ローソンID 215万件超が漏えい 氏名やメールアドレス流出、次に警戒すべきこと：公式アプリのシステムで何が起きたのか

ローソンのアカウントサービス「ローソンID」で215万件を超える個人情報が漏えいした。被害は公式アプリに関連するシステムへの不正アクセスによるもので、メールアドレスや氏名の他、一部の利用者は住所や電話番号も対象となった。現時点で二次被害は確認されていないが、漏えいした情報が悪用されるリスクは残る。今回の事案で何が起き、利用者や企業は何に注意すべきなのか。

[＠IT]

　ローソンは2026年10月8日、同社のアカウントサービス「ローソンID」と「ローソンアプリ予約」が第三者から不正アクセスを受け、利用者の個人情報が漏えいしたと発表した。ローソンIDの対象は215万5345件、ローソンアプリ予約は26件。現時点で今回の事案に起因すると考えられる不正利用や二次被害は確認していないという。

ローソンIDの215万件超が漏えい　氏名やメールアドレスも対象に

　同社が2026年10月7日に実施した調査で不正アクセスが判明した。被害が発生した期間は、ローソンIDが同年9月12〜14日まで、ローソンアプリ予約が同月17日。今回判明した事案以外の不正アクセスやマルウェア感染は確認されていないとしている。

　ローソンIDから漏えいした情報は、メールアドレスと氏名。プレゼント応募などで性別、電話番号、住所、メルマガ取得情報を入力していた場合は、これらも対象となる。

　一方、ローソンアプリ予約では、氏名、電話番号、クレジットカード番号の一部が漏えいした。クレジットカード番号については一部の漏えいとされており、番号全体が漏えいしたと確認されたわけではない。

　ローソンIDは、同社のアプリやWebサービスを利用する際に使うアカウントサービス。ローソンアプリ予約は、季節の催事商品を公式アプリ「ローソンアプリ」から事前予約・決済できるサービスだ。

本人向けの情報表示機構に不正アクセス　漏えい後の二次被害にも警戒

　原因について同社は「ローソンアプリ」が不正に利用されたことによるものと説明している。本来、アプリで利用者本人に情報を表示するためのセキュリティ機構が第三者から不正アクセスを受け、情報が漏えいしたことを確認したという。ただし、発表では、具体的な侵入経路や脆弱（ぜいじゃく）性の有無、認証・認可の仕組みにどのような問題があったのかまでは明らかにしていない。

　同社は被害拡大を防ぐため、不審なアクセス元を遮断し、ローソンアプリ予約の機能を停止した。アプリで利用者に告知した他、対象者には「[e-mail]」または「[e-mail]」から順次、個別に連絡する。送信元アドレスは2026年10月13日に追加公表されたもので、同社は個人情報保護委員会への報告も済ませた。

　再発防止策として、対象システムのセキュリティ対策と監視体制、インシデント対応体制を強化する方針だ。ローソンアプリ予約は2026年10月中旬の再開を予定するとしているが、利用者は最新の告知を確認したい。

　今回の事案では、現時点で不正利用や二次被害は確認されていない。しかし、メールアドレスや氏名などが漏えいした場合、これらの情報を悪用して実在する企業やサービスを装うフィッシングメールや詐欺のリスクが生じる。漏えいした情報が実際に悪用されたと確認されたわけではないものの、利用者はローソンを名乗るメールやSMS、電話に注意する必要がある。

　同社は、登録した連絡先に届く不審な連絡に注意するよう呼び掛けている。利用者への個別連絡を装う偽メールにも警戒し、メール内のリンクから安易にログイン情報や決済情報を入力しないことが重要だ。

　企業側にとっても、情報を表示する機能を含むアプリ関連システムのアクセス制御や監視体制を点検し、情報漏えいを検知した後の封じ込めと利用者への連絡を迅速に進められる体制を整えることが課題となる。