--- title: "ローソンIDはなぜ215万件規模の漏えいになったのか。ローソンの不正アクセス公表を整理する" description: "ローソンが2026年10月8日に発表した「ローソンID」「ローソンアプリ予約」への不正アクセス。215万5,345件という規模と、発生から公表までの経緯を整理する" url: https://itpostjp.com/security/lawson-id-unauthorized-access-breach/ category: "セキュリティ" published_at: 2026-10-11T08:30:00Z updated_at: 2026-10-11T10:25:03Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: claude-sonnet-5 terms: ["セキュリティインシデント", "フィッシング"] --- # ローソンIDはなぜ215万件規模の漏えいになったのか。ローソンの不正アクセス公表を整理する IT Post編集部 ＆ 編集長 千田智也 ローソンが2026年10月8日に発表した「ローソンID」「ローソンアプリ予約」への不正アクセス。215万5,345件という規模と、発生から公表までの経緯を整理する ## 30秒で分かる結論 - ローソンは2026年10月8日、会員サービス「ローソンID」と「ローソンアプリ予約」が不正アクセスを受け、個人情報の一部が漏えいしたことを確認したと発表しました。 - 「ローソンID」は215万5,345件が対象で、メールアドレスと氏名、登録内容によっては性別・電話番号・住所・メルマガ取得情報も含まれます。「ローソンアプリ予約」は26件で、氏名・電話番号・クレジットカード番号の一部が対象です。 - ローソンIDへの不正アクセスは9月12日〜14日、アプリ予約への不正アクセスは9月17日で、10月7日の調査で判明しました。予約機能の再開は10月8日発表時点で10月中旬の予定です。 ## まず初めに 便利なコンビニアプリでも、登録情報の行き先はレジから見えない。今回、ローソンが公表したのは、9月12日〜14日と17日に起きた不正アクセスが10月7日の調査で判明したという時間差だ。買い物の手軽さだけでなく、何が漏れ、どの案内を確認すればよいかまで分かりやすくしてほしい。IT Postでは、レジの速さと情報を守る力は、別々の物差しで見るべきだと考える。※個人の感想です ## 何が起きているのか ローソンは2026年10月8日、会員向けの「ローソンID」と、季節の催事商品を事前に予約・決済する「ローソンアプリ予約」で不正アクセスが発生し、個人情報の一部が漏えいしたことを確認したと発表しました。 「ローソンID」で対象となるのは215万5,345件です。対象情報はメールアドレスと氏名が中心ですが、プレゼント応募等で入力した場合は、性別、電話番号、住所、メルマガ取得情報も含まれると公式発表に記載されています。「ローソンアプリ予約」で対象となるのは26件で、こちらは氏名、電話番号に加え、クレジットカード番号の一部も含まれます。原因としては、利用者本人に登録情報を表示するための仕組みが狙われたと説明されています。 不正アクセスが発生した時期は、ローソンIDが9月12日から14日、ローソンアプリ予約が9月17日です。これらの侵入の痕跡が社内調査で確認されたのは10月7日で、発表は翌10月8日でした。*発生から発表まで、ざっくり1ヵ月近い開きがあるのは、規模の大きさを考えると気になるところである。*同社はアプリ予約機能を停止したうえで個人情報保護委員会へ報告しており、予約機能は10月中旬に再開する予定としています。10月8日の公式発表時点で、本件に起因すると考えられる不正利用や二次被害は確認されていないとしています。同社は対象者へ順次、個別に案内し、不審な連絡への注意を呼びかけています。 ## なぜ重要なのか ローソンIDは、ローソンアプリやオンラインサービスの利用に幅広く紐づくアカウントです。215万5,345件は同社が公表したローソンIDの対象件数です。これをローソンIDの全会員数や全員が対象であるという説明に読み替えることはできません。全国に多数の店舗を持つコンビニチェーンの会員基盤で情報漏えいが起きたことは、日常的にコンビニアプリを使う利用者の多さを考えると、影響範囲の広さという点で重要な事案です。 また、不正アクセスの発生から社内での検知まで、ローソンIDで3週間以上、公表まではさらに時間がかかっています。検知・公表までの期間の長さは、被害の全容把握や利用者への注意喚起のタイミングに直結するため、企業の初動対応の観点からも注目される点です。 ## 私たちへの影響 ローソンIDに登録している人は、メールアドレスや氏名が対象になっている可能性があります。プレゼント応募等で入力した場合は、性別・電話番号・住所・メルマガ取得情報も対象です。アプリ予約を利用していた人で対象になった26件については、クレジットカード番号の一部も含まれると公表されています。個別の対応は、公式の案内や問い合わせ先で確認してください。 いずれの場合も、ローソンやローソンIDを装った不審なメール・SMS・電話には警戒してください。特に、個人情報の確認や再登録を求めるような連絡には、公式アプリや公式サイトから直接確認する習慣をつけることをおすすめします。 ## 初心者が知っておくべきこと コンビニの会員IDやポイントアプリは、買い物のたびに使う身近な存在ですが、裏側では氏名・電話番号・メールアドレスといった個人情報を管理するシステムが動いています。こうしたシステムが攻撃を受けると、利用者数の多さがそのまま漏えい件数の規模につながります。自分が使っているアプリやサービスで、どの情報を登録しているかを時々振り返っておくと、こうした発表があったときに「自分に関係があるか」を判断しやすくなります。 **Q. ローソンIDに登録しているが、パスワードは変更すべき？** A. 10月8日の公式発表が列挙した漏えい情報に、パスワードは含まれていません。これを根拠にパスワード変更の要否やアカウント全体の安全性を個別に判断することはできません。同社は不審なメール・SMS・電話への注意を呼びかけ、対象者へ順次案内するとしています。最新の対応や問い合わせ方法は、ローソンの公式案内を確認してください。 ## IT Postの見方――レジの速さと、情報を守る力は別の話 IT Postは、不正アクセスそのものをローソンの過失と断定するつもりはない。巧妙な攻撃者に対して、どの企業も100%の防御を保証できるわけではないからだ。 それでも、発生日と判明日を並べると、利用者が気になる時間差は残る。これは公開された時系列への評価であり、具体的な侵入手口や管理過失を判断する材料がそろったという意味ではない。IT Postとしては、監視体制の強化を掲げるだけでなく、利用者が対象範囲と対応状況を確認できる説明にも、店舗の案内と同じくらいの分かりやすさを求めたい。便利さの宣伝だけレジの先頭に並んで、情報の説明が列の最後尾になるのは困る。※個人の感想です ## 今後どうなりそうか ローソンは、アプリ予約機能を10月中旬に再開する予定としています。不正アクセスの詳しい侵入経路は、発表時点では明らかにされていません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。 ## 訂正履歴 - 2026-10-11T10:25:03Z: ローソンの10月8日公式発表は個人情報の一部が漏えいしたことを確認したとしています。「漏えいの可能性」とした記述を訂正し、応募等で入力した場合に含まれるメルマガ取得情報を補いました。ローソンID215万5,345件とアプリ予約26件、アクセス期間と判明日を分け、パスワード変更の要否やアカウントの安全性を個別に判断する説明にはしません。 当該一次発表で確認できない別事案との関係や企業順位・処理速度の断定も除き、発生日と判明日の時間差と管理過失の判断を分けました。 ## 情報源 - [第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ](https://www.lawson.co.jp/contents/cont07/1533174_3310.html) — 株式会社ローソン(公式)（一次情報） - [ローソンIDに不正アクセス、215万件の個人情報が漏えいの可能性](https://www.watch.impress.co.jp/docs/news/2147072.html) — Impress Watch - [ローソンIDに不正アクセス、215万件の個人情報が漏えい アプリ予約ではカード番号の一部も](https://innovatopia.jp/cyber-security/cyber-security-news/118725/) — Innovatopia ## この記事に出てくるIT用語 - [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。 - [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/lawson-id-unauthorized-access-breach/