@cosme会員約300万人の情報が漏えい、氏名・住所・生年月日・肌質まで退会者も対象 — 会員サービスを持つ企業が見直す「残す情報」
アイスタイルは2026年11月2日、化粧品の口コミサイト「@cosme」が第三者の不正アクセスを受け、会員約300万人の情報が漏えいしたと公表した。不正アクセスを確認したのは10月28日。漏えいしたのは氏名、住所、電話番号、メールアドレス、生年月日に加え、肌質や髪質といった会員が登録した情報で、すでに退会した人も含まれる。ログイン用のパスワードとクレジットカード情報は含まれていない。会員サービスを運営する企業にとって、パスワードやカード番号を持たない設計でも、何を何年残しているかが被害の大きさを決めることを示す事例である。
背景
アイスタイルの公表によると、漏えいした項目は次のとおりである。
- ユーザーID（登録時に自動で割り振られる番号で、ログインには使わない）、ニックネーム
- 氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス
- 性別、生年月日、肌質、髪質
不正アクセスの時点で会員だった人は、その後に退会していても対象になる。アイスタイルはプライバシーポリシーに基づいて退会後も一定期間情報を保管しており、その情報を使って対象者へ連絡するとしている。
侵入の経路と原因は公表されておらず、外部のセキュリティ専門会社と調査を進めている。個人情報保護委員会へは報告済みである。対象者への個別の連絡は、送信元が「cosme.net」のメールで順次行い、11月6日に終える予定としている。公表の時点で、今回の件による不正利用や二次被害は確認されていない。
リスクの全体像
パスワードが漏れていなければ、すぐにアカウントを乗っ取られる心配は小さい。それでも被害が軽いとは言えない。氏名、住所、電話番号、生年月日がそろうと、本人になりすまして各種の手続きを試みる材料になる。
肌質や髪質のような情報は、詐欺の連絡を本物らしく見せる材料になる。「乾燥肌のあなたにおすすめのサンプルを届けます」と名前入りで届けば、受け取った人は登録先からの連絡だと思い込みやすい。実際の会員サービスから漏れた情報を使うフィッシング詐欺は、一般的な迷惑メールより見破りにくい。
もう一つの論点は、退会者の情報である。退会した人は、自分の情報がまだ残っているとは考えていない。保管には連絡や法令対応のための理由があるとしても、保管期間が長いほど、事故が起きたときに対象となる人数は増える。
チェックリスト
会員登録やメルマガ登録を受け付けている企業は、次の点を確かめる。
- 会員情報として何を登録させているかを一覧にしているか。サービスに使っていない項目を集めていないか
- 退会した会員の情報を、いつまで、何のために残しているかを決めているか。期限を過ぎた情報を実際に消しているか
- 会員の情報を見られる社員や委託先のアカウントを把握し、不要なものを止めているか
- 大量の会員情報が一度に取り出されたとき、それに気づける記録や通知があるか
- 漏えいが起きたとき、対象者への連絡手段、問い合わせ窓口、個人情報保護委員会への報告の担当を決めているか
- 自社を装った連絡が出回ったときに、どの送信元から何を連絡するかを会員に知らせているか
打ち手
まず、集める情報を減らす。登録フォームの項目を一つずつ見直し、サービスの提供に使っていない項目は任意にするか削除する。生年月日は年代だけで足りるなら年代にする。集めなかった情報は漏れない。
次に、残す期間を決めて実際に消す。退会者の情報は、問い合わせや法令の対応に必要な期間を決め、それを過ぎたら削除する。プライバシーポリシーに期間を書くだけでなく、削除の作業が定期的に動いているかを確かめる。長く使っていない休眠会員も、期間を決めて連絡し、反応がなければ消す。
最後に、偽の連絡への備えを会員と共有する。自社から送るメールの送信元と、パスワードやカード番号を聞かないことを、平時からサイトに書いておく。事故が起きたときに同じ案内を短時間で出せるよう、注意喚起の文面を用意しておく。
パスワードを持っていなくても、残している情報の量がそのまま被害の量になる。
あわせて読みたい
- タイムズカーへの不正アクセスで運転免許証画像など約160万件が漏えい、本人確認書類を預かる企業が見直すこと
- 焼肉きんぐ公式アプリに不正アクセス、会員1,078万人分の氏名・メールアドレス・電話番号が漏えい — 会員アプリを持つ店舗の確認点
- ノジマオンラインに不正アクセス、会員約700万件が漏えい、ログインIDと暗号化パスワードも
Omamori AI の結論
- 事実: @cosmeで会員約300万人の氏名、住所、電話番号、生年月日、肌質などが漏えいした。退会者も含み、パスワードとカード情報は含まれない。侵入経路は調査中である。
- 判断軸: 会員から何を集め、退会後に何をいつまで残しているかを問う。
- 打ち手: 使っていない登録項目をやめ、退会者と休眠会員の情報に削除期限を設けて実行する。自社を装った連絡への注意喚起を平時から出しておく。
経営者視点で考えるべきこと
会員情報は、集めるほどマーケティングに使えると考えがちである。しかし使われずに残った情報は、事故が起きたときの対象人数と説明の手間を増やすだけになる。経営者が確かめるべきことは3つある。登録フォームの項目のうち、実際に使っているものはどれか。退会者の情報を何年残し、誰が消しているか。漏えいが起きたとき、対象者への連絡と当局への報告を誰が何日で進めるかである。集める項目を一つ減らす判断は、セキュリティ製品を一つ増やすより安く、確実に効く。
