化粧品の口コミサイト「@cosme（アットコスメ）」を運営するアイスタイルは11月2日、第三者による不正アクセスで「@cosme共通ID」の会員約300万人分の情報が外部に漏れたと発表した。氏名や住所、電話番号に加えて肌質と髪質まで含まれ、すでに退会した人も対象になりうる。
アイスタイル お知らせ（11月2日：対象人数・漏えい項目・退会者の扱い・個別連絡の予定・窓口）[istyle 株式会社アイスタイル]
漏れたのは「ある人の連絡先」だけではない。その人が何に関心を持ち、どんな悩みを抱えていそうかという手がかりが、連絡先と一緒にそろった。届く連絡を本物かどうか見分ける力が、これからしばらく試される。
何が漏れ、何が漏れていないか
同社が漏えいを確認したのは10月28日。発表によると、対象になった項目は次のとおりだ。
- ユーザーID、ニックネーム
- 氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス
- 性別、生年月日
- 肌質、髪質
ログイン用のパスワードとクレジットカード情報は、現時点の確認では含まれていないとしている。ユーザーIDは登録時に自動で振られる番号で、ログインには使われない。
原因と影響範囲は、第三者のセキュリティ専門会社と調べている最中で、不正アクセスの手口はまだ明かされていない。個人情報保護委員会へは報告済み。同社が把握している範囲では、情報の不正利用や二次被害は確認されていない。
退会した人にも連絡が届く
見落としやすいのは退会者の扱いだ。すでに退会していても、不正アクセスの時点で会員だった人は対象になる。同社は退会後も一定期間保管している情報をもとに連絡するという。
対象者には、同社が把握している連絡先へ順次個別に連絡し、11月6日（金）に完了する予定だ。案内メールは「cosme.net」のドメインから送られ、その中でパスワードやクレジットカード情報の入力を求めることはないとしている。
裏返せば、登録したメールアドレスをもう使っていない人には、案内そのものが届かないおそれがある。何年も前に作って放置したアカウントほど、自分が対象かどうかを知る経路が細い。
肌質と髪質がそろうと、偽の連絡は具体的になる
同社は、この件に便乗したなりすましのメール、SMS、電話が届くおそれがあるとして注意を呼びかけている。
住所と電話番号だけなら、偽の連絡はまだ誰にでも当てはまる文面になる。そこに生年月日と肌質・髪質が加わると、「あなたの肌質に合わせた試供品を送ります」「お誕生月の特典です」といった、本人だけに向けた文面を作れてしまう。中身が自分に当てはまるほど、人は送り主を確かめなくなる。
できることは限られている。住所や電話番号は、変えるのに大きな手間がかかる。現実的な守り方は、届いた連絡の側を疑う習慣だ。メールの送り主の表示は偽装できるので、cosme.netからに見えても、本文のリンクは開かず、自分のブックマークや検索から公式サイトを開いて確かめるほうが確実になる。パスワードやカード番号の入力を求めてきた時点で、その連絡は同社の案内ではない。
確かめられる次の一点は、アイスタイルのお知らせページだ。11月6日に個別連絡が終わる予定で、第三者機関の調査結果と再発防止策も、判明しだいサイトで案内するとしている。退会したかどうか思い出せない人は、同社の不正アクセス対応窓口（security-support@cosme.net、平日10時〜18時）に問い合わせられる。
ことば
- なりすましメール：実在の会社や人の名前を名乗って送られる偽のメール。漏れた個人情報を文面に織り込むと本物らしさが増すため、漏えいの直後に増えやすい。
- 個人情報保護委員会：個人情報の扱いを監督する国の機関。1,000人を超える漏えいや、不正アクセスによる漏えいなど一定の要件に当たる場合、会社はここへの報告が法律で義務づけられている。
使わなくなったサービスに残した自分の情報を、あなたはいくつ思い出せるだろうか？
