概要

10月7日に行った調査で、ローソンIDには9月12日〜14日、ローソンアプリ予約には9月17日に不正アクセスがあったことが分かった。利用者本人に情報を表示するための仕組みが不正に利用されたとされる。漏洩したのは、ローソンIDのメールアドレス・氏名（プレゼント応募などで入力していた場合は性別・電話番号・住所・メルマガ取得情報も含む）と、アプリ予約の氏名・電話番号・クレジットカード番号の一部。TBSは、当時のセキュリティ監視では検知できていなかったと報じている。公表時点で不正利用や二次被害は確認されていない。

経緯

経緯情報は未登録です。

原因

利用者本人に情報を表示するためのアプリ関連の仕組みを第三者が不正に利用した。具体的な攻撃手法や悪用された脆弱性は公表されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

2,155,371

サービス停止

あり

金銭的被害

不明

対象システム

ローソンID、ローソンアプリ予約

漏洩した情報

• 確認済みメールアドレス
• 確認済み氏名
• 確認済み性別
• 確認済み電話番号
• 確認済み住所
• 確認済みメルマガ取得情報
• 確認済みクレジットカード番号の一部（アプリ予約26件）

ローソンID 215万5,345件、ローソンアプリ予約26件の個人情報が漏洩した。アプリ予約機能は停止された。公表時点で不正利用や二次被害は確認されていない。

対応

不審なアクセス元をブロックし、アプリ予約機能を停止した。個人情報保護委員会に報告し、対象者には順次メールで知らせる。アプリ予約機能は10月中旬に再開する予定。

• 不審なアクセス元をブロック
• アプリ予約機能を停止
• 個人情報保護委員会に報告
• 対象者にメールで個別に通知
• 専用の問い合わせフォームを設置
• 対象システムのセキュリティ対策を強化
• 監視体制とインシデント対応体制を強化

教訓・対策

• 利用者本人向けの情報表示APIなどが不正に使われていないかを監視する必要がある
• 異常なアクセスを早く検知できる監視体制を整えることが重要である

参考資料

1. ローソンで個人情報215万件超が漏洩、「ローソンID」などに不正アクセス
   サイバーセキュリティ.com公開日: 2026-10-09報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社ローソン

関連するインシデント

関連付けられたインシデントはありません。