無料会員登録
アイスタイルは11月2日、「@cosme」への第三者による不正アクセスにより、「@cosme共通ID」に登録された会員情報の一部、約300万人分が漏えいしたと発表した。対象には退会済みの人も含まれ、肌質や髪質といった情報が含まれる点が注目される。
概要
化粧品総合サイト「@cosme」を運営するアイスタイルは、@cosmeへの第三者による不正アクセスで会員情報が外部に漏えいしたと発表した。不正アクセスがあった日時や手口は明らかにされていない。原因と影響範囲は調査中である。
アイスタイルの発表によると、時系列は次のとおり。
10月28日、同社は不正アクセスによる会員情報の漏えいを確認した。その後、被害の拡大防止に向けた対応を進めたとされる。
11月2日、同社は漏えいの事実を公表した。現在は第三者のセキュリティ専門会社とともに、原因と影響範囲を調査している。
11月6日、対象者への個別連絡が完了する予定である。
委託先など関係する組織の発表は、確認できた範囲では見当たらなかった。同社は10月23日に、メール配信システム「Cuenote FC」への不正アクセスに関する別のお知らせを出している。11月2日の発表が、この件と関係するかどうかは確認できていない。
被害・影響の範囲
漏えいした情報は、氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、ユーザーID（自動発番）、性別、生年月日、ニックネーム、肌質、髪質である。ユーザーIDは登録時に自動で発番されるもので、ログインには使わないという。
現時点では、ログイン時のパスワードとクレジットカード情報は含まれていないことを確認しているとされる。
件数は約300万人で、すでに退会した人でも、不正アクセス時点で会員だった場合は対象になる。
同社が把握している範囲では、今回の件に起因する個人情報の不正利用や二次被害は確認されていない。他の組織への影響は、現時点で公表されていない。
アイスタイルは今年、別の案件も公表している。9月16日には、従業員が外部ファイル転送サービスの公開設定を誤り、約20分間、個人情報を含むファイルが閲覧可能な状態になったと発表した。これは外部からの攻撃ではなく、今回の件とは別の発表である。
企業・団体の対応
同社は発表の中で、会員に心配をかけたことをわびた。調査結果を踏まえ、再発防止策を検討し、実施するとしている。
対象者には、同社が把握している連絡先を通じて順次個別に連絡する。案内メールは「cosme.net」ドメインから送る。退会した人には、退会後一定期間保管している情報をもとに連絡する。
個人情報保護委員会には、すでに報告したとされる。
同社は、関連するなりすましメールやSMS、電話が届く可能性があるとして注意を呼びかけている。案内メールでパスワードやクレジットカード情報の入力を求めることはないという。
編集部コメント（読者企業が取るべき対策）
今回の事案では、パスワードやカード情報が含まれなくても、属性情報だけで悪用のおそれが残る点に注意が必要である。退会者のデータも対象になったため、保管している情報の範囲を把握しておくことが重要になる。自社の会員基盤について、次の点を確認したい。
保有データの棚卸し
氏名、住所、生年月日に加え、肌質や髪質のような趣味嗜好に関わる情報がどこにあるかを一覧にする。漏えい時に影響が大きい項目を洗い出し、アクセス権限とログ取得の状況を点検する。
退会者データの保管見直し
退会後も情報を保管している場合は、保管期間と保管理由を明確にする。不要になったデータは、削除や匿名化を定めた基準に沿って処理する。
フィッシング対策
漏えいした連絡先を悪用した、なりすましメールやSMSが届くおそれがある。自社の案内メールの送信ドメインと、入力を求めない情報を利用者に周知しておく。
外部システムの利用状況の確認
メール配信など外部サービスの利用範囲を把握し、委託先から連絡を受けた際の判断手順を決めておく。委託先での不審なアクセスの検知時に、利用停止を判断する基準も事前に整える。
利用者への情報提供
漏えいの有無が確定する前でも、確認できた事実と対応を段階的に公表できる体制を整える。問い合わせ窓口と、個別連絡の完了予定日を明示することが望ましい。
なお、不正アクセスの日時や手口、原因、影響範囲の詳細は現在調査中とされている。今後の続報に注意されたい。
出典
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
関連コラム（あわせて、以下の記事もよく読まれています）
No related posts.
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
