ローソンID 215万5,345件とアプリ予約26件で、公表された項目は違う。カード番号が挙がっているのは26件の側

2026年10月15日

この記事のポイント

いつ：不正アクセスは、ローソンIDが9月12〜14日、アプリ予約が9月17日。10月7日の調査で判明し、10月8日に公表されました
何が：ローソンIDは215万5,345件で、メールアドレス・氏名など。ローソンアプリ予約は26件で、氏名・電話番号・クレジットカード番号の一部です
誰に：対象は「ローソンID」と「ローソンアプリ予約」の利用者です。件数はローソンIDが215万5,345件、アプリ予約が26件で、人数と同じ意味かは確認できていません
注意点：10月1日の別の公表で、メールサーバー悪用による約70万件の不審メールが明らかに。関連に触れた公式の説明は確認できません
読者は：メール内のリンクを開く前に、アプリや公式サイトから状況を見ましょう。公表された項目にクレジットカード番号が挙がっているのは、26件の側です

ローソンIDは215万5,345件、アプリ予約は26件。公表された項目は層で異なる

ローソンは2026年10月8日、「ローソンID」と「ローソンアプリ予約」への第三者による不正アクセスで個人情報が漏えいしたと、公式リリースで公表しました。対象は、ローソンIDが215万5,345件、アプリ予約が26件です。公式は「件」で公表しており、人数と同じ意味かどうかは確認できていません(Security NEXT)。

層	件数	不正アクセスの時期	公表された項目
ローソンID	215万5,345件	9月12日〜14日	メールアドレス、氏名。利用状況により性別・電話番号・住所・メルマガ取得情報
ローソンアプリ予約	26件	9月17日	氏名、電話番号、クレジットカード番号の一部

ローソンIDの「性別・電話番号・住所・メルマガ取得情報」は、プレゼント応募などでローソンIDに入力している人だけに関わる項目です(INTERNET Watch)。

ID側の公表項目に、パスワードやクレジットカード情報は挙がっていないとされます。ただし、「漏れていない」とまで公表されたことは確認できていません。

カード番号が公表項目に挙がっているのは、26件のアプリ予約の側です。「一部」が何桁のどの部分かは公表されていません。

9月の侵入は10月7日の調査で判明。原因の技術的な内訳は公表されていない

不正アクセスは、10月7日に実施した調査で判明しました。ローソンは原因について、アプリ上で利用者本人に情報を表示するための仕組みが第三者に不正利用された、と説明したと報じられています(ビジネス+IT)。API(アプリ同士が情報をやり取りする窓口)の悪用なのか、別の手口なのかといった内訳は、公表されていません。

取られた対応は、不審なアクセス元のブロック、アプリ予約機能の停止、アプリ上での告知、対象者への個別連絡です。個人情報保護委員会など関係機関への報告も済んでいます(Innovatopia)。マルウェア感染や、今回判明した以外の不正アクセスは確認されていないとされます。

アプリ予約は、対策と監視体制を強化したうえで10月中旬に再開する予定です。再開はホームページなどで案内するとされています。

10月1日の別の公表は、本体のメールサーバーから送られた約70万件の英文メール

ローソンは10月1日、別の件を公表していました。自社のメールサーバーが第三者に不正利用され、9月25日15時ごろから27日17時15分ごろにかけて、英文の不審メールが推計約70万件、外部に送信されたというものです。件名は「Mutual Benefit」または「RE」でした(ASCII.jp)。

ローソンを装った偽メールではなく、ローソン本体のメールサーバーが悪用された点が特徴です。9月27日に設定変更と通信制限が行われ、公表時点で個人情報の流出やマルウェア感染は確認されていないとされています(ASCII.jp)。

10月8日の公表と、この10月1日の事案を結びつける公式の説明は、確認できません。

10月1日の事案で確認されたのは英文で件名が「Mutual Benefit」または「RE」のメールで、今回の個別連絡は「ローソンIDメール」の送信元から届くとされます。

ローソンID登録者は連絡の見方と確認先を、アプリ予約の26件側は明細を見直す

ローソンは、本件で対象となったローソンIDの登録先に届く不審なメール、SMS、電話に十分注意するよう呼びかけているとされます。個別連絡は「ローソンIDメール」の送信元から届くとされ、問い合わせ窓口としてローソンカスタマーセンターの専用受付フォームが案内されているとされます。ただし、このフォームで本人が対象かどうかの判定を得られると示した情報は確認できません。

ここからは編集部の整理です。対象の大半を占めるローソンIDの側では、次の3点が手元でできます。

連絡の見方：送信元の表示名や見た目だけで本物と判断せず、返信しない・リンクや添付を開かないようにしましょう。確認は、公式アプリや公式サイトを自分で開いて行います
状況の確認先：アプリ上の告知と、公式のお知らせページで状況を見ます。自分が対象かどうかはここでは分からず(照会ツールが確認できないため)、通知メールが来ていない人も「対象外」とは言い切れません
パスワード：公表された項目にパスワードは挙がっていないとされ、変更の呼びかけも確認できていません。他のサービスで同じメールアドレスとパスワードを使い回している場合は、今回の公表と関係なく、見直しておくと安心です

アプリ予約の26件に当たりうる人は、カードの利用明細を見直し、不安があればカード会社に相談します。桁数は公表されていないため、どの部分が含まれるかを前提にした判断はできません。

続報で更新されうるのは、アプリ予約の再開と、公表時点の二次被害の有無

10月8日の公表時点で、本件に起因すると考えられる不正利用や二次被害は確認されていません。この説明と、アプリ予約の再開は、続報で更新されうる点です。再開は10月中旬という時期までしか確認できておらず、再開したかどうかは公式サイトの案内で確かめる必要があります。

まとめ

今回の公表は、ローソンID(215万5,345件)とアプリ予約(26件)で、公表された項目も手元でできることも異なります。クレジットカード番号が公表項目に挙がっているのは、26件の側です。9月末に約70万件の不審メールを出したメールサーバー事案は別の公表で、両者の関連に触れた公式の説明は確認できません。

メールの真偽に迷ったら、文面を見極めるより先に、アプリや公式サイトから確かめる経路に切り替えるのが安全です。