ローソンのメールサーバ不正利用（不審な英文メール約70万件を外部へ送信）
公表日
ローソンのメールサーバーが第三者に不正に使われ、約2日間で不審な英文メール 約70万件（推計）が外部に送られました。個人情報の流出は、公表の時点では確認されていません。
いますぐできること
- 件名が「Mutual Benefit」「RE」などの見覚えのない英文メールが届いたら、返信・リンクのクリック・添付ファイルの開封をせずに削除する
- 送信元がローソンのアドレスに見えても、お金の話や個人情報を求めるメールには応じない。送信元は偽装されている場合がある
何が起きたのか
2026年9月25日の午後3時ごろから27日の午後5時15分ごろまで、ローソンのメールサーバーから、不審な英文メールが約70万件送られました。送り先の多くは海外で、一部は日本国内にも届きました。内容は、お金がもらえるとほのめかして、連絡や個人情報を求めるものでした。会社は9月27日にメールサーバーの設定を変え、通信を制限しました。10月1日に公表し、受け取った人に削除するよう呼びかけました。
なぜ起きたのか・なぜ広がったのか
どのようにメールサーバーが不正に使われたのかは、まだ公表されていません。会社は原因の確認を進めているとしています。本物の会社のメールサーバーから送られたメールは、迷惑メールとして振り分けられにくいため、受け取った人が信じてしまうおそれがあります。なお、10月8日に公表されたローソンIDへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とは、別の事案として発表されています。
いまの状況2026-10-01 時点続報待ち
不審メールの送信は止まっています。個人情報の流出、データセンターへの侵入、データの改ざん、ウイルス感染は、公表の時点で確認されていません（調べ終えて「なかった」と分かったわけではありません）。原因と、再び起きないための対策は、まだ発表されていません。
企業として考えたいこと
自社のメールサーバーが、知らないうちに迷惑メールの送信に使われたら、どれくらいで気づけるでしょうか。送信量の急な増え方を見張る仕組みがあるか確認しましょう。
技術的な要約
ローソンは2026年10月1日、自社のメールサーバが第三者に不正利用され、9月25日15時頃から27日17時15分頃にかけて不審な英文メール約70万件（推計）が外部へ送信されたと公表した。送信先の大半は海外で一部国内にも届き、件名は『Mutual Benefit』『RE』、内容は金銭取得をほのめかし連絡や個人情報の提供を求めるもので、送信元アドレスが偽装されたものもある。同社は9月27日にメールサーバの設定変更と通信制限を実施したが、原因（侵入・悪用の経路）は確認中で、個人情報流出・データセンター侵入・改ざん・マルウェア感染は公表時点で確認されていない。10月8日公表のローソンID不正アクセス（2026-lawson-id）とは別事案として公表されている。
攻撃の分類
- 侵入口
- 不明不明。公式発表は『第三者により当社メールサーバーが不正利用』されたとするのみで、原因は今後確認を進めるとしている。メールアカウントの認証情報流用、SMTPリレー設定の不備、脆弱性悪用のいずれかは公表されておらず、報道（@IT、セキュリティ対策Lab）も具体的な経路は明らかでないとしている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 9/27にメールサーバの設定変更と通信制限を実施したが、ローソンの業務・サービスへの影響は公表されていない。
- データ
- なし上限 —確定 —約70万件は外部へ送信された不審メールの推計件数で、個人情報の件数ではない。公表時点で個人情報等の流出、データセンター内への侵入、データ改ざん、マルウェア感染は『確認されていない』（否定ではなく未確認）。
- 波及先
- 700000 件（外部へ送信された不審メール、推計）
- 送信先の大半は海外のメールアドレス、一部国内
- 件名『Mutual Benefit』『RE』、金銭取得をほのめかし連絡・個人情報提供を求める英文（送信元偽装あり、他の内容の可能性も）
- 金銭影響
- —
- サプライチェーン
- 他組織への波及・委託先経由は公表されていない。不審メールの受信者は不特定多数の個人・組織。
時系列
技術解説
公表内容：送信数は大きいが原因は空白 事実
公式発表で確定しているのは、送信期間（9/25 15時頃〜9/27 17時15分頃、約50時間）、推計件数約70万、件名・内容、送信元偽装の存在、9/27の設定変更と通信制限の4点である。いつ・どう検知したか、どのアカウントや機能が悪用されたか、送信元偽装が自社ドメインの正規送信を伴ったのかは示されていない。約70万件は送信メール数であり顧客情報の件数ではない。個人情報流出等は『確認されていない』と表現されており、調査結果として否定されたわけではない。
考えられる経路と残るリスク（推測） 解釈
企業メールサーバが短時間に大量のスパム送信に使われる典型は、(1)漏えい・総当たりで得たメールアカウント認証情報によるSMTP AUTH送信、(2)リレー制限の不備（オープンリレー化や内部セグメントからの無認証送信の許可）、(3)Webフォームやアプリの送信機能の悪用、(4)サーバ自体の脆弱性悪用である。対策が『設定変更と通信制限』だったことは(1)(2)と整合的だが、公表されておらず推測にとどまる。正規サーバから送られたメールはSPF/DKIMを通過し得るため、受信側で迷惑メール判定されにくく、ドメインの送信レピュテーション低下（正規の会員向けメールの不達）という副次影響も考えられる。
対応
- 封じ込め
- 9/27にメールサーバの設定変更と通信制限を実施。原因の確認を進め、不正利用を防ぐ恒久的な対策を実施する予定（内容は非公表）。
- 公表の仕方
- 10/1に公式サイトで送信期間（時刻付き）、推計件数、件名・内容の特徴、送信元偽装、未確認事項を公表し、受信者へ注意喚起。原因・検知経緯は未公表。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 大量送信が約50時間続いた（検知・遮断の遅れの可能性） | MTAで送信者（認証ユーザー・送信元IP）ごとの送信レート上限と、海外宛・新規宛先比率の急増アラートを設定し、閾値超過時はアカウントを自動停止。送信キュー長の監視を24時間体制のアラートに組み込む |
| メールサーバの悪用経路が多様（認証情報・リレー設定・送信機能） | SMTP AUTHは外部からはMFA付きの経路またはアプリ固有パスワードに限定し、レガシー認証を無効化。リレー許可ネットワークを棚卸しして最小化し、Webアプリからの送信は専用のAPI経由・宛先制限付きに分離する |
| 正規ドメインからの不審メールは受信者が見分けにくい | DMARCをp=rejectまで進め、正規送信元を明確化したうえでDMARC集計レポートを監視し、自社ドメイン名義の異常な送信量を早期に把握する |
自組織などでの確認項目
- 自社のメールサーバ（またはMicrosoft 365・Google Workspaceの送信）が乗っ取られて1日に数十万通を送り始めたら、何分後に誰が気づく設計になっているか。送信レート制限や自動停止は設定されているか。
未解明点
- 不正利用の原因・侵入経路（アカウント認証情報の流用、リレー設定、脆弱性等）
- 検知の契機と日時、9/27の通信制限から送信停止（17:15頃）までの経緯
- 10/8公表のローソンID不正アクセスとの関連の有無
- 恒久対策の内容
出典
- 1ローソン2026-10-01公式本文確認済
- 2@IT2026-10-05報道本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-10-02報道本文確認済