ローソンの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月8日、ローソンはアカウントのサービス「ローソンID」と、催事の商品を予約・決済する「ローソンアプリ予約」への第三者による不正アクセスを公表しました。不正アクセスはローソンID が9月12日〜14日、ローソンアプリ予約が9月17日で、10月7日の調査で分かったとしています（ローソンの発表）。 対象はローソンID が215万5,345件、ローソンアプリ予約が26件です。ローソンアプリに関係するシステムで、利用者本人に情報を表示するための仕組みが不正にアクセスされたとしています。 10月24日の追記で、ローソンID の漏えいした情報の項目を訂正しました。メールアドレスとメルマガ取得情報は漏えいしておらず、生年月日に漏えいの可能性があるとしています。訂正後は、ローソンID が氏名・性別・電話番号・住所・生年月日（可能性）、ローソンアプリ予約が氏名・電話番号・クレジットカード番号の一部です。

会社の対応

• 不審なアクセス元を遮断した
• ローソンアプリ予約の機能を止め、10月19日に再開した（アプリの更新が必要）
• アプリでの告知と、対象の人への個別のメールで知らせた
• 個人情報保護委員会などに報告した
• 本件以外の不正アクセスやマルウェアへの感染がないことを確かめたとしている
• 再発防止策として、対象システムのセキュリティ対策・監視・事故対応の体制を強めるとしている
• 調査で分かったことを、同じ発表への追記（10月13日・19日・24日）で知らせている

この事例から中小企業が学べること

• アプリや会員ページで本人の情報を返す仕組みが、他人の情報を返さないかを、委託先を含めて点検する
• 会員情報を表示する仕組みへの大量の問い合わせに気づけるよう、記録と通知を整える
• どの項目が読まれたかを後から確かめられるよう、アクセスの記録を残す
• 第一報のあとに分かったことは、日付を添えて追記・訂正する