ローソンID・ローソンアプリ予約への不正アクセス（ローソンID 215万5,345件、アプリ予約26件でカード番号の一部が漏えい）
公表日
ローソンの会員ID「ローソンID」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、215万5,345件の個人情報が漏えいしました。「ローソンアプリ予約」でも26件が漏えいし、クレジットカード番号の一部が含まれていました。
対象者は？
ローソンIDの会員のうち215万5,345件で、メールアドレスと氏名、登録内容によって性別・電話番号・住所・メールマガジンの受け取りの設定が含まれます。ローソンアプリ予約の利用者26件では、氏名・電話番号・クレジットカード番号の一部が含まれます。パスワードが漏えいしたとは書かれていません。
対象の方には、ローソン（lawson_id@mailservice.lawson.jp）から個別にメールが送られています。専用の受付フォームも用意されています。
いますぐできること
- ローソンを名乗るメール・SMS・電話で、個人情報やカード情報を求められても応じない。気になるときはローソンアプリや公式サイトから確認する
- ローソンアプリ予約を使ったことがあれば、クレジットカードの利用明細に身に覚えのない請求がないか確認する
- 登録したメールアドレスや電話番号に、不審な連絡が増えていないか気をつける
何が起きたのか
2026年9月12日から14日にかけてローソンIDに、9月17日にローソンアプリ予約に、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。10月7日の調査でこのことが分かり、ローソンは不審なアクセス元をブロックし、アプリ予約の機能を止めました。翌10月8日に公表し、対象の方への連絡を始めました。
なぜ起きたのか・なぜ広がったのか
ローソンは、本来は利用者本人に情報を表示するための仕組みが、第三者に不正に使われたと説明しています。その仕組みのどこに問題があったのか、どのような方法でアクセスされたのかは、まだ公表されていません。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が終わってから気づくまでに20日以上かかっていました。なお、9月25日〜27日にはローソンのメールサーバが不正に使われて迷惑メールが送られた別の事案も公表されていますが、関係は示されていません。
いまの状況2026-10-08 時点続報待ち
アプリ予約の機能は止まっており、10月中旬に再開する予定です。公表の時点で、漏えいした情報が悪用された被害は確認されていないとしています。個人情報保護委員会には報告済みです。再発防止として、システムの安全対策や監視の強化を挙げていますが、具体的な内容はまだ発表されていません。
企業として考えたいこと
自社のアプリで、本人にしか見せないはずの情報が、他人からも取り出せてしまわないか確かめたことはあるでしょうか。大量に情報が取り出されたとき、すぐに気づける仕組みはあるでしょうか。
技術的な要約
ローソンは2026年10月8日、ローソンアプリに関連するシステムが第三者に不正利用され、共通会員ID「ローソンID」215万5,345件と「ローソンアプリ予約」26件の個人情報が漏えいしたと公表した。不正アクセスはローソンIDが9月12日〜14日、アプリ予約が9月17日に行われ、10月7日の調査で判明した。ローソンは『本来は利用者本人に対して情報を表示するためのセキュリティ機構』が不正アクセスを受けたと説明しているが、脆弱性の種類・ソフトウェア名・攻撃手法は公表していない。漏えい項目はメールアドレス・氏名と、登録状況により性別・電話番号・住所・メルマガ取得情報で、アプリ予約では氏名・電話番号・クレジットカード番号の一部が含まれる。パスワード漏えいの記載はなく、二次被害は公表時点で確認されていない。アプリ予約機能は停止中で10月中旬に再開予定。10月1日公表のメールサーバ不正利用（約70万通の英文スパム）とは別事案として公表されており、両者の関連は公式に示されていない。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認公式表現は『ローソンアプリに関連するシステムが不正に利用されたことにより発生したものと考えられる』『本来は利用者本人に対して情報を表示するためのセキュリティ機構が第三者による不正アクセスを受け』（ローソン10/8公表）。自社アプリ関連システムの本人向け表示機構が突破されたという点までが確定事実で、認可不備（他人の会員IDを指定して情報を取得できるBOLA/IDOR型）なのか、認証トークンの窃取・偽造なのか、ソフトウェアの脆弱性なのかは非公表。ローソンは本件以外の不正アクセスやマルウェア感染はないことを確認したとしている。報道（ITmedia、セキュリティ対策Lab、innovaTopia）も手口の具体には触れておらず、APIの認可不備との見立ては一般論の解説にとどまる。
- 脆弱性
- CVE 非公表不明非公表（ローソンアプリ関連システムの『利用者本人に情報を表示するためのセキュリティ機構』）製品名・脆弱性の種類・CVEはいずれも非公表（2026-10-10時点）。自社開発部分の不具合か第三者製品の脆弱性かも示されていない。JPCERT/CCの注意喚起（JPCERT-AT-2026-0030）が挙げるCVE-2026-72898（Metabase）や公開アプリ解析による内部API悪用との関係は、公式・報道とも言及なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ローソンアプリ予約機能を停止（停止開始日時は非公表、10/8公表時点で停止中）。ローソンID・ローソンアプリ本体の停止は公表されていない。期間：アプリ予約は10月中旬に再開予定（10/8公表時点）。10/10時点で再開告知は未確認
- データ
- 確定上限 2,155,345確定 2,155,345件メール氏名性別電話住所クレカその他（メルマガ取得情報）ローソンID 2,155,345件：メールアドレス、氏名、登録内容により性別・電話番号・住所・メルマガ取得情報（ローソンIDを使ったプレゼント応募などで入力されている場合）。ローソンアプリ予約 26件：氏名、電話番号、クレジットカード番号の一部（何桁か・有効期限やセキュリティコードの有無は非公表）。両者の合算や重複の有無は公表されておらず、records_maxはローソンIDの件数のみ。パスワード漏えいの記載はない。公式は『漏えい』と表現しており『おそれ』ではない。ローソンIDの会員総数に占める割合は非公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及や委託先経由の侵入は公表されていない。ローソンIDはローソングループの共通IDだが、グループ他社サービスへの影響は言及なし。
時系列
技術解説
公表された攻撃の構造：本人向け表示機構の突破 事実
ローソンの説明は『ローソンアプリに関連するシステムが不正に利用された』『本来は利用者本人に対して情報を表示するためのセキュリティ機構が第三者による不正アクセスを受けた』の2点で、サーバへの侵入やマルウェア感染は否定している（本件以外の不正アクセス・マルウェア感染はないことを確認）。つまり攻撃者はアプリが会員情報を表示するために使う正規の経路を、本人以外の立場で通過したことになる。対象はローソンID（9/12〜14、215万5,345件）とアプリ予約（9/17、26件）の2系統で、期間も件数も大きく異なる。漏えい項目はプロフィール情報（メール・氏名・性別・電話・住所・メルマガ取得情報）とアプリ予約のカード番号の一部で、パスワードは含まれていない。対応はアクセス元のブロックと予約機能の停止で、ID基盤側の停止やパスワードリセットは行われていない。脆弱性の種類、製品名、攻撃に使われたリクエストの特徴は非公表である。
何が起きたと考えられるか（推測） 解釈
『本人に表示するための機構』が突破され、侵入やマルウェアは無く、数日で200万件超を取得したという組み合わせは、モバイルアプリ向けAPIのオブジェクトレベル認可不備（BOLA/IDOR）で、会員IDや予約IDを順に差し替えて他人のプロフィールを取得された場合の典型像と一致する。仮に3日間（約25.9万秒）で均等に取得したとすると平均約8.3件/秒で、スクリプトによる自動取得であれば十分到達できる速度である（215万5,345÷259,200秒の概算）。ただし認証トークンの窃取・偽造、セッション管理の不備、キャッシュの混同など別の機序でも同様の結果は起こりうる。JPCERT/CCの注意喚起（10/8）のケースBは『公開アプリを解析してAPIエンドポイントやキーを特定し内部APIを呼ぶ』手口を挙げるが、ローソンとの関係は公式・報道とも示されておらず、類似性の指摘にとどまる。
検知までの20〜25日 事実
ローソンIDへの不正アクセスは9/12〜14、アプリ予約は9/17だが、判明は10/7で、ローソンIDは終了から23日（開始から25日）、アプリ予約は20日を要した（innovaTopiaも同様に指摘）。何をきっかけに調査が始まったか（外部通報、ログ分析、メールサーバ事案の調査の過程など）は公表されていない。この間の9/25〜27にはローソンのメールサーバが不正利用されて約70万通の英文不審メールが送信され、10/1に公表されているが、その公表でもローソンIDへの言及はなく、10/8の公表でもメールサーバ事案への言及はない。公表は判明の翌日で、判明から公表までは速い。一方、ID事案は既に収束した後に検知されており、リアルタイムでの遮断はできていない。
同時期の別事案とどう向き合うか（解釈） 解釈
ローソンは9月下旬〜10月上旬にメールサーバ不正利用（9/25〜27）とローソンID・アプリ予約への不正アクセス（9/12〜17）という2つの事案を別々に公表した。セキュリティ対策Labは『被害の内容が異なり、関連性を示す公式説明もない』とし、innovaTopiaも同一攻撃者を示す情報はないとしている。現時点で両者を結び付ける根拠はない。ただ、同じ組織が1か月以内に異なる経路で2回侵害を受けた事実は、攻撃者側の偵察が組織全体に及んでいた可能性や、外部公開資産の棚卸し・監視に共通の弱点がある可能性を考える材料になる（推測）。また同時期にはセイコーマートや郵便局アプリでもアプリ経由の不正アクセスが公表されており（innovaTopia）、JPCERT/CCが10/8に『相次いでいる』として注意喚起を出した。国内で公開アプリ・APIを狙う活動が集中していた時期と重なるが、個々の事案の手口が同じとは示されていない。なおローソンIDは2018年にもリスト型攻撃を受けてリセットを行っており（サイバーセキュリティ.com）、今回は認証突破ではなく表示機構の突破という別種の問題である。
対応
- 封じ込め
- 不審なアクセス元をブロック、ローソンアプリ予約機能を停止（10月中旬再開予定）。本件以外の不正アクセス・マルウェア感染がないことを確認したと説明。再発防止策として対象システムのセキュリティ強化、監視体制の強化、インシデント対応体制の強化を挙げるが、具体策（認可ロジックの改修内容等）は非公表。
- 公表の仕方
- 判明（10/7）の翌日10/8に公式サイトで公表、ローソンアプリ上でも告知。対象者には lawson_id@mailservice.lawson.jp から個別メール、不審なメール・SMS・電話への注意喚起。専用受付フォームを設置。手口・製品名・ID会員総数に対する割合は非公表。10/1公表のメールサーバ不正利用とは別ページで、相互の言及なし。
- 当局対応
- 個人情報保護委員会：報告済み（10/8公表時点）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 本人向け表示機構が他人の情報を返せる状態だった（機序は非公表） | 会員情報を返すAPIは、リクエストに含まれる会員ID等を信用せず、サーバ側でセッション/トークンの主体とオブジェクト所有者の一致を毎回検証する（BOLA対策）。ID系パラメータを使う全エンドポイントを列挙し、別ユーザーのトークンで他人のIDを指定する自動テストをCIに組み込む |
| 3日間で215万件超の取得を止められなかった | トークン単位・IP/ASN単位で『1トークンが参照した異なる会員ID数』『単位時間あたりのプロフィール取得件数』をメトリクス化し、閾値超過で自動遮断・アラート。ログイン、検索、プロフィール取得系にはレート制限を設定（JPCERT-AT-2026-0030の推奨とも一致） |
| 検知まで20〜25日かかった | APIアクセスログをSIEMに集約し、レスポンス件数・応答サイズの急増や、通常のアプリ利用ではあり得ないID連番アクセスを日次で自動検出する。WAF/APIゲートウェイのログ保存期間を最低90日確保する |
| キャンペーン応募で入力された住所・電話等がID基盤に蓄積され、漏えい項目を広げた | 応募用の住所等はキャンペーン終了後に削除するか、ID基盤とは別ストアに分離して表示APIからは返さない。APIのレスポンスは画面に必要なフィールドだけに絞る（電話・住所はマスキング表示） |
| 同じ月に別経路（メールサーバ）の侵害も発生していた | 1件の侵害を検知した時点で、外部公開資産（メール送信基盤、アプリAPI、管理画面）全体を対象に同期間の不審アクセスをハンティングする手順をIR計画に入れる。公開資産の棚卸しを四半期ごとに更新する |
自組織などでの確認項目
- あなたのアプリのAPIで、ログイン中のユーザーが別ユーザーのIDをパラメータに入れたとき、サーバ側で確実に拒否されることをどうやって確認しているか（テスト・レビュー・監視のどれで担保しているか）。
- 1つのトークンやIPから数十万件のプロフィール取得が起きた場合、何分（何日）で気づける仕組みになっているか。ローソンの20〜25日と比べてどうか。
- キャンペーン応募などで集めた住所・電話番号を、会員情報としていつまで保持しているか。それがAPIから返る状態になっていないか。
- 短期間に別々の経路で2件の侵害が見つかったとき、同一攻撃者の可能性をどう評価し、どこまで横断調査するかを誰が判断するか。
未解明点
- 『セキュリティ機構』の具体的な不備の内容（認可不備、トークン偽造、セッション管理、キャッシュ等のどれか）と、自社開発か第三者製品か
- 10/7に判明した契機（外部通報、ログ分析、メールサーバ事案の調査の過程など）
- 9/25〜27のメールサーバ不正利用（10/1公表）との関連の有無と、メールサーバ側の原因
- アプリ予約で漏えいしたカード番号の桁数、有効期限・セキュリティコードの有無
- ローソンIDの会員総数に占める漏えい割合、取得に使われたアクセス元・リクエスト数
- JPCERT/CC注意喚起（JPCERT-AT-2026-0030）が挙げる国内事案に本件が含まれるか
- 攻撃者の正体・目的、流出データの販売・公開の有無（10/10時点で犯行声明・リーク情報は確認できず）
出典
- 1ローソン2026-10-08公式本文確認済
- 2ローソン2026-10-01公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-10-08報道本文確認済
- 4innovaTopia2026-10-09報道本文確認済
- 5ITmedia NEWS2026-10-09報道本文確認済
- 6ネットショップ担当者フォーラム2026-10-09報道本文確認済
- 7日本経済新聞2026-10-08報道未確認
- 8時事通信2026-10-08報道未確認
- 9共同通信（Yahoo!ニュース）2026-10-08報道未確認
- 10@IT2026-10-05報道本文確認済
- 11JPCERT/CC2026-10-08研究者本文確認済
- 12INTERNET Watch2026-10-08報道本文確認済
- 13サイバーセキュリティ.com2018-09-11報道本文確認済