SOURCE CHECK
運営会社アイスタイルの発表「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）と、@cosme・@cosme SHOPPINGに載った同じお知らせを2026年11月2日に確認しています。侵入の経路など発表に書かれていないことは「未確認」として分けています。X上の投稿は「個人の報告」として扱います。
コスメのクチコミサイト「@cosme（アットコスメ）」を運営するアイスタイルは2026年11月2日、10月28日に第三者の不正アクセスを受け、「@cosme共通ID」に登録された会員 約300万人の情報が外部に漏えいしたと発表しました。名前・住所・電話番号・メールアドレス・生年月日に加え、肌質・髪質も含まれます。ログインのパスワードとクレジットカード情報は、現時点で含まれていないことを確認したとしています。
- 対象の人には11月6日（金）までに順次メールで連絡が来ます。案内メールは「cosme.net」ドメインから届き、パスワードやカード番号の入力を求めることはないとされています
- @cosmeを名乗るメール・SMS・電話で、パスワード・カード番号・個人情報の入力を求められても応じません。リンクは開かず、アプリやブックマークから自分で開いて確かめます
- @cosmeと同じパスワードをほかで使っている人、生年月日を暗証番号にしている人は、念のため変えておくと安心です
この記事では、発表の要点、自分が対象かどうか（退会した人も含む）、届いたメールの確かめ方、これから来やすい偽の連絡と見分け方、入力してしまったときの対応を、今回の件に絞って順番にまとめます。
こんな人におすすめ
- @cosmeから「個人情報漏えい」のお詫びメールが届いて、本物か・何をすればいいか迷っている人
- @cosmeに会員登録している、または昔登録して退会した人
- 家族や友だちに「@cosmeを名乗る連絡に注意」と説明したい人
01何が起きたか｜発表の要点
アイスタイルは、2026年10月28日（水）に@cosmeへの第三者による不正アクセスがあり、「@cosme共通ID」に登録された会員情報の一部が外部に漏えいしたことを確認したと、11月2日に発表しました。「漏えいの可能性」ではなく「漏えいしたことを確認」という書き方です。
| 項目 | 発表の内容 |
|---|---|
| 人数 | 約300万人 |
| 対象 | 「@cosme共通ID」に登録されている会員情報の一部 |
| 漏えいした情報 | ユーザーID、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質 |
| ユーザーIDとは | 登録時に自動で付く番号で、ログインには使わないものとされています |
| 含まれない情報 | ログインのパスワードとクレジットカード情報は、現時点で含まれていないことを確認 |
| 連絡 | 対象の人へ順次個別に連絡。完了は11月6日（金）の予定。案内メールは「cosme.net」ドメインから送信 |
| 対応 | 被害拡大を防ぐ対応を進め、第三者のセキュリティ専門会社と原因・影響範囲を調査中。個人情報保護委員会へ報告済み |
| 二次被害 | 会社が把握している範囲では、個人情報の不正利用や二次被害は確認されていない |
| 問い合わせ | 不正アクセス対応お問い合わせ窓口 [email protected]（10:00〜18:00、土日祝を除く） |
発表と同じ日の昼から、X上では「お詫びメールが届いた」という投稿が相次いでいます。
出典：アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）、@cosme「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）、@cosme SHOPPING 同お知らせ（2026年11月2日）
02自分が対象か｜退会した人も
対象は「@cosme共通ID」に登録している会員です。発表では、すでに退会した人でも、不正アクセスの時点で会員だった人は対象になり、退会後も一定期間保管している情報をもとに連絡するとしています。
| 状況 | 考え方 |
|---|---|
| @cosme共通IDで会員登録している | 対象の可能性があります。11月6日までに順次連絡が来る予定です |
| 10月28日より前に退会した | 発表では「不正アクセス時点で会員」の人が対象です。いつ退会したかで変わるため、気になる人は窓口で確かめます |
| 10月28日の時点では会員で、そのあと退会した | 対象になり得ます。退会しても、届く連絡には注意が必要です |
| 登録したか覚えていない | 不正アクセス対応お問い合わせ窓口 [email protected]（10:00〜18:00、土日祝を除く）で確かめるのが確実です |
| 会員登録せずに店舗（アットコスメストア・@cosme TOKYO）で買い物しただけ | 発表は「@cosme共通IDに登録されている会員情報」が対象としています。登録していない人の扱いは発表に書かれていません |
連絡は人数が多いため、完了まで11月6日（金）ごろまでかかる見込みです。まだメールが来ていないことだけでは、対象外とは言い切れません。
ショップやサービスから漏えいの連絡が来たときの一般的な確かめ方は、ショップから情報漏えいの連絡が来たら｜項目別にやることにまとめています。
03届いたお詫びメールは本物？
アイスタイルは、案内メールは「cosme.net」ドメインから送ること、案内メールでパスワードやクレジットカード情報などの入力を求めることはないことを明記しています。
| 確かめること | 考え方 |
|---|---|
| 送信元のドメイン | 本物は「cosme.net」から届くとされています。ただし、送信元の表示はまねされることもあるので、これだけで本物と決めないようにします |
| 入力を求めていないか | パスワード・カード番号・口座などの入力を求めていたら偽物と考えます |
| リンクを押させようとしていないか | 念のため、メールのリンクからではなく、@cosmeのアプリやブックマークから開いて「@cosmeからのお知らせ」を確かめます |
| 同じ内容が公式サイトにあるか | @cosmeのお知らせ、アイスタイルのニュースページに同じお知らせが載っています（出典のリンク参照） |
本物のお詫びメールを受け取った場合も、今すぐ必要な手続きは発表に書かれていません。メールが来た＝自分の情報が漏えいした対象と考え、04の偽の連絡に注意して過ごすのが基本です。
問い合わせの返事は「cosme.net」ドメインから届くため、迷惑メール設定で受け取れるようにしておくよう、アイスタイルが呼びかけています。
出典：アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）、@cosme「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）
04これから来やすい偽の連絡と見分け方
アイスタイルは、本件に関連してなりすましメールやSMS、電話などが届く可能性があるとして、心当たりのない連絡や不審なURLへのアクセス、パスワードや個人情報の入力に注意するよう呼びかけています。
今回は名前・住所・電話番号・メールアドレス・生年月日に加えて、肌質・髪質という「好み」に近い情報まで出ています。そのため、自分のことを知っているような、それらしい連絡が作られやすくなります。以下は想定される型の例で、実際に確認された手口ではありません。
| 型 | よくある文面の例 | 見分け方 |
|---|---|---|
| お詫びのポイント・クーポン | 「お詫びとしてポイントを付与します。こちらからログインしてください」 | リンクから開かない。ポイントやクーポンはアプリから自分で確かめる |
| 本人確認・再登録 | 「漏えいの対象です。本人確認のためパスワードとカード番号を入力してください」 | 案内メールで入力を求めることはないと会社が明言しています |
| 肌質・髪質に合わせたおすすめ | 「乾燥肌の○○様だけの特別価格」と、肌質や名前を言い当てる | 名前や肌質を知っていても本物とは限りません。知らない通販サイトでは買わない |
| 電話・SMS | 「@cosmeの者ですが、漏えいの件で返金があります」 | いったん切り、窓口のメールアドレスなど公式に載っている連絡先で自分から確かめる |
電話で相手の指示に従ってしまったときはサポート詐欺に電話してしまったら？遠隔操作・支払い別の対処も参考にしてください。
出典：アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）、IPA「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」
05パスワードは変えるべき？
発表では、ログインのパスワードは漏えいした情報に含まれていないことを現時点で確認したとしています。なので、@cosmeのパスワードを変えないと危ないという状況ではありません。
ただし、メールアドレスと名前・生年月日がそろって出ているため、次の人は念のため見直しておくと安心です。
- ☑ @cosmeと同じメールアドレス・パスワードの組み合わせを、ほかのサービスでも使っている
- ☑ 生年月日をパスワードや暗証番号に使っている
- ☑ 「肌質」「誕生日」などを秘密の質問の答えにしている
これは発表に書かれた手順ではなく、今回漏えいした項目から考えられる一般的な注意です。パスワードを変えるときは、メールのリンクではなく、アプリや公式サイトから自分で開いて行います。
パスワードの流出チェックや変更の進め方はChromeの「不正使用されたパスワード」警告は本物？漏洩チェックの開き方と変更手順を参考にしてください。
06入力してしまった・答えてしまったとき
- ☑ カード番号を入力した・伝えた：カード会社に連絡して止めてもらい、利用明細を確かめる
- ☑ パスワードを入力した：@cosmeと、同じパスワードを使っているサービスすべてで、正規のアプリやサイトから変更する
- ☑ 口座情報や暗証番号を伝えた：銀行に連絡する
- ☑ やり取りのメール・SMS・着信履歴を残し、アイスタイルの窓口（[email protected]）にも伝える
発表では、質問や不安な点は専用窓口に連絡するよう求めています。返事まで時間がかかる場合があるとされています。
詳しい手順はフィッシングメールのリンクを開いてしまったら？入力・認証・実行別の対処、カードの身に覚えのない請求はクレジットカードの身に覚えのない請求｜確認と連絡・停止の手順を参考にしてください。
出典：アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）、IPA「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」
079月・10月の@cosmeのお知らせとの違い
@cosmeでは、今回の前にも個人情報に関するお知らせが出ています。混同しやすいので、発表ごとに分けておきます。
| 発表日 | 内容 |
|---|---|
| 2026年9月16日 | 社員がファイルを渡す際の外部サービスの公開設定ミスで、9月2日に約20分間、10,997人分のメールアドレス等が閲覧できる状態だった（名前・住所・パスワード・カードは含まれない） |
| 2026年10月23日 | メール配信システム「Cuenote FC」（運営：ユミルリンク）への不正アクセスについて、@cosmeの利用環境にも不審なアクセスの形跡があったと連絡を受け、同システムの利用を停止 |
| 2026年10月28日 | 「一部アンケート」機能で緊急メンテナンス（17時ごろから） |
| 2026年11月2日（今回） | 10月28日の不正アクセスで、@cosme共通IDの会員 約300万人の情報が漏えいしたことを確認 |
今回の不正アクセスが、10月23日のCuenote FCの件や、10月28日のアンケートのメンテナンスと関係があるかどうかは、発表には書かれていません（未確認）。日付が近いだけで同じ件と決めつけないようにしてください。
Cuenote FCの件で自分が対象か確かめる方法は、Cuenote FC情報漏洩｜自分が対象か確かめる方法と届いたメールの見分け方にまとめています。
出典：アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）、アイスタイル（2026年9月16日）、@cosme「メール配信システム『Cuenote FC』への不正アクセスについて」（2026年10月23日）、@cosme「一部アンケート メンテナンスのお知らせ」（2026年10月28日）
08まだ分かっていないこと
- 侵入の経路や原因：第三者のセキュリティ専門会社と調査中とされ、書かれていません。
- どのサービスの利用者が対象か：「@cosme共通ID」の会員とされていますが、@cosme SHOPPINGやアプリなど、サービスごとの内訳は書かれていません。
- 補償やお詫びの品：発表には書かれていません。
- 何年前の退会者まで含まれるか：退会後に情報を保管している「一定期間」の長さは、この発表には書かれていません。
- ほかの@cosmeのお知らせとの関係：07のとおり、書かれていません。
アイスタイルは、新しく知らせるべきことが分かれば当社サイトで案内するとしています。続報が出たら、この記事に追記します。
09よくある質問
クレジットカードは止めたほうがいいですか？
発表では、クレジットカード情報は現時点で含まれていないことを確認したとしています。明細に覚えのない請求がないかをふだんどおり確かめ、偽の連絡でカード番号を伝えてしまった場合はカード会社に連絡してください。
@cosmeのパスワードは変える必要がありますか？
ログインのパスワードは含まれていないとされています。同じパスワードをほかのサービスでも使っている人は、念のため見直すと安心です（05参照）。
お詫びメールが来ません。対象外ですか？
連絡は11月6日（金）まで順次送られる予定です。まだ来ていないだけかもしれないので、気になる人は専用窓口（[email protected]）に問い合わせてください。
昔退会しましたが関係ありますか？
10月28日の不正アクセスの時点で会員だった人は、退会していても対象とされています。それより前に退会した人の扱いは、窓口で確かめるのが確実です。
肌質・髪質が漏れると何が困りますか？
それ自体でお金を取られる情報ではありませんが、名前や住所と組み合わせて「あなた向け」をよそおった偽の案内に使われるおそれがあります。知らない通販サイトのリンクからは買わないようにしてください。
10まとめ
- アイスタイルは2026年11月2日、10月28日の不正アクセスで@cosme共通IDの会員 約300万人の情報（名前・住所・電話番号・メール・生年月日・肌質・髪質など）が漏えいしたと発表しました。パスワードとカード情報は含まれないとしています。
- 退会した人も、不正アクセスの時点で会員なら対象です。連絡は11月6日（金）までに「cosme.net」ドメインのメールで順次届きます。
- 案内メールでパスワードやカード番号の入力を求めることはありません。@cosmeを名乗るメール・SMS・電話には答えず、アプリや公式サイトから自分で確かめます。
- 分からないことは、不正アクセス対応お問い合わせ窓口（[email protected]、平日10:00〜18:00）へ。
更新履歴：2026年11月2日 初版（アイスタイルの11月2日の発表をもとに作成）。続報が出たら追記します。
参考 引用元・公式情報
確認日：2026年11月2日（日本時間）
- アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月2日）
発生日、人数、漏えいした情報、退会者の扱い、連絡方法と期限、注意、問い合わせ窓口 - @cosme「@cosmeからのお知らせ」同お知らせ（2026年11月2日）
同上 - @cosme SHOPPING 同お知らせ（2026年11月2日）
同上 - アイスタイル「@cosmeご登録の個人情報の漏えいの可能性に関するお知らせとお詫び」（2026年9月16日）
9月の件（10,997人） - @cosme「メール配信システム『Cuenote FC』への不正アクセスについて」（2026年10月23日）
10月のCuenote FCの件 - @cosme「【重要】一部アンケート メンテナンスのお知らせ」（2026年10月28日）
アンケート機能の緊急メンテナンス - IPA（2026年10月26日）
漏えい時の対処と日頃の対策
コメント