【約215万件】ローソンIDに不正アクセス｜漏えいした情報・原因と利用者の対処法

ローソンは2026年10月8日、アカウントサービス「ローソンID」と、アプリの「ローソンアプリ予約」が第三者による不正アクセスを受け、個人情報が漏えいしたと公表しました。ローソンIDの漏えい件数は215万5,345件で、メールアドレスと氏名に加え、登録状況によっては電話番号や住所も含まれます。

この記事では、公表文をもとに漏えいした情報と原因を整理し、ローソンIDを持っている人が気をつけたい連絡と、いまのうちにとっておきたい対応をまとめます。

ローソンIDで約215万件、アプリ予約で26件が漏えい
原因は「本人に情報を表示する仕組み」への不正アクセス
ローソンの対応：予約機能を停止し、対象者にはメールで個別に案内
利用者への影響：住所・電話番号つきの名簿として悪用されうる
ローソンIDの利用者がとるべき対応
考察：発覚まで3週間以上、原因の詳細は非公表
まとめ
関連記事

ローソンIDで約215万件、アプリ予約で26件が漏えい

項目	ローソンID	ローソンアプリ予約
サービスの内容	ローソンのアプリやWebサービスを使うためのアカウント	季節の催事商品をアプリから事前に予約・決済するサービス
不正アクセスを受けた日	2026年9月12日〜14日	2026年9月17日
漏えい件数	215万5,345件	26件
漏えいした情報	メールアドレス、氏名プレゼント応募などで入力していた場合は、性別・電話番号・住所・メルマガ取得情報も	氏名、電話番号、クレジットカード番号の一部

不正アクセスが判明したのは10月7日の調査で、公表はその翌日です。ローソンは、今回の件以外の不正アクセスやマルウェア感染はないことを確認済みとしています。また、現時点でこの件が原因とみられる不正利用や二次被害は確認されていないとしています。

なお、公表文が挙げる漏えい項目にパスワードは含まれていません。ポイントやローソンID以外のサービスへの影響についても、公表文には記載がありません。

原因は「本人に情報を表示する仕組み」への不正アクセス

ローソンは原因について、ローソンアプリに関連するシステムが不正に利用されたと説明しています。具体的には、アプリ上で利用者本人に登録情報などを表示するためのセキュリティ機構が、第三者による不正アクセスを受けたとしています。

アプリでマイページを開くと、自分の氏名や連絡先が画面に表示されます。このとき裏側では、「いま情報を求めているのは本人か」を確かめたうえで、その人の情報だけを返す仕組みが動いています。公表文の書き方からは、この確認をすり抜けて他人の情報を引き出せる状態になっていた可能性が考えられます。3日間で200万件を超える情報が持ち出されたことからも、機械的に大量の取得が行われたとみるのが自然です。ただし、これらは公表文から読み取れる範囲での筆者の推測で、ローソンは具体的な手口を公表していません。

ローソンの対応：予約機能を停止し、対象者にはメールで個別に案内

ローソンは判明後、被害の拡大を防ぐために次の対応をとったとしています。

不審なアクセス元のブロック
ローソンアプリ予約の機能停止
ローソンアプリ上での告知
対象者へのメールでの個別案内（送信元は「ローソンIDメール」lawson_id@mailservice.lawson.jp）
個人情報保護委員会など関係機関への報告

再発防止策としては、対象システムのセキュリティ対策と監視体制、インシデント対応体制の強化を挙げています。停止中のローソンアプリ予約は10月中旬に再開する予定で、再開時はローソンの公式サイトなどで告知されます。

利用者への影響：住所・電話番号つきの名簿として悪用されうる

パスワードが漏えい項目に入っていないため、この件だけでローソンIDが乗っ取られる可能性は低いと考えられます。注意したいのは、漏えいした連絡先に届く詐欺の連絡です。ローソン自身も、登録した宛先への不審なメール・SMS・電話に注意するよう呼びかけています。

今回の漏えいは、メールアドレスに氏名がひもづいている点が重く、プレゼント応募などで入力した人は電話番号と住所まで含まれます。宛名入りの詐欺メールや、住所を知っている前提の電話は、本物らしく見えやすくなります。たとえば次のような連絡が考えられます（いずれも筆者の想定です）。

ローソンを名乗り、「お詫びのポイント付与」「本人確認」「登録情報の再設定」を求めてリンク先へ誘導するメールやSMS
宅配業者の不在通知を装い、偽サイトでカード情報を入力させるSMS
「漏えいの補償手続き」を口実に、口座番号やカード情報を聞き出そうとする電話

公表文には、補償やお詫びの品に関する記載はありません。補償を持ちかけて個人情報や支払いを求めてくる連絡は、疑ってかかるのが安全です。

ローソンアプリ予約の26件では、クレジットカード番号の一部が漏えいしています。番号の一部だけで決済に使われる可能性は低いと考えられますが、氏名・電話番号と組み合わせて「カード会社です。末尾が○○のカードについて」と信用させる手口には使えます。

ローソンIDの利用者がとるべき対応

対象かどうかはローソンからのメールとアプリの告知で確かめる

対象者には、ローソンIDメール（lawson_id@mailservice.lawson.jp）から順次メールが届きます。ただ、差出人の表示は偽装できるため、この表示だけで本物と判断するのは危険です。案内メールが届いても、リンクから個人情報やカード情報を入力するのは避け、内容はローソンアプリの告知やローソン公式サイトのお知らせで確かめてください。

宛名入りの連絡でも、リンクを開かず公式アプリから確かめる

漏えいした情報には氏名が含まれるため、「自分の名前が書いてあるから本物」という判断はできなくなりました。ローソンや宅配業者、カード会社を名乗る連絡が届いたら、メールやSMSのリンクではなく、公式アプリやブックマークした公式サイトから状況を確かめます。電話で個人情報や口座番号を聞かれたら答えずに切り、公式の窓口にかけ直すのが確実です。

アプリ予約を使っていた人はカードの利用明細を確認する

ローソンアプリ予約でカード決済をしたことがある人は、しばらくカードの利用明細をこまめに確認しておくと安心です。覚えのない請求があれば、カード裏面の番号からカード会社に連絡してください。

パスワードを使い回しているなら、この機会に分ける

今回パスワードは漏えい項目に入っていません。ただ、ローソンIDと同じメールアドレス・パスワードの組み合わせをほかのサービスでも使っている場合、別の漏えいと組み合わさったときに被害が広がります。使い回しがあれば、この機会にサービスごとに分けておくと安心です。

不明な点の問い合わせ先は、ローソンカスタマーセンターの専用受付フォーム（https://lawson-faq.lawson.co.jp/）です。

考察：発覚まで3週間以上、原因の詳細は非公表

不正アクセスは9月12日に始まり、判明したのは10月7日です。少なくとも3週間あまり、情報が第三者の手にあった可能性があります。利用者が対象だと知ったのは公表後ですが、詐欺の連絡はそれより前から届いていてもおかしくありません。9月中旬以降に届いた「ローソン」名義の不審な連絡にも、さかのぼって注意しておくとよいでしょう。

原因の説明が「本人に情報を表示するためのセキュリティ機構」への不正アクセスにとどまっている点も気になります。ログインの仕組みが破られたのか、表示の仕組みそのものに不備があったのかで、ほかの機能への影響の見方は変わります。続報で手口が示されれば、利用者の側でも注意点を絞れます。

10月に入ってからも、ビューカードやバイトルなど、メールアドレスを含む漏えいの公表が続いています。複数のサービスで同じメールアドレスを使っていれば、届いた詐欺メールがどこから漏れたアドレス宛てなのかは区別できません。差出人で真偽を見分けようとするより、「メールやSMSのリンクから入力しない」を習慣にするほうが確実な対策になります。