ローソンIDに不正アクセス、215万件の個人情報が漏えい——住所まで含まれた今回の注意点

2026年10月8日、ローソンが、会員サービス「ローソンID」と「ローソンアプリ予約」に不正アクセスがあり、215万件を超える個人情報が漏えいしたと発表しました。今回は「おそれ」ではなく漏えいが判明したもので、メールアドレスや電話番号に加えて住所も含まれています。

ローソンアプリやローソンIDを使っている方は多いはずです。何が漏れたのかと、対象かもしれない方が今日からできることを整理します。

何が起きたのか

発表で漏えいした情報として挙げられているのは上の項目で、パスワードは含まれていません。

住所が含まれていることの意味

メールアドレスや電話番号だけでなく住所まで分かると、詐欺の手段がメールやSMSにとどまらなくなります。

• 「ローソンからのお詫び」「返金のご案内」として、自宅に封書やはがきが届く
• 宅配業者を装ったSMSや、身に覚えのない荷物の着払い
• 名前と住所を読み上げて信用させる電話

名前・住所・電話番号を知っている相手だと、本物だと思い込みやすくなります。ローソンを名乗って、お金やカード番号、ログイン情報を求めてくる連絡は、まず疑ってください。

対象かもしれない方が今やること

1. ローソンからのメールも、リンクから手続きしない

ローソンは対象者に、lawson_id@mailservice.lawson.jp から個別にメールで知らせています。ただ、メールの差出人の表示は偽装できます。届いたメールのリンクからログインや入力をするのではなく、ローソンアプリや公式サイトを自分で開いてお知らせを確認してください。問い合わせは、公式サイトのローソンカスタマーセンターの専用受付フォームで受け付けています。差出人の確かめ方はフィッシング詐欺メールの見分け方で解説しています。

2. アプリ予約を使った方は、カードの明細を確認する

アプリ予約の26件では、クレジットカード番号の一部が含まれていました。番号の一部だけでは決済に使えないことが多いですが、カードの利用明細に身に覚えのない請求がないかを確認しておくと安心です。カード会社を名乗る「不正利用の確認」連絡にも注意してください。

3. 同じパスワードを使い回していないか確認する

今回、パスワードは漏えいした情報に含まれていません。ただ、ローソンIDと同じパスワードをほかのサービスでも使っている場合は、別々のものに変えておくと、今後どこかで漏れたときの被害を抑えられます。どこから何が漏れたのかを整理したいときは「個人情報が漏れたかも」と思ったときの確認手順も参考にしてください。

自社でWebサービスを持つ会社が学べること

今回は、パスワードが盗まれたのではなく、本人だけに見せるはずの情報が第三者にも見えてしまう形で漏えいしました。詳しい手口は公表されていませんが、会員ページや予約システムを持つ会社なら、規模にかかわらず次の点を確認しておきたいところです。

• ほかの人の情報が見えない作りになっているか。ログインした利用者が、URLの番号などを変えるだけで他人の情報を表示できないかを、制作会社や開発者に確認します
• いつもと違うアクセスに気づけるか。短時間に大量の情報が読み出されたときに、通知が届く仕組みがあると早く気づけます。今回は不正アクセスから判明まで3週間以上かかっています
• 使っていない機能や古い仕組みを残していないか。止めた機能の入口が残っていると、狙われる場所が増えます

前日に発表された第一興商の件（「ビッグエコー」の第一興商、最大872万件の個人情報が漏えいのおそれ）は委託先のパソコンが入口でした。入口は違っても、預かっている顧客の情報が大きければ影響も大きくなる点は同じです。

まとめ：住所まで漏れたときは、メール以外の連絡にも注意

• ローソンIDとアプリ予約への不正アクセスで、約215万件の個人情報が漏えい。住所も含まれ、アプリ予約の26件ではカード番号の一部も
• パスワードは漏えいした情報に含まれていない。この件による不正利用は現時点で確認されていない
• ローソンを名乗るメール・SMS・電話・郵便は、リンクや書かれた番号ではなく公式アプリや公式サイトで確かめる

「このメール、本当にローソンから？」と迷ったら、BULLCOM Securityにご相談ください。届いたメールやSMSのスクリーンショットをLINEで送っていただければ、詐欺かどうかを確認してお返事します（無料）。自社の会員サイトや予約システムの点検も、法人向けサービスでご相談いただけます。

参考：ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日）、INTERNET Watch