アイスタイル「@cosme」への不正アクセス（会員 約300万人の個人情報が漏えい）：氏名・住所・電話番号・肌質などが漏れた会員がやること

同社は、案内メールを「cosme.net」ドメインから送るとしています。件名や本文に@cosmeやアイスタイルの名前があっても、送信元のドメインが違えば別のものと考えてください。メールの表示名は誰でも自由に付けられるので、確かめる手がかりは表示名ではなくドメインです。ただし、ドメインが一致していても、それだけで安全とは言えません。メールのリンクは使わず、公式アプリや自分で開いた公式サイトで確かめてください。

また、同社は迷惑メール設定で「cosme.net」ドメインからのメールを受信できるようにしてほしいとしています。ただし、受信できるようにするのは、あくまで本物の案内を取りこぼさないためです。メール内のリンクを開いてよいという意味ではありません。

一般に、氏名、住所、電話番号、メールアドレスがそろうと、本人宛てに見える偽の連絡が作れます。漏えいが確認された項目には肌質と髪質も含まれます。「あなたの肌質に合う商品が当選しました」「登録情報の更新が必要です」のように、会員向けの連絡に見せかけた文面が考えられます（これは当サイトの想定例で、実際に届いたという報告ではありません）。同社は、把握している範囲では、不正利用や二次被害は確認されていないとしています。

見分け方は フィッシングとは にまとめました。パスワードやカード番号を入力させる連絡は偽物と考えてください。同社も、案内メールでそれらの入力をお願いすることはないとしています。

電話番号の漏えいが確認されたため、同社は、なりすましのSMSや電話が届く可能性にも注意を呼びかけています。「@cosmeの者です」という電話に、その場で個人情報や認証コードを答えないでください。いったん切って、公式サイトに載っている窓口に自分から連絡します。

同社は、現時点では、ログイン時のパスワードは含まれていないとしています。同社の発表に、パスワードの変更を求める記載はありません。当サイトとしては、@cosmeと同じパスワードを他のサービスでも使っているなら、念のため変えることを勧めます。メールアドレスは漏えいが確認されており、使い回していると、別のサービスへの不正ログインに使われる入り口になりうるためです（確認の手順は パスワード漏えいの確認方法、守りの固め方は 多要素認証の始め方）。

同社の発表によれば、すでに@cosmeを退会していても、不正アクセス時点で会員だった人は対象です。退会後一定期間保管している情報をもとに連絡するとしています。個別の連絡は11月6日（金）に完了する予定のため、それまでは届かない人もいます。問い合わせは、同社が案内している不正アクセス対応のお問い合わせ窓口（平日10:00〜18:00、土・日・祝日を除く）にします。窓口のメールアドレスは、同社の発表ページで確認してください。

同社の発表によれば、退会済みの人も対象で、同社は退会後一定期間保管している情報をもとに連絡するとしています。当サイトの助言として、運営者は、自社が退会後にどの項目を何か月保管しているかを一覧にし、目的に必要でないものは期限を決めて消せるかを見直してください。

同社は、対象が多いため連絡の完了まで時間がかかるとし、案内メールの送信元ドメインと、迷惑メール設定の確認をあわせて告知しています。通知を送る側は、送信元ドメインを公表したうえで、メール内のリンクで確認させない設計にしておくと、偽の案内に紛れにくくなります。送信ドメインの認証設定は SPF・DKIM・DMARCの記事 にあります。