2026年10月9日／ネット・セキュリティ 情報確認時点：同日09時32分（日本時間）
- ローソンが10月8日、第三者の不正アクセスによる個人情報漏えいを発表した。
- 対象はローソンIDの215万5,345件と、アプリ予約の26件。両者を合算した実人数は公表されていない。
- アプリ予約機能は停止。対象者へ順次メールで案内し、不審なメール・SMS・電話への注意を呼びかけている。
ローソンは、アプリやWebサービスで使う「ローソンID」と、季節商品をアプリで予約・決済する「ローソンアプリ予約」に対する不正アクセスを確認し、個人情報の一部が漏えいしたと公表した。「漏えいの可能性」にとどまる発表ではなく、調査により漏えいを確認したとしている。発表時点で、この件に起因すると考えられる不正利用や二次被害は確認されていない。ローソンの公式発表
どの情報が対象になったのか
- ローソンID：215万5,345件。メールアドレスと氏名。プレゼント応募などで入力していた場合は、性別、電話番号、住所、メルマガ取得情報も含む。
- ローソンアプリ予約：26件。氏名、電話番号、クレジットカード番号の一部。
公式発表は「対象人数」という見出しの下に、いずれも「件」の単位で記載している。このため本記事も件数として表記する。両サービスの対象者が重なるかは説明されておらず、単純に足して被害人数とすることはできない。カード番号についても、どの桁が含まれるかは示されていない。番号全体やセキュリティコードの漏えいが確認された、という発表ではない。
発生は9月、判明は10月7日
不正アクセスがあった期間は、ローソンIDが9月12～14日、アプリ予約が9月17日。10月7日の調査で判明し、翌8日に公表された。INTERNET Watchは8日20時37分に報じており、9日朝のニュース対象期間に入る出来事だ。事件が発生した日と、利用者に向けて公表された日は分けて捉える必要がある。INTERNET Watchの報道
同社は、アプリで本人に情報を表示するためのセキュリティ機構が不正アクセスを受けたと説明している。ただし、具体的な攻撃手法や脆弱性の詳細は示していない。本件以外の不正アクセスとマルウェア感染はないことを確認済みとしており、ランサムウェア被害と断定できる情報はない。
予約機能は停止、10月中旬の再開を予定
ローソンは不審なアクセス元を遮断し、アプリ予約機能を停止した。アプリ上で案内を出すとともに、対象者へ順次個別にメールを送る。個人情報保護委員会への報告も済ませたという。アプリ予約は10月中旬の再開を予定しており、再開時は公式サイトなどで知らせるとしている。現時点の予定であり、再開済みという意味ではない。
今回の発表が停止対象として挙げているのは「ローソンアプリ予約機能」。ローソンのアプリ全体や全国の店頭決済が停止したという発表ではない。予約を予定している人は、公式の再開案内を確認したい。
利用者が今確認したいこと
- アプリと公式サイトの案内を確認する。ローソンは対象者へ「lawson_id@mailservice.lawson.jp」から順次案内するとしている。送信元表示だけで安全と判断せず、不審な内容があれば公式サイトから確認する。
- 突然届いたメール、SMS、電話に注意する。同社は登録連絡先への不審な連絡を警戒するよう呼びかけている。編集部としても、身に覚えのないリンクからログイン情報やカード情報を入力しないことを勧める。
- 対象か分からない場合は公式窓口を使う。本件の問い合わせ先は、公式発表から案内されているローソンカスタマーセンターの専用受付フォーム。不審なメッセージに書かれた連絡先へ返信する前に、公式の案内と照合したい。
今回確認した公式発表には、全利用者への一律のパスワード変更やカード再発行の要求は記載されていない。また、個別案内は順次送られるため、メールがまだ届いていないことだけで対象外とは判断できない。追加の対応が案内された場合は、その内容を公式の経路で確かめよう。
ほかの不正アクセス事例を読むときも、対象と対応を分ける
企業の不正アクセスを巡るニュースでは、漏えいした情報、停止したサービス、利用者に求められる対応が事件ごとに異なる。背景を整理するには、既存記事「企業の不正アクセスは日本だけ？タイムズカー・焼肉きんぐなど国内外の最新事例を比較」も参考にしてほしい。今回のローソンの件と他の事件との関連や共通原因は、確認されていない。
出典：ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日、掲載時刻の記載なし）。公式本文を直接確認した。国内報道：INTERNET Watch（10月8日20時37分）。公表内容と読者向けの一般的な注意事項を区別して記載した。
コメント