Для: нынешних и бывших участников @cosme. Статья основана на официальном уведомлении istyle и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
нынешних и бывших участников @cosme.
- ПодтвержденоСмотреть таблицу ↓
- Идентификатор пользователя, псевдоним
- Имя (кандзи и кана), почтовый индекс, адрес, номер телефона, адрес электронной почты
- Пол, дата рождения, тип кожи, тип волос
Ещё 2
- Позже вышедшие
- Сообщение в Комиссию по защите персональных данных
- Пока не подтверждено
- Когда произошел несанкционированный доступ и какова причина
- Завершение индивидуальных уведомлений (запланировано на 6 ноября)
- Меры предотвращения на основании расследования
- Что сделать сейчасСмотреть шаги ↓
- Не открывайте ссылки в сообщениях не с cosme.net
- Правильные имя, адрес, номер телефона или тип кожи не делают сообщение настоящим
- Так же относитесь к телефонным звонкам и SMS
Ещё 2
- Пароли на данный момент не затронуты, но повторно используемый смените
- Бывшие участники тоже затронуты; ждите уведомления, даже если не помните, что пользовались
- Где проверить (источник)Все источники ↓
- istyle Inc., извинения и уведомление об утечке персональных данных из-за несанкционированного доступа (2 ноября 2026)
- Последняя проверка
- По состоянию на 4 ноября 2026 года
Планы обновлений и что мы проверили
Компания говорит, что если появятся новые сведения, она оперативно объявит о них на своем сайте. 4 ноября мы проверили уведомление от 2 ноября и список новостей компании. Продолжения (второго сообщения) опубликовано не было.
Что нынешним и бывшим участникам делать сегодня
В уведомлении названы имя, адрес, номер телефона, адрес электронной почты, дата рождения, пол, тип кожи и тип волос. Вот шаги, которые из этого следуют.
Контакты: имя (кандзи, кана), почтовый индекс, адрес, номер телефона, адрес электронной почты
Позволяет легко писать поддельные сообщения, будто адресованные лично вам
Характеристики: пол, дата рождения, тип кожи, тип волос, псевдоним, идентификатор пользователя
Идентификатор пользователя не используется для входа
Не входит (на данный момент): пароль для входа, данные кредитной карты
Подтверждение компании на данный момент; расследование продолжается
Не открывайте ссылки в сообщениях не с cosme.net
Компания говорит, что отправляет письма с уведомлением с домена cosme.net. Даже если в теме или тексте упомянуты @cosme или istyle, относитесь к сообщению с другого домена отправителя как к чему-то иному. Отображаемое имя может задать кто угодно, поэтому проверять нужно домен, а не имя. Совпадение домена само по себе не доказывает безопасность сообщения: не пользуйтесь его ссылками, откройте официальный сайт самостоятельно.
Компания также просит настроить спам-фильтр так, чтобы можно было получать письма с cosme.net. Это нужно лишь для того, чтобы вы не пропустили настоящее уведомление. Это не означает, что ссылки в письме безопасно открывать.
Правильные имя, адрес, номер телефона или тип кожи не делают сообщение настоящим
В общем случае, когда имя, адрес, номер телефона и адрес электронной почты объединены, легко создать поддельное сообщение, выглядящее написанным для вас. Среди подтвержденных утекших данных есть также тип кожи и тип волос. Формулировки, имитирующие сообщения для участников, например приз, подобранный по вашему типу кожи, или просьба обновить регистрационные данные, возможны (это предполагаемый пример этого сайта, а не сообщение о реально пришедших письмах). Компания говорит, что, насколько ей известно, злоупотреблений и вторичного ущерба не выявлено.
Как отличить подделку, описано в статье Что такое фишинг?. Считайте поддельным любое сообщение, которое просит ввести пароль или номер карты. Компания тоже говорит, что ее письма с уведомлением этого не просят.
Так же относитесь к телефонным звонкам и SMS
Поскольку номера телефонов входят в число утекших данных, компания также предупреждает, что могут приходить поддельные SMS и звонки. Не сообщайте личные данные и коды подтверждения в звонке, где называются @cosme. Положите трубку и сами свяжитесь со службой поддержки, указанной на официальном сайте.
Пароли на данный момент не затронуты, но повторно используемый смените
Компания говорит, что на данный момент пароли для входа не входят в утечку. В уведомлении нет просьбы к участникам менять пароли. Этот сайт предлагает сменить пароль, если вы используете один и тот же для @cosme и других сервисов, просто на всякий случай. Адрес электронной почты среди утекших данных, а повторно используемый пароль может стать путем в другие сервисы (для проверки см. Как проверить, утёк ли ваш пароль, для усиления аккаунтов — Начало работы с многофакторной аутентификацией).
Бывшие участники тоже затронуты; ждите уведомления, даже если не помните, что пользовались
Согласно уведомлению, люди, которые позже вышли из @cosme, затронуты, если были участниками на момент доступа. Компания говорит, что свяжется с ними, используя данные, которые хранит определенное время после выхода. Индивидуальные уведомления планируется завершить в пятницу, 6 ноября, поэтому некоторые пока их не получили. Вопросы направляйте в объявленную компанией службу поддержки по несанкционированному доступу (по будням 10:00–18:00 JST, в выходные и праздничные дни закрыто). Адрес электронной почты смотрите на странице уведомления компании.
Что произошло (по уведомлению istyle)
Этот раздел основан на извинениях и уведомлении об утечке персональных данных, опубликованных istyle 2 ноября 2026 года (проверено 4 ноября).
28 октября 2026
Подтверждено, что несанкционированный доступ третьей стороны к @cosme привел к утечке части данных участников, зарегистрированных под общим идентификатором @cosme.2 ноября 2026
Компания объявила об этом. Она уже сообщила в Комиссию по защите персональных данных.6 ноября 2026 (запланировано)
Индивидуальные уведомления пострадавшим планируется завершить.По состоянию на 4 ноября
Продолжений опубликовано не было.
- Затронутый сервис
- @cosme. Часть данных участников, зарегистрированных под общим идентификатором @cosme
- Сказано, что не входит
- Компания говорит, что на данный момент пароли для входа и данные кредитных карт не входят в утечку
- Реакция
- Работает над предотвращением дальнейшего ущерба; расследует причину и масштаб вместе со сторонней компанией по безопасности. Уже сообщила в Комиссию по защите персональных данных
- Ущерб на данный момент
- Насколько известно компании, злоупотреблений персональными данными и вторичного ущерба в результате этого инцидента не выявлено
- Дальше
- Рассмотрит и реализует меры предотвращения на основании сторонней проверки. Новые обстоятельства объявит на своем сайте, когда они будут установлены
Что известно и что пока нет
Состояние на 4 ноября 2026 года. Когда появится продолжение, мы перепишем столбец статуса.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Идентификатор пользователя, псевдоним | Идентификатор пользователя — номер, присваиваемый автоматически при регистрации, для входа не используется | Утечка подтверждена (компанией) |
| Имя (кандзи и кана), почтовый индекс, адрес, номер телефона, адрес электронной почты | Указаны как затронутые данные | Утечка подтверждена (компанией) |
| Пол, дата рождения, тип кожи, тип волос | Указаны как затронутые данные | Утечка подтверждена (компанией) |
| Число пострадавших | Около 3 миллионов человек | Цифра приведена (компанией) |
| Позже вышедшие | Затронут каждый, кто был участником на момент доступа; компания связывается с ним по данным, которые хранит определенное время после выхода | Затронуты (компания) |
| Пароли для входа, данные кредитных карт | Сказано, что на данный момент не входят | Не входят (компания, на данный момент) |
| Сообщение в Комиссию по защите персональных данных | Уже направлено | Подтверждено (объявление компании) |
| Злоупотребления, вторичный ущерб | Насколько известно компании, не выявлены | Не подтверждено (компания) |
| Когда и как произошел доступ | Не указано | Не указано |
| Причина | Расследуется вместе со сторонней компанией по безопасности | Расследуется |
Отдельное объявление: уведомление от 2 ноября не связывает их
23 октября компания отдельно объявила, что к внешней системе доставки почты Cuenote FC, которую она использует для части писем, был получен несанкционированный доступ и что в собственной среде этого сервиса были признаки подозрительного внешнего доступа. В том уведомлении сказано, что данные кредитных карт в этой системе не хранятся и не передаются и риска утечки нет. В уведомлении от 2 ноября не упоминаются ни тот инцидент, ни оператор той системы. Связаны ли они, не раскрыто, и этот сайт выводов не делает. О стороне, связанной с доставкой почты, рассказано в нашей статье о Cuenote FC.
Как это читать: пароли не входят в утечку лишь на данный момент
Компания говорит, что пароли и данные карт не входят в утечку в пределах того, что она подтвердила до сих пор. Причина и масштаб еще расследуются, и объяснение может измениться по результатам. Пока не появится продолжение, чуть внимательнее обычного следите за незнакомыми списаниями и уведомлениями о входе.
К чему может привести сочетание утекших данных
В общем случае такие сочетания могут привести к следующим видам злоупотреблений. Это не означает, что что-либо из этого произошло здесь.
- Имя + адрес + номер телефона + адрес электронной почты: поддельные письма, SMS и звонки, выглядящие адресованными вам, под видом курьерских служб, магазинов или эмитентов карт. Поскольку номер телефона входит в данные, проще использовать SMS и голосовые звонки
- Дата рождения + пол: можно использовать в контрольных вопросах или для персонализированных формулировок, например товаров для вашей возрастной группы
- Тип кожи + тип волос + псевдоним: позволяет писать формулировки, похожие на сообщение для участников. Возможны имитации розыгрышей призов, образцов или привилегий для участников
- Идентификатор пользователя + адрес электронной почты: показывает, что вы пользовались сервисом компании, и может использоваться в сообщениях, притворяющихся обращением в поддержку (компания поясняет, что идентификатор пользователя для входа не используется)
О том же типе инцидентов (утечка имен, адресов и контактов участников) см. нашу статью о FANCL и Attenir и нашу статью о Beauty Garage.
Для операторов: что позволяют проверить раскрытые факты
Причина и метод не раскрыты, и этот раздел не оценивает действия компании. Он перечисляет лишь те пункты из раскрытых фактов, которые оператор сервиса с участниками может проверить на своем сайте.
Проверьте, какие данные вы храните после выхода и как долго
Согласно уведомлению, вышедшие участники тоже затронуты, и компания говорит, что связывается с ними по данным, которые хранит определенное время после выхода. В качестве совета этого сайта: составьте список того, какие данные ваш сервис хранит и сколько месяцев после выхода, и пересмотрите, нельзя ли удалять к установленному сроку те, что не нужны для цели.
Исходите из того, что массовое уведомление занимает время, и заранее определите отправителя
Компания говорит, что уведомление занимает время из-за числа пострадавших, и объявила домен отправителя своих писем вместе с просьбой проверить спам-фильтр. Если уведомления рассылаете вы, опубликуйте домен отправителя и составляйте сообщение так, чтобы людям не нужно было подтверждать что-либо по ссылке в письме; тогда поддельному уведомлению труднее затеряться среди настоящих. Аутентификация отправителя описана в нашей статье о SPF, DKIM и DMARC.
Источники (публичные сведения)
Факты в этой статье основаны на следующей публичной информации. Мы не гадаем о путях проникновения и методах, которые не раскрыты.
- istyle Inc., извинения и уведомление об утечке персональных данных из-за несанкционированного доступа (2 ноября 2026) — istyle.co.jp
- Та же компания, уведомление о несанкционированном доступе к системе доставки почты Cuenote FC (23 октября 2026; отдельное объявление) — istyle.co.jp
- Та же компания, список новостей (продолжения проверены 4 ноября 2026) — istyle.co.jp
Журнал обновлений
2026-11-04: Первая версия, основанная на уведомлении компании от 2 ноября 2026 года. По состоянию на 4 ноября продолжения (второго сообщения) опубликовано не было. Время и причина доступа, а также связь с отдельным объявлением от 23 октября не раскрыты; мы обновим статью, когда они будут раскрыты.
Читайте далее
- Отдельное объявление: Несанкционированный доступ к сервису доставки почты Cuenote FC (связь с этим инцидентом не раскрыта)
- Инциденты того же типа: Утечка FANCL и Attenir / Утечка Beauty Garage и Eyelash Garage
- Последующее мошенничество: Что такое фишинг?
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и зарубежье)