ローソンIDはなぜ215万件規模の漏えいになったのか。ローソンの不正アクセス公表を整理する

まず初めに

便利なコンビニアプリでも、登録情報の行き先はレジから見えない。今回、ローソンが公表したのは、9月12日〜14日と17日に起きた不正アクセスが10月7日の調査で判明したという時間差だ。買い物の手軽さだけでなく、何が漏れ、どの案内を確認すればよいかまで分かりやすくしてほしい。IT Postでは、レジの速さと情報を守る力は、別々の物差しで見るべきだと考える。※個人の感想です

何が起きているのか

ローソンは2026年10月8日、会員向けの「ローソンID」と、季節の催事商品を事前に予約・決済する「ローソンアプリ予約」で不正アクセスふせいあくせすが発生し、個人情報の一部が漏えいしたことを確認したと発表しました。

「ローソンID」で対象となるのは215万5,345件です。対象情報はメールアドレスと氏名が中心ですが、プレゼント応募等で入力した場合は、性別、電話番号、住所、メルマガ取得情報も含まれると公式発表に記載されています。「ローソンアプリ予約」で対象となるのは26件で、こちらは氏名、電話番号に加え、クレジットカード番号の一部も含まれます。原因としては、利用者本人に登録情報を表示するための仕組みが狙われたと説明されています。

不正アクセスが発生した時期は、ローソンIDが9月12日から14日、ローソンアプリ予約が9月17日です。これらの侵入の痕跡が社内調査で確認されたのは10月7日で、発表は翌10月8日でした。*発生から発表まで、ざっくり1ヵ月近い開きがあるのは、規模の大きさを考えると気になるところである。*同社はアプリ予約機能を停止したうえで個人情報保護委員会へ報告しており、予約機能は10月中旬に再開する予定としています。10月8日の公式発表時点で、本件に起因すると考えられる不正利用や二次被害は確認されていないとしています。同社は対象者へ順次、個別に案内し、不審な連絡への注意を呼びかけています。

なぜ重要なのか

ローソンIDは、ローソンアプリやオンラインサービスの利用に幅広く紐づくアカウントです。215万5,345件は同社が公表したローソンIDの対象件数です。これをローソンIDの全会員数や全員が対象であるという説明に読み替えることはできません。全国に多数の店舗を持つコンビニチェーンの会員基盤で情報漏えいが起きたことは、日常的にコンビニアプリを使う利用者の多さを考えると、影響範囲の広さという点で重要な事案です。

また、不正アクセスの発生から社内での検知まで、ローソンIDで3週間以上、公表まではさらに時間がかかっています。検知・公表までの期間の長さは、被害の全容把握や利用者への注意喚起のタイミングに直結するため、企業の初動対応の観点からも注目される点です。

私たちへの影響

ローソンIDに登録している人は、メールアドレスや氏名が対象になっている可能性があります。プレゼント応募等で入力した場合は、性別・電話番号・住所・メルマガ取得情報も対象です。アプリ予約を利用していた人で対象になった26件については、クレジットカード番号の一部も含まれると公表されています。個別の対応は、公式の案内や問い合わせ先で確認してください。

いずれの場合も、ローソンやローソンIDを装った不審なメール・SMS・電話には警戒してください。特に、個人情報の確認や再登録を求めるような連絡には、公式アプリや公式サイトから直接確認する習慣をつけることをおすすめします。

初心者が知っておくべきこと

コンビニの会員IDやポイントアプリは、買い物のたびに使う身近な存在ですが、裏側では氏名・電話番号・メールアドレスといった個人情報を管理するシステムが動いています。こうしたシステムが攻撃を受けると、利用者数の多さがそのまま漏えい件数の規模につながります。自分が使っているアプリやサービスで、どの情報を登録しているかを時々振り返っておくと、こうした発表があったときに「自分に関係があるか」を判断しやすくなります。

Q. ローソンIDに登録しているが、パスワードは変更すべき？ A. 10月8日の公式発表が列挙した漏えい情報に、パスワードは含まれていません。これを根拠にパスワード変更の要否やアカウント全体の安全性を個別に判断することはできません。同社は不審なメール・SMS・電話への注意を呼びかけ、対象者へ順次案内するとしています。最新の対応や問い合わせ方法は、ローソンの公式案内を確認してください。

IT Postの見方――レジの速さと、情報を守る力は別の話

IT Postは、不正アクセスそのものをローソンの過失と断定するつもりはない。巧妙な攻撃者に対して、どの企業も100%の防御を保証できるわけではないからだ。

それでも、発生日と判明日を並べると、利用者が気になる時間差は残る。これは公開された時系列への評価であり、具体的な侵入手口や管理過失を判断する材料がそろったという意味ではない。IT Postとしては、監視体制の強化を掲げるだけでなく、利用者が対象範囲と対応状況を確認できる説明にも、店舗の案内と同じくらいの分かりやすさを求めたい。便利さの宣伝だけレジの先頭に並んで、情報の説明が列の最後尾になるのは困る。※個人の感想です

今後どうなりそうか

ローソンは、アプリ予約機能を10月中旬に再開する予定としています。不正アクセスの詳しい侵入経路は、発表時点では明らかにされていません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。