日本知名美妝評價平台@cosme日前證實遭遇網路攻擊，導致約300萬用戶的個人身份與皮膚、頭髮資料外洩。這起事件凸顯美妝科技產業在收集大量敏感資訊時，所面臨的數據安全挑戰，並引發消費者對個人資料安全的擔憂。

@cosme是日本最大的美妝商品與評論平台，由istyle Inc.營運。駭客於2026年10月28日成功入侵了@cosme Common ID系統。此系統是一個集中式的身份驗證平台，旨在整合用戶的忠誠度點數與個人化產品推薦，讓用戶在@cosme生態系中享有統一體驗。外洩資料包含用戶的日文姓名（漢字與假名）、郵遞區號、居住地址、電話號碼、電子郵件、出生年月日及註冊性別。更敏感的是，用戶自行回報的膚質與髮質資訊也一併遭到竊取，總計有11種不同的個人與皮膚學數據欄位被洩露。

幸運的是，用戶的登入密碼雜湊值與付款卡號資訊儲存於獨立基礎設施，在這次入侵中未受影響。然而，將用戶經過驗證的住址與詳細的美容檔案結合，為駭客提供了進行「社交工程」詐騙的理想資料集。詐騙集團可能利用這些高度個人化的資訊，冒充品牌服務團隊，以極高的說服力發送客製化試用品包裹通知，藉此進行二次詐騙或網路釣魚。例如，外洩的日本郵遞區號、街道地址和日文姓名，可能被用於實體郵件詐騙或貨到付款詐欺。此外，駭客還能利用外洩的電子郵件與出生日期，比對其他第三方資料庫，進而劫持用戶在其他電商平台的帳戶。

istyle Inc.已立即向日本個人情報保護委員會（PPC）通報這起事件，並委託外部網路安全專家審核伺服器存取紀錄，以釐清確切的入侵途徑。公司已開始向所有約300萬名受影響的@cosme Common ID用戶發送個人化通知。istyle Inc.也表示，截至2026年11月初，尚未發現有二次金融詐騙的案例發生。

根據日本修訂後的《個人情報保護法》（APPI），若未經授權的資訊洩露影響超過1,000人或可能造成二次危害，營運商必須進行通報。istyle Inc.預計將於2026年11月下旬提交最終的根因鑑識報告及永久性資料庫存取控制措施。公司建議用戶應忽略任何要求信用卡驗證以接收美容試用品的電子郵件或簡訊。用戶應僅透過經過驗證的@cosme行動應用程式查閱官方通知，並審查使用相同電子郵件或電話號碼的其他日本電商帳戶是否存在異常。

參考來源