ローソンIDとローソンアプリ予約への不正アクセス

経緯

ローソンは告知で、漏えいはローソンアプリに関連するシステムが不正に利用されたことにより発生したものと考えられると説明した⁠［1］。本来はアプリ上で利用者本人に情報を表示するためのセキュリティ機構が第三者の不正アクセスを受け、情報が漏えいしたことを確認している⁠［1］。これ以外の不正アクセスとマルウェアの感染は無いことも確かめた⁠［1］。10月8日の告知では、この不正アクセスに起因すると考えられる不正利用や二次被害の発生は確認されていない⁠［1］。

ローソンIDは、ローソンのアプリやWEBサービスを使うためのアカウントサービスである⁠［1］。ローソンアプリ予約は、季節の催事商品をローソン公式アプリから事前に予約・決済できるサービスで、不正アクセスの判明後は、アプリからの商品予約、予約履歴の確認、予約のキャンセルが使えなくなっていた⁠［1、2］。

目次へ

時系列

目次へ

影響範囲

ローソンの告知によると、ローソンIDで漏えいした情報は氏名と生年月日で、生年月日は漏えいの可能性がある項目として挙げた⁠［1］。ローソンIDを使ったプレゼントへの応募などで入力していた利用者は、性別、電話番号、住所も対象になる⁠［1］。ローソンアプリ予約で漏えいしたのは、氏名、電話番号、クレジットカード番号の一部である⁠［1］。

目次へ

対応と現状

ローソンは被害の拡大を防ぐため、判明後に5つの対応をとった⁠［1］。

• 不審なアクセス元のブロック⁠［1］
• ローソンアプリ予約機能の停止⁠［1］
• ローソンアプリ上での利用者への告知⁠［1］
• ローソンIDメール（lawson_id@mailservice.lawson.jp）からの対象者への個別の案内⁠［1］
• 個人情報保護委員会を含む関係機関への連絡と報告⁠［1］

10月19日の告知でローソンは、必要なセキュリティ対策を実施し、安全に利用できる環境が整ったことから予約機能を再開したと説明した⁠［2］。再開の後にローソンアプリを使うには、アプリのアップデートが要る⁠［1］。

委託先の件で店舗検索を止めていた間も、MY店舗を登録済みの利用者は予約でき、予約期間中のキャンセルと商品の受け取りも通常どおり行えた⁠［3］。ローソンは、委託先での不正アクセスによる自社のシステムと顧客情報への影響は無いと説明している⁠［3、4］。再開後の店舗検索は「都道府県」「市区町村」「フリーワード（店舗名・住所など）」で条件を指定する方式になり、地図から店舗を選ぶ従来の方法から変わった⁠［4］。

目次へ

未公表の事項

• 不正アクセスを受けたセキュリティ機構の種類と侵入の手口
• 10月7日に実施した調査のきっかけ
• 不正アクセスを行った者
• 対象人数を件で数えた理由と、ローソンIDとローソンアプリ予約の対象者の重なり
• 店舗検索サービスの委託先の名称と、委託先が不正アクセスを検知した日時

注

• 〔注1〕10月8日の初版はローソンIDの漏えい項目にメールアドレスとメルマガ取得情報を挙げていた⁠［1］。10月24日の追記で、詳細な調査によりこの2項目は漏えいしていなかったとして外し、生年月日を加えた⁠［1］。

出典

• ［1］株式会社ローソン『第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ』（2026年10月8日公開、2026年11月2日更新）
• ［2］株式会社ローソン『ローソンアプリ予約の利用再開について』（2026年10月19日公開）
• ［3］株式会社ローソン『ローソンアプリ予約の店舗検索メンテナンスについて』（2026年10月26日公開）
• ［4］株式会社ローソン『ローソンアプリ予約の店舗検索再開について』（2026年11月2日公開）

更新記録

• 2026年10月12日：公開した。
• 2026年11月2日：ローソンの11月2日の公表を加えた。

目次へ