--- title: "ローソンで215万件超の個人情報が漏えいしたのはなぜか。「ローソンID」と予約サービス、二つの不正アクセスの中身を確かめる" description: "ローソンが2026年10月8日に発表した不正アクセス。「ローソンID」215万5345件、「ローソンアプリ予約」26件が対象になった経緯と、漏えいした情報の範囲を確かめる" url: https://itpostjp.com/security/lawson-id-unauthorized-access-2155345-accounts/ category: "セキュリティ" published_at: 2026-10-10T08:30:00Z updated_at: 2026-10-10T09:54:24Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: claude-sonnet-5 --- # ローソンで215万件超の個人情報が漏えいしたのはなぜか。「ローソンID」と予約サービス、二つの不正アクセスの中身を確かめる IT Post編集部 ＆ 編集長 千田智也 ローソンが2026年10月8日に発表した不正アクセス。「ローソンID」215万5345件、「ローソンアプリ予約」26件が対象になった経緯と、漏えいした情報の範囲を確かめる ## 30秒で分かる結論 - ローソンは2026年10月8日、「ローソンID」と「ローソンアプリ予約」に第三者による不正アクセスがあり、利用者の個人情報が漏えいしたと発表しました。 - 対象件数は「ローソンID」が215万5345件、「ローソンアプリ予約」が26件です。ローソンIDではメールアドレスや氏名など、登録内容によっては電話番号や住所も対象に含まれます。アプリ予約では氏名・電話番号に加え、クレジットカード番号の一部も対象です。 - 不正アクセスの発生は9月12日〜14日(ローソンID)と9月17日(アプリ予約)に遡り、10月7日に実施した調査で判明しました。発表時点で、本件に起因する不正利用や二次被害は確認されていません。 ## まず初めに コンビニ最大手が「お詫びとお知らせ」を出す時、それはもう恒例行事のようなものになってきた。今回は律儀に二つのサービスを同時にやられるという、ある意味「盛り合わせ」のサービス精神を発揮してくれた。しかも発覚までに三週間以上かかっているあたり、気づくスピードよりポイントを貯めるスピードの方が速い会社だったのかもしれない。利用者としては、レジで「ポイントカードはお持ちですか」と聞かれるたびに、少し身構える季節がもう少し続きそうだ。※個人の感想です ## 何が起きているのか ローソンは2026年10月8日、会員サービス「ローソンID」と、店舗の商品予約などに使う「ローソンアプリ予約」において、第三者による不正アクセスが発生し、登録者の個人情報の一部が外部に漏えいしたと発表しました。 公表によると、対象となった件数は「ローソンID」が215万5345件、「ローソンアプリ予約」が26件です。ローソンIDで漏えいした可能性がある情報は、メールアドレスや氏名などで、登録内容によっては電話番号や住所も含まれるとされています。一方、ローソンアプリ予約では、氏名・電話番号に加えて、クレジットカード番号の一部も漏えいした可能性があることが確認されています。ログインに使うパスワードについては、今回確認された漏えい項目には含まれていません。 不正アクセスが発生した時期は、ローソンIDが9月12日から14日、ローソンアプリ予約が9月17日と、発表の3週間以上前に遡ります。ローソンが一連の不正アクセスを把握したのは、2026年10月7日に実施した調査の結果でした。原因についてはアプリに関連するシステムへの不正アクセスとみられていますが、具体的な侵入経路や手口は、発表時点では明らかにされていません。 ローソンは、不審なアクセス元の遮断や、ローソンアプリ予約機能の一部停止といった対応を取ったほか、個人情報保護委員会への報告を行い、対象となる利用者にはメールで個別に通知しています。2026年10月8日時点で、今回の漏えいに起因すると考えられる不正利用や二次被害は確認されていないとしています。 なお、ローソンでは2026年9月末から10月1日にかけて、メールサーバーが踏み台にされ、不審な英文メールが約70万件送信された別の事案が報じられています。ローソン自身も、今回の個人情報漏えいとこのメールサーバー事案は別の出来事であるとして区別しています。読者がニュースを追う際は、どちらの事案について書かれているのか、日付と対象サービス名を確認することをおすすめします。 ## なぜ重要なのか ローソンIDは、ローソンの公式アプリやポイントサービスとの連携、クーポン配布などに広く使われている会員基盤です。対象件数の215万件超は、同社の会員基盤の一部とはいえ、日常的に利用している人が多いサービスだけに、影響範囲の大きさが注目されています。 また、今回の発表は、2026年10月に入ってから大和証券、ミスターマックス、シチズン時計、焼肉きんぐ、旭化成セラピューティクスなど、複数の企業が相次いで不正アクセスや個人情報漏えいを公表している時期と重なっています。IT Postでもこれらの事案を続けて取り上げていますが、業種を問わず不正アクセスの発表が集中している状況そのものが、2026年秋のセキュリティ動向として注視されるポイントです。 ## 私たちへの影響 ローソンIDを利用している人は、メールアドレスや氏名、場合によっては電話番号・住所が対象に含まれている可能性があります。これらの情報は直接の金銭的被害にはつながりにくいものの、氏名や連絡先を使った、ローソンや関連サービスを装うなりすましメール・SMS・電話による詐欺の材料にされるおそれがあります。 ローソンアプリ予約の利用者のうち、クレジットカード番号の一部が対象になった人は、カード会社から送られてくる利用明細を普段よりも注意して確認することをおすすめします。ただし、クレジットカード番号の「一部」という表現にとどまっており、カード番号全体や有効期限、セキュリティコードまで含まれているかどうかは、今回参照した情報源の範囲では明らかにされていません。 ## 初心者が知っておくべきこと 「不正アクセス」とは、サーバーやシステムの管理者が許可していない方法で、第三者がシステムに侵入する行為のことです。侵入の手口には、パスワードの推測や、別のサービスから漏えいしたID・パスワードを使い回して試す「パスワードリスト攻撃」、システムの脆弱性(セキュリティ上の欠陥)を悪用する方法など、複数のパターンがあります。今回の発表では、具体的な侵入手口は明らかにされていません。 自分の情報が対象に含まれるかどうか心配な場合は、まずローソンから届いているメールを確認することが基本になります。発表では、対象となる利用者にメールで個別に通知するとされているため、該当する人には既に連絡が届いている可能性があります。 **Q. 自分のローソンIDが対象かどうか確認するには?** A. 出典で確認できた範囲では、ローソンは対象となる利用者にメールで個別に通知するとしています。心当たりのあるメールが届いていない場合でも、不安な場合はローソンの公式サイトに掲載されている発表文や、問い合わせ窓口で確認することができます。 **Q. ローソンIDのパスワードを変更する必要はありますか?** A. 今回の発表では、パスワード自体が漏えいしたとは説明されていません。ただし、ローソンIDと同じパスワードを他のサービスでも使い回している場合は、念のため変更しておくと安心です。複数のサービスで同じパスワードを使い回すこと自体が、一つのサービスの漏えいが他のサービスにも影響する「パスワードリスト攻撃」のリスクを高める要因になります。 ## IT Postの見方――三週間、気づかなかった時間の重さ IT Postは、今回の発表そのものを特別に悪質だと言うつもりはない。不正アクセスは起こり得るし、発覚後の対応(遮断、報告、通知)も、型どおりではあるが一応やるべきことはやっている。 ただ、気になるのは「9月12日に始まった不正アクセスに、10月7日の調査でようやく気づいた」という時間差だ。三週間以上、誰も気づかなかったということは、普段どれだけシステムの異常を見ているのか、という話になる。しかも同じ時期に他社でも似た発表が相次いでいるのを見ると、「うちは大丈夫」と思っていた企業が、実は同じような穴を抱えていただけなのではないかと疑いたくなる。IT Postは、個別の企業を責めるより、この「気づくまでの時間」こそが、業界全体で詰めるべき宿題だと考える。※個人の感想です ## 今後どうなりそうか ローソンは10月8日の公式発表で、対象システムのセキュリティ対策、監視体制、インシデント対応体制の強化を再発防止策として挙げています。一方、具体的な侵入経路や手口の詳細は明らかにしていません。対策の公表と、侵入手法の詳細が非公表であることは区別する必要があります。個人情報保護委員会への報告が行われているため、今後、同委員会への対応状況や、追加の調査結果が発表される可能性があります。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。 ## 訂正履歴 - 2026-10-10T09:54:24Z: 再発防止策が未公表とした末尾の記述を訂正しました。10月8日の公式発表には、対象システムのセキュリティ対策・監視体制・インシデント対応体制の強化が記載されています。対策の公表と、具体的な侵入経路・手口の詳細が非公表であることを区別しました。 ## 情報源 - [第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ](https://www.lawson.co.jp/contents/cont07/1533174_3310.html) — 株式会社ローソン(公式)（一次情報） - [ローソンに不正アクセス、個人情報約215万件漏洩 氏名や住所など](https://www.nikkei.com/article/DGXZQOUC08A430Y6A001C2000000/) — 日本経済新聞 - [ローソン、215万件超の個人情報漏えいで謝罪 「ローソンID」などから](https://www.itmedia.co.jp/business/articles/2610/08/news104.html) — ITmedia ビジネスオンライン --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/lawson-id-unauthorized-access-2155345-accounts/