@cosmeに不正アクセス。共通IDの会員 約300万人の氏名・住所・肌質などが漏えい

01発表されている事実

1. 10月28日（水）

   @cosmeへの不正アクセスにより、会員情報の一部が外部に漏えいしたことを確認

2. 11月2日

   アイスタイルの会社サイトと@cosmeのお知らせで公表。個人情報保護委員会には報告済み

3. 11月6日（金）予定

   対象者への個別の連絡を終える予定

漏えいした情報は、ユーザーID、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質です。ユーザーIDは登録時に自動で付く番号で、ログインには使わないとしています。ログインのパスワードとクレジットカード情報は含まれていないことを確認したとしています。原因と影響の範囲は、第三者のセキュリティ専門会社と調べています。公表の時点で、同社が把握している範囲では、不正利用や二次被害は確認されていません。

02読者への影響

連絡先と生年月日に加えて、肌質・髪質という美容の好みに近い情報まで知られた状態です。「あなたの肌質に合う商品」「お詫びの特別クーポン」など、本人しか知らないはずの情報を交えた偽のメールやSMSが届くと、本物と思い込みやすくなります。同社も、なりすましメールやSMS・電話が届く可能性があるとして、心当たりのない連絡や不審なURL、パスワードや個人情報の入力に注意するよう呼びかけています。

03今すぐやること

1. 同社の案内メールは「cosme.net」のドメインから届きます。迷惑メールに振り分けられないよう、受信の設定を確かめる
2. 同社は、案内メールでパスワードやクレジットカード情報の入力を求めることはないとしています。入力を求める連絡は偽物と考え、URLを開かない
3. 差出人の表示が@cosmeでも、メール内のリンクではなく、ブックマークや公式アプリから@cosmeを開いて確かめる
4. 不安なことは専用の窓口（security-support@cosme.net、10:00〜18:00、土日祝を除く）に問い合わせる

04情報を預かる側が見直したいこと

今回は、退会した人の情報も、プライバシーポリシーに基づいて一定期間保管していたため対象になりました。会員を持つ中小企業やお店でも、いつまで何を残すかを決め、期限が来たら消すことで、漏えいしたときの被害を小さくできます。あわせて、公開しているサイトの弱点を定期的に診断し、ふだんと違う大量の読み出しに気づける見張り（ログの監視）を用意しておくことが、再発を防ぐ土台になります。

05今後の発表

アイスタイルは、第三者機関の調査結果を踏まえて再発防止策を考えて実施し、新たに知らせることが分かれば同社サイトで案内するとしています。対象者への個別の連絡は11月6日に終える予定です。