株式会社ローソンのサイバー攻撃被害｜アカウントサービス「ローソンID」に不正アクセス、215万5,345件の個人情報が漏えい。10月24日に漏えいした項目を訂正
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
速報サイバー攻撃の被害事例最終更新 2026年10月27日
株式会社ローソン（ローソンID）アカウントサービス「ローソンID」に不正アクセス、215万5,345件の個人情報が漏えい。10月24日に漏えいした項目を訂正
- 不正アクセス
状況調査結果を公表済み（10月24日に漏えいした情報の項目を訂正）
被害発生日2026年9月12日
企業名株式会社ローソン
この事例の要点
ローソンは、アプリやWEBサービスで使うアカウントサービス「ローソンID」と「ローソンアプリ予約」が第三者による不正アクセスを受け、ローソンIDで215万5,345件、ローソンアプリ予約で26件の個人情報が漏えいしたと発表しています。10月24日の更新では、その後の詳細な調査により、メールアドレスとメルマガ取得情報は漏えいしておらず、生年月日に漏えいの可能性があると訂正しました。現時点で、本件に起因すると考えられる不正利用や二次被害は確認されていません。
最新の動き
- 2026年10月26日最新 ローソンアプリ予約の店舗検索サービスを運営する委託先で不正アクセスを検知したため、店舗検索機能を停止したと追記。予約時に新たに店舗を選んで予約することができない状態。 出典
- 2026年10月24日 お知らせを更新。その後の詳細な調査により、ローソンIDの「メールアドレス」「メルマガ取得情報」は漏えいしておらず、「生年月日」に漏えいの可能性があることが判明したとして、漏えいした情報の項目を訂正。 出典
- 2026年10月19日 停止していたローソンアプリ予約の機能を再開。以降、ローソンアプリの利用にはアプリのアップデートが必要と案内。
- 2026年10月13日 対象のお客様への個別案内メールの送信元に、lawson_id@id.lawson.jp を追加。
- 2026年10月8日 不正アクセスによる個人情報の漏えいを公表。判明後、不審なアクセス元のブロック、ローソンアプリ予約機能の停止、対象のお客様へのメールでの個別案内、個人情報保護委員会への報告などを実施。
- 2026年10月7日 調査の中で、ローソンIDとローソンアプリ予約への不正アクセスが判明。
- 2026年9月17日 ローソンアプリ予約に不正アクセス。
- 2026年9月12日〜9月14日 ローソンIDに不正アクセス。
分かっていること・まだ公表されていないこと
分かっていること
- ローソンIDの対象は215万5,345件。10月24日の訂正後、対象となる情報は氏名、性別、電話番号、住所で、生年月日にも漏えいの可能性がある
- ローソンIDのメールアドレスとメルマガ取得情報は漏えいしていない（10月24日の訂正）
- ローソンアプリ予約の対象は26件で、氏名、電話番号、クレジットカード番号の一部
- 原因は、ローソンアプリに関連するシステムが不正に利用されたことによると考えられる。本来、アプリ上で利用者本人に対し情報を表示するためのセキュリティ機構が、第三者による不正アクセスを受けた
- 本件以外の不正アクセスと、マルウェアの感染はないことを確認済み
- 現時点で、本件に起因すると考えられる不正利用や二次被害は確認されていない
- 対象のお客様には、lawson_id@mailservice.lawson.jp または lawson_id@id.lawson.jp から順次、個別に案内している
- 再発防止策として、対象システムのセキュリティ対策強化、監視体制の強化、インシデント対応体制の強化を挙げている
- ローソンIDに登録した宛先への不審なメール、SMS、電話などに注意するよう呼びかけている
まだ公表されていないこと
- 不正アクセスを受けたセキュリティ機構の詳しい仕組みと、不正アクセスの手口
- 生年月日が漏えいした可能性のある件数
- ローソンアプリ予約で漏えいした「クレジットカード番号の一部」の範囲
- 再発防止策を実施する時期
事例の概要
| 企業名 | 株式会社ローソン |
|---|---|
| 被害発生日 | 2026年9月12日 |
| 被害の内容 | 2026年9月12日〜9月14日に「ローソンID」、9月17日に「ローソンアプリ予約」が第三者による不正アクセスを受け、ローソンIDで215万5,345件、ローソンアプリ予約で26件の個人情報が漏えい。10月24日の追記で、ローソンIDについては「メールアドレス」「メルマガ取得情報」は漏えいしておらず、「生年月日」に漏えいの可能性があると訂正 |
| 出典 | 株式会社ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日掲載、10月24日更新） |
対策に向けたガーディアンの見解
1本人にだけ見せる仕組みそのものを、診断の対象に入れる
ローソンは原因を、アプリ上で利用者本人に情報を表示するためのセキュリティ機構が第三者の不正アクセスを受けたことと説明しています。会員向けのアプリやマイページを持つ企業は、ログインやデータの表示を守る仕組みも、画面や機能と同じように脆弱性診断の対象に入れ、同じ相手から短い時間に大量の照会が来ていないかを運用中にも見張っておくと、同じ型の被害を受けにくくなります。
2調査で分かったことは、訂正としてはっきり示す
ローソンは10月24日、詳細な調査の結果として、漏えいした情報からメールアドレスとメルマガ取得情報を外し、生年月日に漏えいの可能性があると改めました。元の記載には取り消し線を引き、追記の日付と理由を添えています。第一報の段階で全容がそろうことは多くないため、公表文に更新日と変更箇所を残す書き方を決めておけば、利用者も取引先も最新の内容を取り違えずに受け取れます。
3漏えいした項目に合わせて、注意を呼びかける手段を選ぶ
訂正後のローソンIDの対象情報は氏名・性別・電話番号・住所で、生年月日にも漏えいの可能性があります。メールアドレスが対象から外れた一方で電話番号が含まれるため、メールだけでなくSMSや電話を使ったなりすましにも備えが必要です。ローソンも、登録された宛先への不審なメール、SMS、電話などへの注意を呼びかけています。漏えいした項目ごとに起こりうる詐欺の形を考え、案内の中で具体的に示しておくと、利用者は身を守る行動をとりやすくなるでしょう。
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。