@cosme会員約300万人の情報漏えい　住所・電話番号も、退会済みも対象

@cosme（アットコスメ）の会員で、「@cosme共通ID」に登録していた人は、まず自分が対象かを確かめてください。運営会社のアイスタイルは2026年10月28日に、@cosmeへの第三者による不正アクセスで会員情報の一部が外部に漏えいしたことを確認したと発表しました。対象は約300万人です。

対象かどうかは、いま会員かではなく、不正アクセスがあった時点で会員だったかで決まります。すでに退会した人も、その時点で会員だったなら対象です。

住所・電話番号・生年月日まで漏れた。パスワードとカード情報は含まれていない

漏えいしたのは、次の情報です。

• ユーザーID
• ニックネーム、名前（漢字・カナ）
• 郵便番号、住所、電話番号、メールアドレス
• 性別、生年月日、肌質、髪質

ユーザーIDは登録時に自動で振られる番号で、ログインには使われません。会社は、ログイン時のパスワードとクレジットカード情報は含まれていないことを確認したとしています。

ただし、住所・電話番号・生年月日がそろって漏れたことは、本人を装った連絡や詐欺に悪用されるおそれがあるので、注意が必要です。

案内は「cosme.net」から届く。入力を求めるメールは会社の案内ではない

会社は、把握している連絡先を通じて、対象の人に順次個別に連絡するとしています。退会した人にも、退会後一定期間保管している情報をもとに連絡します。連絡の完了は2026年11月6日の予定とされていました。

案内メールは「cosme.net」ドメインから送信されます。会社は、案内メールでパスワードやクレジットカード情報の入力を求めることはないとしています。入力を求めるメールが届いたら、リンクを開かずに公式サイトのお知らせで内容を確かめてください。

11月9日には、メール配信システムの件も発表された

2026年11月9日、会社は別の不正アクセスについても発表しました。一部のメール配信に使う外部システム「Cuenote FC」（運営はユミルリンク株式会社）が不正アクセスを受けた件です。10月23日に第一報が出ており、運営会社から11月2日にリストを、11月6日に詳細な調査結果を受け取ったとしています。

漏えいを確認した情報は、次のとおりです。

• 約280万人：2026年10月14日午前5時頃以降にこのシステムでメールを配信された人の一部。メールアドレス（取引先を含む）
• 約8,000人：2026年10月16日時点でアドレス帳に登録されていた人の一部。メールアドレス。一部は氏名（取引先は氏名・所属会社・部署名等）

会社は、このシステムの利用を一部停止しています。クレジットカード情報は、このシステムでは保持も送信もしていないとしています。連絡の完了は11月中の予定です。

今やること

1. 「cosme.net」からの案内メールが届いていないか、迷惑メールフォルダも確かめます。
2. 会社は「cosme.net」のメールを受信できるよう、迷惑メール設定の確認を求めています。
3. 心当たりのないメールやSMS、電話、不審なURLには応じず、添付ファイルも開かないようにします。

サイソクの見方：住所や電話番号が入っているかで、備えの重さが変わる

第一の件は住所・電話番号・生年月日まで含むため、対象の人は、メールアドレスだけの件より警戒を強めるのが妥当とみられます。第二の件の主な中身はメールアドレスなので、不審なメールを開かないことが中心の備えになります。

公式発表では、2件の対象がどれだけ重なるかは示されていません。人数を単純に足すことはできません。

判断の目安は次のとおりです。

• 案内メールが届いた人は、メール本文のリンクではなく、公式サイトのお知らせで内容を確かめる
• 届いていない人は、第二の件の連絡が11月中に完了する予定なので、迷惑メールフォルダも見て待つ。それでも不安なら窓口へ問い合わせる

問い合わせは専用窓口にメールで

一般の顧客は「security-support@cosme.net」（10時から18時、土・日・祝日を除く）へ、取引先は「security-support-biz@cosme.net」へ送ります。窓口は株式会社アイスタイル（アットコスメ）の不正アクセス対応お問い合わせ窓口です。問い合わせの状況によっては、返信までに時間がかかる場合があるとしています。