ローソンIDに不正アクセス、個人情報215万件超が漏えい
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不正アクセス: ローソンID 2026年9月12日〜14日／ローソンアプリ予約 9月17日 / 判明: 10月7日 / 公表: 10月8日 |
| 対象組織・業界 | 株式会社ローソン／コンビニエンスストアの運営 |
| 対象サービス | ローソンID（アプリやWebサービスを使うためのアカウントサービス）／ローソンアプリ予約（季節の催事商品をアプリから予約・決済するサービス） |
| 漏えい件数 | ローソンID 215万5,345件／ローソンアプリ予約 26件 |
| 攻撃手法 | 不正アクセス（アプリで本人に情報を表示する仕組みが不正アクセスを受けたと同社は説明） |
| 情報源 | ローソン 公式お知らせ（2026年10月8日） / INTERNET Watch |
株式会社ローソンは2026年10月8日、「ローソンID」と「ローソンアプリ予約」が不正アクセスを受けたと公表しました。
ローソンIDでは215万5,345件の個人情報が漏えいしました。項目はメールアドレスと氏名です。プレゼントの応募などで入力していた場合は、性別・電話番号・住所・メルマガ取得情報も含まれます。アプリ予約では26件の氏名・電話番号・クレジットカード番号の一部が漏えいしました。
公表時点で、不正利用や二次被害は確認されていません。同社は、登録先に届く不審なメール・SMS・電話に注意するよう呼びかけています。
- 2026年9月12日〜14日: ローソンIDが不正アクセスを受ける
- 9月17日: ローソンアプリ予約が不正アクセスを受ける
- 10月1日: 別件として、メールサーバーの不正利用を公表（本件との関連は未公表）
- 10月7日: 同社が実施した調査で、上記の不正アクセスが判明
- 判明後: 不審なアクセス元をブロックし、アプリ予約機能を停止
- 10月8日: 公表。個人情報保護委員会に報告し、対象者に順次メールで連絡
再発防止策として、同社は対象システムの監視体制やインシデント対応体制の強化を挙げています。アプリ予約は10月中旬に再開する予定です。
同社によると、アプリ上で利用者本人に情報を表示するためのセキュリティ機構が、不正アクセスを受けました。機構がどう突破されたのかは公表されていません。本件以外の不正アクセスやマルウェア感染はないとしています。
会員向けのアプリやWebサービスの多くは、本人に登録情報を表示する機能を持っています。この機能は悪用されても、1回ごとのアクセスが通常の利用と見分けにくくなります。異常が表れるのは、返した件数と速さです。
自社の表示機能について、「どのアクセス元に、どのアカウントの情報を返したか」をアプリ側で記録しているかを確かめておきます。一般的なWebサーバーのログには、返した相手のアカウントまでは残りません。記録があれば、1つのアクセス元が多数のアカウントの情報を受け取った動きを集計でき、不審な通信を絞り込む手がかりになります。
ヤグラの視点 — 自社の監視が、どこまで届いているか
Section titled “ヤグラの視点 — 自社の監視が、どこまで届いているか”自社の監視をSOCに委託している組織は、まず監視の範囲を確かめておく必要があります。SOCの監視には、社員のPCやサーバーにソフトを入れ、その上で動くプログラムを見張る形が多くあります。本件のように会員アプリの表示機能が狙われた場合、不正なアクセスはアプリ側の記録に残っても、この形の監視には表れにくくなります。
次に、検知した後に誰が止めるかです。SOCの契約には、異常を通知するものと、封じ込めまで担うものがあります。本件のように週末をまたいで攻撃された場合、通知だけの契約では休日に遮断を判断する人が社内に要ります。機能を止めたときの業務への影響も、判断の材料として共有しておきます。
委託すれば安心、とはなりません。何のリスクが減り、何が残っているかを経営者と担当者が把握したうえで、検知から初動の判断までを短くする手段を選びます（→ ヤグラ AI SOC）。
- 不正アクセスの具体的な手口
- 調査の結果、漏えい件数が変わるかどうか
- 10月1日公表のメールサーバー不正利用との関連の有無
- ローソンを名乗る不審なメール・SMS・電話の発生有無
- ローソンアプリ予約の再開時期
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-09 | 第一報を公開 |
