ローソンの不正アクセス｜ローソンID 215万件の漏えい項目を訂正

ローソンは2026年10月24日、10月8日に公表した「ローソンID」と「ローソンアプリ予約」への不正アクセスの発表に追記し、漏えいした情報の項目を訂正しました（ローソンの2026年10月24日の追記）。 詳しい調査の結果、「メールアドレス」「メルマガ取得情報」は漏えいしておらず、「生年月日」に漏えいの可能性があることが分かったとしています。 ローソンID の登録者のうち対象の約215万人と、ローソンアプリ予約の利用者の一部に関係します。

公表された内容

• 対象のサービス：アカウントのサービス「ローソンID」と、催事の商品を予約・決済する「ローソンアプリ予約」
• 件数：ローソンID が215万5,345件、ローソンアプリ予約が26件（ローソンの発表）
• 情報の種類（10月24日の訂正後）：ローソンID は氏名・性別・電話番号・住所と、生年月日（漏えいの可能性）。ローソンアプリ予約は氏名・電話番号・クレジットカード番号の一部
• 訂正の内容：当初の発表に含めていたメールアドレスとメルマガ取得情報は漏えいしていないこと、生年月日は漏えいの可能性があることが、その後の調査で分かったとしています
• 時期：不正アクセスはローソンID が2026年9月12日〜14日、ローソンアプリ予約が9月17日。10月7日の調査で分かったとしています
• 原因：ローソンアプリに関係するシステムで、利用者本人に情報を表示するための仕組みが第三者から不正にアクセスされたとしています。どのように悪用されたかの詳細は公表されていません
• 会社の対応：不審なアクセス元を遮断し、ローソンアプリ予約の機能を止めたうえで10月19日に再開（アプリの更新が必要）。対象の人へ個別にメールで案内し、個人情報保護委員会などに報告したとしています
• 二次被害：本件による不正利用などは確認されていないとし、本件以外の不正アクセスやマルウェアへの感染がないことも確かめたとしています。登録先に届く不審なメール・SMS・電話に注意するよう呼びかけています

経緯

• 2026年9月12日〜14日：ローソンID への不正アクセス
• 2026年9月17日：ローソンアプリ予約への不正アクセス
• 2026年10月7日：調査で判明
• 2026年10月8日：公表
• 2026年10月13日：個別の案内メールの送信元アドレスを追記
• 2026年10月19日：ローソンアプリ予約の機能の停止と再開を追記
• 2026年10月24日：漏えいした情報の項目を訂正

中小企業が今日からできること

• アプリや会員ページの「本人の情報を表示する仕組み」を点検する：ログインした人に登録情報を返す API や画面が、他人の ID を指定しても情報を返さないか、委託先に確かめてもらう
• 大量の照会を見張る：会員情報を表示する仕組みに、短い時間に多くの問い合わせが来たら気づけるよう、アクセスの記録と通知の設定を確かめる
• 記録を残しておく：どの項目が実際に読まれたかを後から調べられるよう、アクセスの記録の保存期間と、記録に残す項目を決めておく。項目が分かれば、知らせる範囲を正しく絞れる
• 訂正の出し方を決めておく：第一報は分かる範囲で広めに知らせ、調査で分かったことは同じページへの追記で日付を添えて示す流れを、事故のときの手順に書いておく
• 会社を名乗る連絡に注意を促す：漏えいのあとに会社を名乗るメール・SMS・電話が増えることを前提に、顧客への注意の文面を用意しておく