パスワードもカードも漏れていないなら、心配は要らないのでしょうか。アイスタイルが11月2日に公表した「@cosme（アットコスメ）」の漏えいでは、むしろ別の2つの項目が気になります。ニックネームと、ユーザーIDです。
@cosmeのクチコミの欄では、ニックネームは画面に、ユーザーIDはニックネームから開くページのURLに出ています。その2つが、名前や住所、生年月日と同じ並びで漏れました。匿名のつもりで書いた肌の悩みや年代が、本名と結びつくおそれがあります。
発表に書かれていること
| 項目 |
11月2日の発表 |
| 確認した日 |
10月28日（水） |
| 対象 |
「@cosme共通ID」に登録された会員情報の一部、約300万人分 |
| 項目 |
ユーザーID（登録時に自動で付く番号で、ログインには使わない）、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質 |
| 含まれないもの |
ログイン時のパスワードとクレジットカード情報（現時点で確認） |
| 退会した人 |
不正アクセスの時点で会員なら対象。退会後に一定期間保管している情報をもとに連絡 |
| 連絡 |
対象者へ順次個別に。完了は11月6日（金）の予定。案内のメールは「cosme.net」ドメインから |
| 届け出と調査 |
個人情報保護委員会に報告済み。第三者のセキュリティ専門会社と、原因と影響範囲を調査中 |
アイスタイルの11月2日の発表。項目にユーザーIDとニックネーム出典: 株式会社アイスタイル「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」(引用)
発表からは、不正アクセスがいつあったかも、どこから入られたかも読み取れません。約300万人が会員全体のどれくらいにあたるかも、@cosmeを使った法人向けのサービスの利用企業に関わる情報が含まれるかも同じです。発表の対象は、@cosme共通IDの会員情報です。
ニックネームとユーザーIDは、もともと公開されている
@cosmeのプライバシーポリシーによると、ユーザーIDは利用者ごとに付き、ユーザーページなどのURLで公表されます。
ユーザーIDは、会員登録や投稿・回答等の履歴管理のため、@cosmeにおける利用者のユーザーページ等一部のページにおけるURLにおいて公表されます
出典: 株式会社アイスタイル「@cosmeプライバシーポリシー」
商品のクチコミの欄で書き手のニックネームから開くページのURLには、数字のユーザーIDが入っていました（11月3日に確認）。
漏れた項目のユーザーIDが、このURLの番号と同じものかは、発表にありません。ただ、同じ番号なら、漏れたデータを持つ人は、公開のクチコミと本名・住所・生年月日を突き合わせられます。ニックネームだけでも、珍しいものなら同じことが起きます。
同じ欄には、ニックネームの横に年齢と肌質も出ています。漏れた生年月日と肌質と照らせば、ユーザーIDが別の番号でも、書き手を絞り込めるおそれがあります。
この点を、編集部は今回の発表でいちばん重いとみています。パスワードは変えられます。でも、漏れた名簿の中の本名とニックネームの組み合わせは、クチコミを消しても名簿の側に残ります。@cosmeは、肌質と髪質を、個人を識別できない形に加工して第三者に提供する情報の項目にも挙げています（プライバシーポリシーの12）。マーケティングで価値のある項目は、偽のサンプルの案内のような、狙いを絞った詐欺の材料にもなりえます。
10月末からの漏えいと比べても、この組み合わせは目立ちます。10月30日のMUJIアプリの件は、報道によると氏名・住所・電話番号を含みませんでした。クラブツーリズムの件は名前と住所に加えて緊急連絡先が入りましたが、公開の表示名はありません。名前と連絡先、肌質や髪質といった属性、公開の表示名が1つの並びでそろったのは、@cosmeの件だけでした。
退会した人も対象、保管の期間は「一定期間」
退会した人も、不正アクセスの時点で会員なら対象です。プライバシーポリシーでは、退会したあとのパーソナルデータは「一定期間保管の後削除」で、期間の長さはありません。MUJIアプリの件でも、退会した人が対象に入りました。退会した人の情報を何件、いつまで持つかを数える手順は、MUJIアプリの記事でご覧いただけます。
