アイスタイルは2026年11月2日、@cosme共通IDの会員情報の一部が漏えいしたと公表しました。本稿は11月4日08:48（日本時間）に再確認した公式発表をもとに、対象情報と個別通知の予定を整理します。企業担当者向けの確認表は、本稿による提案です。アイスタイルの公式発表
対象情報と対象者の条件
同社が漏えいを確認したのは10月28日で、対象は約300万人です。公表された項目は、ユーザーID、ニックネーム、氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質です。ユーザーIDは登録時に発番される番号で、ログイン用ではありません。公式発表「漏えいした情報」
発表時点でログインパスワードとクレジットカード情報は含まれていないと確認されています。また、現在は退会済みでも、不正アクセス時点で会員だった人は対象になります。公式発表の注記
11月6日は個別連絡の完了予定日
対象者には順次個別連絡し、完了予定は11月6日です。案内メールの送信ドメインはcosme.netで、パスワードやカード情報の入力は求めないとしています。公式発表の個別連絡案内
連絡がまだ届いていないことだけで、対象外とは判断しないでください。11月6日は連絡完了の「予定」であり、調査がすべて終了する日と読み替えないようにします。被害の対象かを確認する際は、公式発表に掲載された専用窓口の案内を参照してください。
企業が利用者へ案内するときも、予定日と完了実績を分けて記載することを提案します。例えば「送信を完了した」と「すべての対象者が受け取った」は別の状態として管理すると、問い合わせ時に説明する範囲を明確にできます。
会員システムの担当者が用意したい通知管理表
以下は自社の対応準備に使うための提案です。アイスタイルの内部運用や事故原因を評価したものではありません。
| 管理する項目 | 自社で決めておく内容 |
|---|---|
| 対象者の条件 | いつの会員状態を基準とするか、退会済みの人をどう判定するか |
| 通知の内容 | 対象情報、対象外と確認した情報、調査中の情報を分ける |
| 送付状況 | 未送信・送信済み・不達を区別し、再連絡の担当を決める |
| 連絡予定 | 完了見込みと実績を別欄にし、予定変更を伝える窓口を決める |
| 本人からの照会 | 対象確認の手順と、回答時点を記録する |
例えば、送信済みの通知が不達になった場合を想定し、担当者がどこへ引き継ぐかまで決めておきます。通知の件数だけを集計するより、未対応の対象者を確認するための表として設計することを勧めます。この例は仮想の運用例で、今回の通知状況を示すものではありません。
項目名や対象者条件の読み分けについては、ファンケル・アテニアの情報漏えいを整理した記事も参照できます。
続報では対象範囲と連絡状況を確認する
今回の発表では、第三者のセキュリティ専門会社と原因・影響範囲を調査中としています。具体的な原因・侵入経路は、確認した発表では未公表です。被害拡大を防ぐ対応を進め、調査結果を踏まえて再発防止策を検討・実施する方針が示されていますが、具体的な技術対策の内容は明らかにされていません。公式サービスの発表
11月4日08:48（日本時間）の確認では、公式のニュース・お知らせ一覧に、11月2日付の発表を変更する続報や訂正、個別通知の完了報告は見当たりませんでした。11月6日までの連絡は引き続き予定として扱います。アイスタイルのニュース、@cosmeのお知らせ、公式通販のお知らせ
企業担当者は、続報を確認するたびに「対象情報」「対象者の条件」「連絡予定と実績」を更新する運用を検討してください。最初の発表の日付と、その後の更新日を併記すれば、古い説明をそのまま回答に使うことを避けやすくなります。