2026-09-28 公表 · istyle-20260928
アイスタイル：@cosmeご登録の個人情報の漏えいの可能性に関するお知らせとお詫び
情報漏えい誤送付・誤送信第1報AI関与: 未評価
要約
公表文の事実のみ株式会社アイスタイルは、2026年9月2日14時20分頃から約20分間、@cosmeの会員の個人情報を含むファイルがインターネット上で閲覧可能な状態にあったと公表した。対象は同月2日12時時点でメールマガジン配信を希望する設定で、8月26日から9月2日に新規登録や登録情報の変更、サービス利用をした10,997人。対象情報はメールアドレス、メールマガジンの配信設定状況、ユーザーIDで、氏名、住所、電話番号、パスワード、クレジットカード情報は含まれない。原因は、同社従業員が外部ファイル転送サービスでファイルを受け渡した際の公開設定の不備で、URLを知る者は誰でもアクセスできる状態だった。同社は発覚の約20分後にファイルを削除し、14時40分時点で閲覧可能な状態を解消した。URLは社内関係者のみが共有し、委託先を含む第三者への開示はなく、不正利用や二次被害は確認されていない。
- 発生（判明）期間
- 2026-09-02 〜 2026-09-02
- 検知日
- 2026-09-02
- 第1報の公表日
- 2026-09-28（検知から 26 日）
- 復旧日
- 2026-09-02
- 影響件数
- @cosme通信の配信を希望する設定で対象期間中に登録情報の変更・新規登録・サービス利用等に該当した者のうち対象となる者 10,997人（確認済み）
- 対象となった情報
- メールアドレス、アカウント ID
- 漏えいの確認状況
- 確認済み
- 侵入経路
- 設定不備・公開不備 公表に明記
- 原因（公表の記述）
- 外部ファイル転送サービスを利用した際、ファイルの公開設定に不備があり、ダウンロード用URLを知る者であれば誰でもアクセスできる状態となっていた。
影響を受ける可能性のある人へ
公表文の記載からの整理。推測は含まない対象になりうる人
- 漏えいが確認されている。公表文に記載された対象の範囲は「@cosme通信の配信を希望する設定で対象期間中に登録情報の変更・新規登録・サービス利用等に該当した者のうち対象となる者」。
すべきこと
- その組織を名乗るメール・SMS・電話に注意する。リンクは開かず公式サイトから確認する。
- そのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える。多要素認証が使えるなら有効にする。
公表文・続報
- 問い合わせ先は公表文に記載。
- @cosmeご登録の個人情報の漏えいの可能性に関するお知らせとお詫び
公表の時系列
各行に原文へのリンク- 2026-09-28第1報@cosmeご登録の個人情報の漏えいの可能性に関するお知らせとお詫び
株式会社アイスタイルは、2026年9月2日14時20分頃から約20分間、@cosmeの会員10,997人のメールアドレス、メールマガジンの配信設定状況、ユーザーIDを含むファイルがインターネット上で閲覧可能な状態だったと公表した。原因は従業員が外部ファイル転送サービスを使った際の公開設定の不備で、同社は約20分後にファイルを削除した。
原文
攻撃グループ
帰属の根拠と確度攻撃グループに関する記録はありません。
手口と痕跡
痕跡は無効化表記設定不備・公開不備: アクセス制御の欠落、公開ストレージ、環境設定ファイルやバックアップの露出 · ATT&CK T1530
AI関与の評価
昇格には出典が要るAI関与: 未評価
公表文に AI への言及はなく、評価はまだ行っていません。
出典
- s1
- s2
項目別の根拠引用（5）
- occurredFrom: 「2026年9月2日 14時20分頃より約20分間」s1
- counts[0]: 「対象となる人数：10,997人」s1
- dataTypes: 「①メールアドレス ②メールマガジンの配信設定状況 ③ユーザーID」s1
- confirmation: 「ファイルへアクセスできる状態となっていたことが判明いたしました」s1
- cause.initialAccess: 「ファイルの公開設定に不備があり、ダウンロード用URLを知り得る者であれば誰でも」s1
更新 2026-10-13 · この記録の訂正・削除を依頼する