@cosme 确认约 300 万会员个人资料泄露
istyle 称 @cosme 遭未授权访问，约 300 万会员资料泄露，涉及住址、出生日期及肤质、发质等。厂商称不含密码和信用卡资料，已退会者也可能受影响；计划于11月6日完成逐一通知，调查仍在进行。
- 披露时间
- 2026年11月2日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 未授权访问发生时的 @cosme 共通 ID 会员，包括此后已退会者
- 数据泄露 · 日本 · 用户账户
- 在野利用
- 已发现
- istyle 确认未授权访问造成会员资料泄露。
发生了什么
istyle 列出的字段包括自动分配的用户 ID（不是登录标识）、昵称、汉字及假名姓名、邮编、地址、电话、邮箱、性别、出生日期、肤质和发质；不代表每个人都有全部字段。厂商称不含登录密码及信用卡资料，目前在其掌握范围内未发现由此产生的滥用。
istyle 已向日本个人信息保护委员会报告，并与外部安全公司调查原因及范围。入口与完整暴露时间尚未公布。10月28日确认泄露与11月2日公开通知是两个日期；这是已确认的大规模个人资料泄露，不能据此声称信用卡资料被盗。
案发时间线
2026年10月28日
istyle 确认未授权访问导致会员资料泄露
2026年11月2日
公开约 300 万人受影响，调查仍在进行
2026年11月6日（计划）
预计完成逐一通知
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- istyle 11月2日原始公告一手来源
- @cosme 原始客户通知一手来源