ローソンID、215万件超の個人情報が漏えい アプリ関連のシステムに不正アクセス 住所や電話番号も

ローソンは2026年10月8日、ローソンのアプリやWebサービスで使うアカウント「ローソンID」と、アプリで季節の商品を予約できる「ローソンアプリ予約」が不正アクセスを受け、個人情報が漏えいしたと発表した。ローソンIDでは215万5,345件にのぼる。現時点で、不正利用などの二次被害は確認されていないという。

何があったのか

10月7日の調査で、9月12日から14日にかけて「ローソンID」に、9月17日に「ローソンアプリ予約」に、不正アクセスがあったとわかった。ほかの不正アクセスや、ウイルスなどの感染はないことを確かめたとしている。

原因は

ローソンによると、ローソンアプリに関係するシステムが不正に使われたことで起きたとみられる。アプリの画面に利用者本人の情報を表示するための仕組みが、第三者の不正アクセスを受けたという。

かんたんに言うと

アプリは、画面に自分の名前や登録内容を出すために、裏側でローソンのシステムに情報を問い合わせている。その「本人にだけ見せるための仕組み」がすり抜けられ、多くの人の情報が持ち出された形だ。企業のWebサイトやアプリから個人情報が漏れる事案は、この夏から相次いでいる(関連記事)。

利用者がやること

• ローソンIDに登録したメールアドレスや電話番号に届く、不審なメールやSMS、電話に注意する。ローソンを名乗っていても、すぐに個人情報を伝えたり、リンクを開いたりしない。
• ローソンは対象の人に、順次メールで個別に知らせる。送り主は「ローソン ID メール(lawson_id@mailservice.lawson.jp)」。
• 問い合わせは、ローソンカスタマーセンターの専用の受付フォームで受け付けている。

ローソンの対応

ローソンは、不審なアクセス元をブロックし、ローソンアプリ予約の機能を止めた。アプリでもお知らせを出し、個人情報保護委員会にも報告した。今後、対象のシステムのセキュリティ対策と監視の体制を強めるとしている。ローソンアプリ予約は、10月中旬に再開する予定だ。

まとめ

漏えいした中には、住所や電話番号が含まれる人もいる。ローソンからの正式な案内を待ちつつ、ローソンを名乗る連絡には慎重に対応したい。