一部@cosme会員情報がネット上で閲覧可能に - ファイル転送時にミス

アイスタイルは、同社が運営する「@cosme」の会員の個人情報を含むファイルが、インターネット経由で外部より一時閲覧可能だったことを明らかにした。ファイル転送サービスの設定ミスが原因だという。

同社によれば、2026年9月2日に従業員が個人情報を含むファイルを社内で受け渡す際、ファイル転送サービスを利用したところ、公開設定に不備があったという。

同日14時20分ごろから約20分間にわたり、ダウンロード用URLが公開設定となっていたもので、URLが特定された場合に情報を取得されるおそれがあった。

対象となるのは会員1万997人。8月26日から9月2日にかけてメールマガジン「@cosme通信」の配信を希望して新規登録したり、登録情報を変更した会員が対象で、「@cosme SHOPPING」で商品を購入したり、プロフィールを編集した会員なども一部含まれる。

メールアドレス、メールマガジンの配信設定、ユーザーIDなどの項目としており、氏名や住所、電話番号、パスワード、クレジットカード情報などは含まれていないという。

同社では問題の発覚後、ファイルを削除した。URLは社内関係者間でのみ共有しており、委託先を含む第三者には提供していないと説明している。二次被害は確認されていない。

同社では、個人情報保護委員会へ報告。対象者に対してメールで個別に連絡した。再発防止に向けて手動によるデータ抽出の廃止などを検討するとしている。

（Security NEXT - 2026/09/17 ）ツイート