最終更新：10 月 27 日 12:20（日本時間）
10 月 24 日の訂正（メールアドレスは漏えいしておらず、生年月日が漏えいした可能性）と、10 月 26 日の店舗検索の停止を反映しました。続報が出たら追記します。
すぐ見る：よくある疑問 ／ 利用者がやること ／ 技術的な詳細 ／ 会員ページを持つ会社 ／ 経緯
ひとことで言うと
ローソンのアプリなどのアカウントから、215 万件あまりの名前などが漏れた（10 月 26 日の追記まで）
- ローソンのアプリなどで使うアカウント「ローソンID」と、アプリで季節の商品を予約できる「ローソンアプリ予約」に、9 月に外から何者かが入り込んだ。10 月 8 日に発表された
- ローソンID は 215 万 5,345 件で、名前など。生年月日も漏れた可能性がある。メールアドレスは、10 月 24 日の訂正で漏れていないと分かった。アプリ予約は 26 件で、名前・電話番号・カード番号の一部
- ローソンを名乗る、あやしいメール・SMS・電話に気をつける。アプリ予約は 10 月 19 日に再開し、使うにはアプリの更新が要る
どうすればいい？
よくある疑問と答え
-
自分は対象？
対象の人には、ローソンから順に個別のメールが届いています。ローソンID に登録したアドレスあての案内を確かめてください。
→ 漏れた情報と件数 -
届いたメールは本物？
ローソンからの案内は「lawson_id@mailservice.lawson.jp」か「lawson_id@id.lawson.jp」から届きます。ほかのアドレスから「ローソン」を名乗るメールは、慎重に扱ってください。
→ 利用者がやること -
メールアドレスは漏れた？
はじめの発表では対象に入っていましたが、10 月 24 日に、メールアドレスとメルマガを受け取るかどうかの情報は漏えいしていなかったと訂正されました。かわりに、生年月日が漏えいした可能性があるとしています。
→ 訂正後の漏えいした情報 - パスワードやカード番号は漏れた？ 発表に挙がっている項目に、パスワードはありません。カード番号は、アプリ予約の 26 件で「一部」が対象になっています。
- 気をつけることは？ ローソンID に登録したメールアドレスや電話番号に届く、あやしいメール・SMS・電話に気をつけてください。リンクを開いたり、個人情報やカード番号を入れたりしないでください。
-
アプリ予約は使える？
10 月 19 日に再開しました。使うには、ローソンアプリを最新の版に更新する必要があります。ただ、10 月 26 日から店舗検索が止まっていて、新しく店舗を選んで予約することはできません。「MY店舗」を登録済みの人は予約できます。
→ 店舗検索が止まっている理由 -
どこを破られた？
アプリで本人に情報を見せるための仕組みが、外から不正に使われたとされています。システム担当者向けに、発表の内容を下にまとめています。
→ 技術的な詳細 -
アプリや会員ページを持つ会社は？
会員の情報を画面に出す仕組みが、本人の情報だけを返すかを、制作会社や担当者に確かめます。
→ 見直すこと
詳しくは：利用者がやること ／ 会員ページを持つ会社が見直すこと
この記事では、ローソンの情報漏洩（ローソンID とローソンアプリ予約への不正アクセス）について、同社の 10 月 8 日の発表と、その後の 10 月 13 日・19 日・24 日・26 日の追記だけをもとに、漏えいした情報と対象、利用者がやること、アプリや会員ページを持つ会社が見直すことを整理します。
何が起きたか
10 月 8 日の発表と、その後の追記で分かっていることです。ローソンID は、ローソンのアプリや Web のサービスを使うためのアカウントです。ローソンアプリ予約は、季節の催事の商品を、アプリから前もって予約・支払いできるサービスです。
ローソンによると、10 月 7 日の調査で、9 月 12 日〜14 日にローソンID が、9 月 17 日にローソンアプリ予約が、不正アクセスを受けていたことが分かりました。
| サービス | 件数と内容 |
|---|---|
| ローソンID（9 月 12 日〜14 日） | 215 万 5,345 件。氏名と、生年月日（漏えいした可能性）。ローソンID でプレゼントに応募したときなどに入力していた人は、性別・電話番号・住所も。はじめの発表で挙げていたメールアドレスとメルマガを受け取るかどうかの情報は、10 月 24 日に、漏えいしていなかったと訂正された |
| ローソンアプリ予約（9 月 17 日） | 26 件。氏名・電話番号・クレジットカード番号の一部 |
今のところ、この件が原因と考えられる不正な利用や二次被害は確認されていないとしています。発表では、表の項目のほかに、漏えいした情報は示されていません。
利用者がやること
ローソンが呼びかけているのは、ローソンID に登録した宛先に届く、あやしいメール・SMS・電話への注意です。問い合わせは、ローソンカスタマーセンターの専用受付フォーム（lawson-faq.lawson.co.jp）で受け付けています。
- ローソンを名乗るメールが届いたら、送ってきたアドレスを確かめる。ローソンからの個別の案内は「ローソンIDメール」の 2 つのアドレスから届く
- メールや SMS のリンクから開いたページに、ID・パスワード・カード番号を入れない。ログインは、自分で開いたローソンアプリか公式サイトから行う（この記事での整理）
- ローソンアプリ予約を使う人は、アプリを最新の版に更新する。店舗検索が止まっている間も、MY店舗を登録していれば予約でき、予約期間中のキャンセルと受け取りも通常どおりできる
- アプリ予約でカード番号の一部が対象になった人は、念のためカードの利用明細を見ておく。身に覚えのない請求があれば、カード会社に相談する（この記事での整理）
ローソンの対応
- 止めた機能と再開 あやしいアクセス元をブロックし、ローソンアプリ予約の機能を止めた。10 月 19 日に予約の機能を再開し、19 日以降はアプリの更新が要るとしている
- 店舗検索の停止（10 月 26 日・9 月の件とは別の出来事） 店舗検索の停止についての 10 月 26 日のお知らせです。ローソンによると、ローソンアプリ予約の店舗検索サービスを運営する委託先で不正アクセスが検知されたため、安全を優先して、このサービスが止まっています。そのため、アプリ予約で新しく店舗を選んで予約することができません。すでに「MY店舗」を登録している人は、引き続き予約できます。予約期間中のキャンセルと、商品の受け取りも通常どおりです。ローソンは、この件でローソンのシステムやお客様の情報への影響はないとしています。9 月のローソンID・アプリ予約への不正アクセス（ローソンのアプリに関連するシステムが不正に利用されたもの）とは、起きた場所が違う別の出来事です。
- 対象の人への案内 ローソンアプリでお知らせを出し、対象の人には「ローソンIDメール」のアドレス（lawson_id@mailservice.lawson.jp か lawson_id@id.lawson.jp）から、順に個別に案内している。2 つめのアドレスは 10 月 13 日に足された
- 報告と再発防止 関係する機関に連絡・報告し、個人情報保護委員会へも報告済み。対象のシステムのセキュリティ対策と見張りの体制、事故への対応の体制を強めるとしている
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 26 日 | ローソンアプリ予約の店舗検索サービスを運営する委託先で不正アクセスが検知され、同サービスが止まったと公表。新しく店舗を選んでの予約ができなくなった（MY店舗を登録済みなら予約できる）。ローソンのシステムやお客様の情報への影響はないとしている。9 月の不正アクセスとは別の出来事 |
| 10 月 24 日 | 詳しい調査の結果、ローソンID の「メールアドレス」「メルマガ取得情報」は漏えいしておらず、「生年月日」が漏えいした可能性があると訂正 |
| 10 月 19 日 | 止めていたローソンアプリ予約の機能を再開。以降はアプリの更新が要ると追記 |
| 10 月 13 日 | 案内メールを送るアドレス（lawson_id@id.lawson.jp）を足したと追記 |
| 10 月 8 日 | 不正アクセスと個人情報の漏えいを公表 |
| 10 月 7 日 | 調査の中で、9 月の不正アクセスが分かった |
| 9 月 17 日 | ローソンアプリ予約への不正アクセス |
| 9 月 12 日〜14 日 | ローソンID への不正アクセス |
技術的な詳細（システム担当者向け）
ここからは、アプリや会員ページを運用している担当者・エンジニア向けです。10 月 8 日の発表（10 月 26 日までの追記を含む）から読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 原因 | ローソンアプリに関連するシステムが不正に利用されたことによるものと考えられる。本来、アプリ上で利用者本人に情報を表示するためのセキュリティ機構が、第三者による不正アクセスを受けた |
| 期間 | ローソンID は 9 月 12 日〜14 日、ローソンアプリ予約は 9 月 17 日。10 月 7 日の調査で判明 |
| ほかの侵害 | この件のほかの不正アクセスと、マルウェアへの感染は無いことを確認済み |
| 初動 | 不審なアクセス元のブロック。ローソンアプリ予約の機能を停止 |
| 再開 | 10 月 19 日に予約機能を再開。19 日以降はアプリのアップデートが必要 |
| 再発防止 | 対象システムのセキュリティ対策と監視体制の強化、インシデント対応の体制の強化 |
| 発表に無いこと | 脆弱性の種類・CVE 番号・攻撃の手口・どの API や画面か・パスワードやトークンの扱い |
この記事での整理です。「本人に情報を表示する仕組み」が破られた場合に点検したいのは、サーバー側の認可です。API や画面が、リクエストに含まれる会員番号や予約番号をそのまま信じず、ログイン中の本人のものかをサーバーで確かめているか（ID を書き換えると他人のデータが返る問題、いわゆる IDOR が無いか）を見ます。あわせて、同じ接続元から短い時間に大量の読み出しがないかを、アクセスログとレート制限で見張れるようにしておきます。
会員ページを持つ会社が見直すこと
今回は、利用者本人に情報を見せるための仕組みが狙われました。会員ページやアプリで、登録した名前や住所、予約の内容を本人に見せている会社は、規模にかかわらず同じ形の仕組みを持っています（この記事での整理）。
- 本人以外の情報が見えないか確かめる 会員ページ・予約の確認ページ・アプリが、ログインした本人の情報だけを返すか、URL や番号を変えるとほかの人の情報が見えてしまわないかを、制作会社や担当者に確かめる。
- いつもと違うアクセスに気づけるようにする 短い時間に大量の読み出しがあったときに、記録が残り、だれかが気づける状態にしておく。
- 案内メールの送信元を公式サイトに書いておく 事故のときにどのアドレスから連絡するかを公式サイトに書いておくと、自社を装う連絡と見分けてもらいやすくなる。アドレスを足したときは、お知らせも書き換える。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、会員のアカウントが狙われた例は 「カプコンの不正アクセス」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、会員ページの確認やアクセスの見守り、事故のときのお知らせの掲載を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
