アットコスメの情報漏えいは自分も対象？退会済み会員と通知メールの確認方法

アットコスメの情報漏えいは、退会済みの人も対象になる場合があります。ただし、条件は「不正アクセス時点で会員だったこと」。通知も順次送られるため、まだメールが届かないという理由だけで、対象外とは判断できません。

『ハテナのつづき』のナギです。気になるのは、自分が対象かどうかと、届いたお知らせを信じてよいかですよね。2026年11月3日に確認した公式発表をもとに、退会の扱い、通知メール、カードやパスワードへの対応を整理します。

アットコスメで何が漏えいした？

運営会社のアイスタイルは2026年11月2日、@cosme共通IDの会員情報の一部が外部に漏えいしたと発表しました。対象は約300万人。漏えいを確認した日は10月28日で、公表日とは異なります。発表文から、侵入が続いていた期間や正確な発生時刻までは分かりません。

気になるのは、名前や連絡先だけでなく、肌質や髪質も含まれている点です。美容サービスに登録した情報も対象になっています。ただし、発表に並ぶ項目すべてを、対象者全員が登録していたとまでは読み取れません。

また、対象項目にある「ユーザーID」は、登録時に自動で発番されるものです。ログインに使うIDではないと説明されています。同じ「ID」という言葉でも、ログイン情報が丸ごと漏れたと受け取らないようにしたいところです。

情報の種類	発表された対象項目
会員を識別する情報	ユーザーID、ニックネーム
名前・連絡先	名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス
プロフィール	性別、生年月日、肌質、髪質

退会済みでも対象になる条件は？

「もう退会したから関係ない」と思いたくなりますが、退会の時期によって扱いが変わります。公式発表では、すでに退会していても、不正アクセス時点で会員だった人は対象になると説明しています。

通知には、プライバシーポリシーに基づいて退会後も一定期間保管している情報が使われます。退会後にメールが来たとしても、それだけで偽物とはいえません。退会したという記憶だけでは判断しづらいんですね。

反対に、過去に登録した人が全員対象だと断定することもできません。発表文には、対象を自分で判定できる具体的な入退会日の一覧まではありません。時期が曖昧なら、個別通知や専用窓口で確かめるのが確実です。

通知メールが来なければ対象外？

2026年11月3日の確認時点では、対象者への連絡は順次行われ、11月6日に完了する予定です。11月6日は「連絡完了の予定日」であって、それまでに届かない人は対象外という判定期限ではありません。

受信トレイに見当たらない場合は、迷惑メールフォルダーや受信設定も見てみてください。受信許可を調整する場合も、迷惑メール対策をすべて解除する必要はありません。登録当時のメールアドレスを使わなくなっていないかも気になるところ。通知先は、会社が把握している連絡先です。

予定日を過ぎても通知が見つからず、対象かどうか不安が残る場合は、公式発表から専用窓口へ進みましょう。メールが届いた人と届かない人の違いを、送信順だけから推測しても、個別の結論にはたどり着けません。

届いた通知が本物か確かめるには

案内メールは「cosme.net」ドメインから送信されます。ただし、その文字が表示されていれば本物、とまではいえません。IPAも、メールの表示名や見かけ上の送信元アドレスは偽装される場合があると注意しています。

今回の案内で特に使える判断材料は、通知メールでパスワードやクレジットカード情報などの入力を求めない、という点です。「漏えい確認のため」と入力を促されても、メールから先へ進まずに立ち止まってください。

わたしなら、届いた文面の細かい違いを探すより、公式サイトを自分で開いて確認します。ブックマークなどからアットコスメやアイスタイルのお知らせへ進み、分からなければ掲載された窓口へ。怪しいメールへの返信は避けましょう。

カード情報は大丈夫？利用停止は必要？

11月2日の発表では、ログイン時のパスワードとクレジットカード情報は、漏えいした情報に含まれていないことを確認したとしています。今回の対象にカード番号まで入っている、という発表ではありません。

この情報漏えいのニュースだけを理由に、すべての利用者が直ちにカードを止める必要があるとはいえません。ただ、「今後も絶対に被害がない」という意味ではないので、普段の利用明細の確認は続けたいところです。

一方、通知を装うサイトに自分でカード情報を入力したり、身に覚えのない利用があったりする場合は対応が変わります。その場合はカード会社へ速やかに連絡を。会社側で起きた漏えいと、その後に入力した情報は別に考えます。

パスワードは変更した方がいい？

パスワードが今回の漏えい対象に含まれていないことと、日頃のパスワード管理は分けて考えたいところです。11月2日の発表には、今回の件を理由に全会員が変更しなければならないという案内はありません。

ただ、ほかのサービスと同じパスワードを使っているなら、見直す機会になります。これは今回パスワードが漏れたという意味ではなく、使い回しによる不正ログインのリスクを減らすため。変更するときも公式の画面から行います。

アットコスメには、登録メールアドレスまたは携帯電話番号へのSMSを使うパスワード再設定画面があります。再設定は、自分で公式サイトを開いて始めましょう。突然届いた「緊急変更」のメールに、そのまま従う必要はありません。

不審なリンクを開いた・入力した場合

「もう押してしまった」という人も、何をしたかで次の対応が違います。IPAは、フィッシングサイトを開いても、情報入力やアプリのインストールなどをしていなければ、基本的に被害は発生しないと説明しています。

パスワードを入力した場合は、公式サイトから速やかに変更し、同じものを使っているほかのサービスでも変更します。カード情報を入力した場合はカード会社へ。アプリを入れた場合も、単に画面を閉じただけの状況とは異なります。

これは一般的なフィッシング対策であり、届いたメールが今回の漏えいと結び付いていると断定するものではありません。相談する際は、届いた日時、開いた画面、入力した情報の種類を整理すると、状況を伝えやすくなります。

対象か分からないときの問い合わせ先

対象かどうか、退会時期との関係などを確かめたい場合は、アイスタイルが設けた不正アクセス対応お問い合わせ窓口を使えます。2026年11月3日に確認した窓口情報は、次のとおりです。

問い合わせは、届いた不審なメールへ返信する形ではなく、公式発表に掲載された宛先を確かめてから送りましょう。登録情報を求められる範囲は窓口の案内に従い、パスワードやカード番号を自分から書き添える必要はありません。

会社は11月2日の発表時点で、把握する範囲では不正利用や二次被害を確認していないとしています。ただし、原因や影響範囲の調査は続いています。まず登録メールの受信状況を確かめ、不明点が残れば公式窓口へつなげましょう。

窓口	不正アクセス対応お問い合わせ窓口
メール	security-support@cosme.net
営業時間	10:00〜18:00（土・日・祝日を除く）
返信について	問い合わせ状況により時間がかかる場合あり