要点
発表された事実
- ローソンは2026年10月8日、アカウントサービス「ローソンID」と「ローソンアプリ予約」が第三者による不正アクセスを受け、顧客の個人情報の一部が漏えいしたと公表した（ローソンのお知らせ）。
- 10月7日に実施した調査の中で、9月12日から14日の間に「ローソンID」が、9月17日に「ローソンアプリ予約」が不正アクセスを受けていたことが判明した（同）。
- ローソンIDでは215万5345件のメールアドレスと氏名、プレゼントの応募などで入力していた場合は性別・電話番号・住所・メルマガ取得情報が漏えいした。ローソンアプリ予約では26件の氏名・電話番号・クレジットカード番号の一部が漏えいした（同）。
- 原因は「ローソンアプリに関連するシステムが不正に利用されたこと」で、「本来、アプリ上で利用者本人に対し情報を表示するためのセキュリティ機構」が不正アクセスを受けたとしている。本件以外の不正アクセスやマルウェア感染はないことを確認済みという（同）。
- 不審なアクセス元をブロックし、ローソンアプリ予約の機能を停止した。予約機能は10月中旬の再開を予定している。個人情報保護委員会へ報告済み（同）。
- 【2026-10-17追記】ローソンの竹増貞信社長は10月15日の決算説明会で、215万件あまりの個人情報漏えいについて謝罪した。監視体制と、漏えいが起きた際に被害を最小限に抑えるための体制を強化していくと説明した（NHK、テレ朝NEWS）。
- 【2026-10-20追記】ローソンは10月19日、10月7日から止めていたローソンアプリ予約を、必要なセキュリティ対策を実施して安全に使える環境が整ったとして同日から再開したと発表した。商品予約・予約履歴の確認・予約のキャンセルのすべての機能が使える。10月19日以降はローソンアプリのアップデートが必要になる（ローソンアプリ予約の利用再開について、10月19日更新のお知らせ）。実施したセキュリティ対策の中身は示していない。
- 【2026-10-25追記】ローソンは10月24日にお知らせを更新し、ローソンIDで漏えいした情報を訂正した。「その後の詳細な調査」により、「メールアドレス」と「メルマガ取得情報」は漏えいしておらず、「生年月日」が漏えいした可能性があると判明したという。件数（215万5345件）、ローソンアプリ予約の26件、原因の説明に変更はない（ローソンのお知らせ、2026年10月24日更新）。
わかったこと
- 【2026-10-25】ローソンIDで漏えいした情報の訂正：10月24日の更新で、メールアドレスとメルマガ取得情報は漏えいしておらず、生年月日が漏えいした可能性があると訂正された。氏名は引き続き漏えいの対象で、性別・電話番号・住所はプレゼント応募などで入力していた場合に対象となる（ローソンのお知らせ）。
- 【2026-10-15追記】ローソンは10月13日にお知らせを更新し、対象者への個別案内の送信元に lawson_id@id.lawson.jp を追加した。案内は lawson_id@mailservice.lawson.jp と lawson_id@id.lawson.jp のどちらかから届く。件数・漏えい項目・二次被害の記載に変更はない（ローソンのお知らせ、2026年10月13日更新）。
- 【2026-10-10追記】日経クロステック（10月9日）によると、ローソンはシステムで不審なアクセスを常時監視していたが今回の不正アクセスは検知できず、人手による定期調査で発見したという（日経クロステック）。10月7日の「調査」はこの定期調査とみられる。
- 【2026-10-20】ローソンアプリ予約の再開日：10月19日に全機能を再開した（予定は「10月中旬」だった）。利用にはアプリのアップデートが必要（ローソンアプリ予約の利用再開について）。
- 【2026-10-17】10月15日の決算説明会で社長が謝罪し、監視体制などの強化を説明した。手口や原因の新しい説明は報じられていない（NHK、テレ朝NEWS）。
わかっていないこと
- 「本人に情報を表示するためのセキュリティ機構」が具体的に何か（アプリが使うAPIか、ログイン状態を確認する仕組みか）と、どう突破されたか
- 3日間で215万件を取得した方法（他人のIDを指定して取得したのか、何らかの認証情報を悪用したのか）
- 9月中旬の不正アクセスが常時監視で検知されなかった理由と、定期調査で何を見て気づいたのか（【2026-10-10追記】人手による定期調査で発見したことは報道で判明）
- ローソンIDとローソンアプリ予約の2件が同じ手口か
- 漏えいしたクレジットカード番号の「一部」の桁数
- 【2026-10-25追記】当初「漏えいした」としたメールアドレスが漏えいしていなかったと訂正された経緯（何を調べて判断が変わったのか）と、生年月日の漏えいが「可能性」にとどまる理由
- アプリ予約の再開にあたって実施した「必要なセキュリティ対策」の中身（【2026-10-20追記】10月19日の再開のお知らせでも示されていない）
関係しそうな既知の手口
- （考察）「本人に情報を表示する」ための仕組みが悪用されて大量の情報が漏れたという説明は、アプリが使うAPIで、要求してきた利用者が本当にそのデータの持ち主かを確かめる処理（認可）が欠けていた場合に起きる漏えいと似ている。OWASPはこの欠陥を「Broken Object Level Authorization（BOLA）」としてAPIの最も重大なリスクの1位に挙げている。本件の原因がこれに当たるかは公表されていない。
概要
- コンビニ大手ローソンの共通アカウント「ローソンID」が9月12日から14日に不正アクセスを受け、215万5345件の氏名・メールアドレスなどが漏れた（【2026-10-25追記】10月24日の訂正で、メールアドレスは漏えいしておらず、生年月日が漏えいした可能性があるとされた）。
- 攻撃者は、アプリで利用者本人に自分の情報を表示するための仕組みを悪用したとされる。予約・決済サービス「ローソンアプリ予約」でも9月17日に26件が漏れ、カード番号の一部が含まれる。
- 不正アクセスがあったのは9月中旬だが、判明したのは10月7日の調査で、公表は10月8日。具体的な手口は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-12（土）〜09-14（月） | 「ローソンID」が不正アクセスを受ける（ローソンのお知らせ） |
| 2026-09-17（木） | 「ローソンアプリ予約」が不正アクセスを受ける（同） |
| 2026-10-07（水） | ローソンが実施した調査の中で、上記の不正アクセスが判明（同） |
| 2026-10-08（木） | ローソンが不正アクセスと個人情報漏えいを公表。不審なアクセス元のブロック、ローソンアプリ予約の停止、対象者への個別メールを案内（同） |
| 2026-10-09（金） | ITmedia NEWS、Security NEXTなどが報道 |
| 2026-10-09（金） | 日経クロステックが、常時監視では検知できず人手による定期調査で発見したとのローソンの説明を報道 |
| 2026-10-13（火） | ローソンがお知らせを更新し、個別案内の送信元に lawson_id@id.lawson.jp を追加（ローソンのお知らせ） |
| 2026-10-15（木） | 決算説明会で竹増貞信社長が謝罪し、監視体制と被害を最小限に抑える体制の強化を説明（NHK、テレ朝NEWS） |
| 2026-10-19（月） | 10月7日から停止していたローソンアプリ予約を、セキュリティ対策を実施したとして全機能で再開。利用にはアプリのアップデートが必要（ローソンアプリ予約の利用再開について） |
| 2026-10-24（土） | ローソンがお知らせを更新。詳細調査の結果、ローソンIDのメールアドレスとメルマガ取得情報は漏えいしておらず、生年月日が漏えいした可能性があると対象情報を訂正（ローソンのお知らせ） |
発表内容の整理
事実（10月8日のお知らせ）
| サービス | 件数 | 漏えいした情報 |
|---|---|---|
| ローソンID（ローソンのアプリやWebサービスを使うためのアカウント） | 215万5,345件 | メールアドレス、氏名。プレゼントの応募などで入力していた場合は性別、電話番号、住所、メルマガ取得情報（【2026-10-25追記】10月24日の訂正で、メールアドレスとメルマガ取得情報は漏えいしておらず、生年月日が漏えいした可能性があるとされた） |
| ローソンアプリ予約（季節の催事商品をアプリで事前に予約・決済するサービス） | 26件 | 氏名、電話番号、クレジットカード番号の一部 |
- 原因：ローソンアプリに関連するシステムが不正に利用された。本来、アプリ上で利用者本人に情報を表示するためのセキュリティ機構が、第三者による不正アクセスを受けた。
- 本件以外の不正アクセス、マルウェアの感染はないことを確認済み。
- 現時点で、不正利用や二次被害は確認されていない。
- 対応：不審なアクセス元のブロック、ローソンアプリ予約機能の停止、アプリ上での告知、対象者への個別メール（送信元「ローソンIDメール」lawson_id@mailservice.lawson.jp、【2026-10-15追記】10月13日に lawson_id@id.lawson.jp を追加）、関係機関への報告。【2026-10-20追記】ローソンアプリ予約は10月19日に再開した。
- 再発防止策：対象システムのセキュリティ対策強化、監視体制の強化、インシデント対応体制の強化。
- 問い合わせ：ローソンカスタマーセンターの専用受付フォーム。
考察
「本人に情報を表示するための仕組み」から215万件が出ていったという説明からは、攻撃者が自分のアカウントでは見られないはずの他人の情報を、その仕組みを通じて繰り返し取り出したことが想像できる。会員登録時の氏名・メールアドレスに加え、プレゼント応募で入力した人の住所や電話番号まで含まれているので、アプリのマイページなどに表示される会員情報がひととおり読めた可能性がある。ただしローソンは手口を公表しておらず、パスワードの漏えいの有無にも触れていない。
不正アクセスの期間は9月12日から14日の3日間と短いが、判明したのは3週間以上たった10月7日の調査だった。ローソンは調査のきっかけを書いていない。大量のデータ取得がその場で検知されなかったとすれば、再発防止策に「監視体制の強化」が挙がっているのはその反省とみられる。
【2026-10-10追記】日経クロステックの報道で、常時監視をすり抜け、人手による定期調査で見つかったことがわかった。3日間で215万件という量の取得が自動の監視にかからなかったことになり、1件ずつの要求は正規の利用と見分けにくい形だった可能性がある（考察）。どのような形の通信だったかは公表されていない。
10月に入ってからは、国内で会員アプリからの大量流出の公表が相次いでいる（焼肉きんぐ公式アプリ、ミスターマックス、セイコーマートアプリなど）。どれも侵入の手口ははっきり公表されておらず、同じ攻撃者や同じ手口かどうかはわからない。
関係しそうな既知の手口
事実（既知の知見）
- OWASP API Security Top 10（2023年版）は、APIが受け取ったIDのデータについて、要求した利用者にそのデータを見る権限があるかを確かめない欠陥を「API1:2023 Broken Object Level Authorization」として1位に挙げている（OWASP）。
- JPCERT/CCは10月8日、国内組織で不正アクセスによる情報漏えいが相次いでいるとして注意喚起を出した。類型の一つ「API経由での不正な操作」として、一般公開しているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定する手口、本来画面操作では実行できない内部APIへの攻撃（ヘッダーの有無の切り替えや不正な形式の認証トークンで応答の違いを確かめる、など）の報告を受けているとしている。対策として、APIの単位時間あたりのリクエスト件数の制限や、非公開APIを含む各エンドポイントでのアクセス制御を挙げている（JPCERT/CC）。
考察
- 会員IDの付け替えによる他人の情報の取得：アプリのAPIが、ログイン中の利用者を基準にせず、要求に含まれる会員番号などを信じて情報を返す作りだと、番号を順に変えるだけで全会員の情報を引き出せる。3日間で200万件を超える取得は、こうした機械的な繰り返しと整合する。本件で使われた手口は公表されていない。
- 本人確認用トークンの悪用：アプリが本人の情報を表示するために使う認証トークン（ログイン状態を示す値）の検証に不備があると、他人になりすまして情報を取得できる。ローソンが「セキュリティ機構」という言葉を使っている点からは、こちらの可能性も考えられる。JPCERT/CCが挙げる「アプリを解析してAPIを特定し、認証トークンの形式を変えて応答の違いを確かめる」手口は、こうした不備を探す手順そのものに当たる。本件がJPCERT/CCの注意喚起の対象事例に含まれるかはわからない。
利用者・運用者がいまできること
事実（発表に基づく）
- 対象者には「ローソンIDメール」（lawson_id@mailservice.lawson.jp、または10月13日に追加された lawson_id@id.lawson.jp）から順次、個別に案内が届く。
- ローソンIDに登録したメールアドレス・電話番号・住所宛ての、不審なメール・SMS・電話に注意する（ローソン自身も10月24日の訂正後、登録した宛先への不審な連絡に注意するよう引き続き呼びかけている）。
- 【2026-10-20追記】ローソンアプリ予約は10月19日に再開した。10月19日以降はアプリのアップデートが必要。
考察（利用者向け）
- ローソンを名乗るポイント付与・当選・アカウント停止の連絡が届いたら、リンクを開かずにアプリや公式サイトから確認する。氏名・メールアドレスがそろって漏れているため、本名入りのそれらしいメールが届くおそれがある。（【2026-10-25追記】10月24日の訂正でメールアドレスは漏えいしていないとされたが、住所・電話番号を入力していた人は、本名入りの郵便・SMS・電話には引き続き注意したい）
- 案内メールの送信元を装った偽メールも考えられるので、案内に書かれたリンクからパスワードやカード情報を入力しない。
- ローソンアプリ予約でカードを使った人は、カードの利用明細を確認する（漏れたのは番号の一部とされている）。
考察（アプリ・APIの運用者向け）
- 会員情報を返すAPIで、要求に含まれる会員IDではなく、ログイン中の利用者（サーバー側で検証したトークン）を基準にデータを返しているかを確認する。
- 1つのアカウントやアクセス元から短時間に大量の会員情報が要求されたら、検知・遮断できるようにする（JPCERT/CCもAPIのリクエスト件数の制限を推奨している）。本件では不正アクセスから判明まで3週間以上かかっている。
- 公開しているアプリの中に、APIのキーや内部APIのエンドポイントが埋め込まれていないかを確認する。アプリは誰でも入手して解析できる前提で設計する。
参考リンク
- 第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（ローソン、2026-10-08）
- ローソン、215万件の個人情報漏えい 「ユーザー本人に情報を表示する機構」に不正アクセス（ITmedia NEWS、2026-10-09）
- ローソンIDと予約サービスに不正アクセス- 個人情報が流出（Security NEXT、2026-10-09）
- API1:2023 Broken Object Level Authorization（OWASP API Security Top 10）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）
- ローソン、個人情報215万件漏洩 自動検知すり抜け人手の調査で発覚（日経クロステック、2026-10-09）
- ローソン社長 不正アクセスによる個人情報漏えいを謝罪（NHK、2026-10-15）
- 個人情報215万件漏えいでローソン社長が謝罪 不正アクセスの監視など強化（テレ朝NEWS、2026-10-16）
- ローソンアプリ予約の利用再開について（ローソン、2026-10-19）
- 第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（ローソン、2026-10-24更新：漏えい対象情報の訂正）