用の窓口へ

本件の問い合わせ窓口は、次のとおりです。

問い合わせの状況によっては、返信に時間がかかる場合があるとしています。届いたメールやSMSの連絡先ではなく、公式のお知らせに載っている窓口を使うようにしましょう。

④ 同じパスワードを使い回していないか見直す

これはアイスタイルの案内ではなく、一般的な注意です。今回の発表ではパスワードは漏えいの対象に含まれていません。それでも、メールアドレスが漏れた以上、偽のログイン画面に誘導する連絡が増えることは考えられます。

ほかのサービスと同じパスワードを使い回している場合は、この機会に見直しておくと安心です。漏えいの連絡を受けたときの一般的な対処は、IPA の案内を紹介した記事にまとめています。

あわせて読みたい

免許証画像が漏えいしたら？IPAが対処法を公開【2026年10月】

IT Picks的な所感

今回の発表は、漏えいした項目を一つずつ挙げ、パスワードとカード情報が含まれないことを明記した点が分かりやすいと思います。退会した人も対象になることや、連絡が届くドメインと完了予定日まで書かれており、会員が自分ごととして判断しやすい内容です。

一方で、住所・電話番号・生年月日がそろって漏れたことは軽くありません。@cosmeは化粧品のクチコミや購入に使われるサービスで、「@cosme」や化粧品ブランドを名乗った連絡は受け取る側も信じやすいはずです。原因と再発防止策を含めた続報を待ちたいところです。

10月から11月にかけて、国内のサービスで不正アクセスの発表が相次いでいます。11月1日にはスマートニュースも不正アクセスを発表しました。

あわせて読みたい

スマートニュース不正アクセス、ポイント交換は停止続く【2026年11月】

旅行会社のクラブツーリズムでも、会員情報の漏えいの可能性が発表されています。

あわせて読みたい

クラブツーリズムに不正アクセス、会員情報約432万件漏えいか【2026年10月】

まとめ

@cosmeの会員情報漏えいのポイントをまとめます。

• 発表日：2026年11月2日（アイスタイル・@cosme）
• 漏えいを確認した日：2026年10月28日（水）
• 原因：@cosmeへの第三者による不正アクセス（詳しい原因は調査中）
• 対象：@cosme共通IDの会員 約300万人（不正アクセス時点の会員なら退会者も対象）
• 漏えいした情報：ユーザーID、ニックネーム、名前、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質
• 含まれていない情報：ログイン時のパスワード、クレジットカード情報（現時点）
• 個別の連絡：cosme.net ドメインから順次、11月6日（金）に完了予定
• 問い合わせ：security-support@cosme.net（10:00〜18:00、土日祝を除く）
• 会員がやること：cosme.net のメールを受信できるようにする、なりすましの連絡に注意、パスワードの使い回しを見直す

@cosmeを使っている人、以前使っていた人は、cosme.net からの連絡を受け取れるようにして、なりすましの連絡には応じないようにしましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。