ローソンIDに不正アクセス、215万件の氏名・メールアドレス・住所が漏えい — アプリの本人向け表示の仕組みが悪用、会員アプリを持つ企業の点検点
ローソンは2026年10月8日、アカウントサービス「ローソンID」と、アプリで催事商品を予約できる「ローソンアプリ予約」が第三者の不正アクセスを受け、個人情報が漏えいしたと公表した。漏えいはローソンIDが215万5,345件、アプリ予約が26件である。原因は、アプリ上で利用者本人に情報を表示するための仕組みが不正に利用されたことだとしている。公表時点で不正利用や二次被害は確認されていない。この記事では公表資料で確認できる事実を整理し、利用者が気をつけることと、会員アプリを持つ企業が見直す点をまとめる。
背景
同社の発表によると、10月7日に行った調査の中で、ローソンIDが9月12日から14日の間に、アプリ予約が9月17日に不正アクセスを受けていたことが分かった。不正アクセスから判明まで3週間あまりかかったことになる。同社は、本件以外の不正アクセスやマルウェア感染は無いことを確認済みとしている。
ローソンIDで漏えいしたのは、メールアドレスと氏名である。プレゼントの応募などで入力していた利用者については、性別、電話番号、住所、メールマガジンの受信設定も含まれる。アプリ予約の26件では、氏名、電話番号、クレジットカード番号の一部が漏えいした。
同社は不審なアクセス元を遮断し、アプリ予約の機能を止めた。対象者にはローソンIDの送信元アドレス（lawson_id@mailservice.lawson.jp）から個別に案内を送り、個人情報保護委員会にも報告している。再発防止策として、対象システムのセキュリティ対策と監視体制、インシデント対応体制の強化を挙げた。アプリ予約は10月中旬に再開する予定である。
リスクの全体像
利用者にとっての危険は、氏名とメールアドレス、人によっては電話番号と住所の組み合わせが外に出たことである。これを使えば、ローソンや他の企業を名乗る偽のメールやSMSを、本人の名前入りで送ることができる。お詫びのクーポンやポイント補償を口実に偽サイトへ誘導し、パスワードやカード番号を入力させる手口が考えられる。同社も、登録した宛先に届く不審なメール、SMS、電話に注意するよう呼びかけている。正規の案内は上記の送信元アドレスから届くため、それ以外から届いた「お詫び」は疑ってよい。
企業側から見て注目すべきは、侵入の入口がアプリの表示機能だった点である。会員アプリは、ログインした本人に氏名や登録情報を表示するため、裏側のサーバーに問い合わせて情報を受け取る。その問い合わせ窓口が「問い合わせてきたのが本当にその本人か」を十分に確かめていないと、攻撃者は他人の番号を指定して情報を次々に引き出せる。画面上は本人の情報しか見えない作りでも、裏側の窓口が同じ確認をしていなければ守られない。同社は仕組みの詳細を公表していないため、今回がこの型に当たるかは断定できないが、会員アプリを持つ企業が点検すべき典型的な弱点である。
チェックリスト
- 自社アプリやWebサービスの裏側で、会員情報を返す窓口がどれだけあるかを把握しているか
- その窓口が、ログイン中の本人の情報だけを返すように、問い合わせのたびに確認しているか
- 短時間に大量の会員情報が引き出されたとき、気づける監視の仕組みがあるか
- アプリの開発を外部に委託している場合、委託先と脆弱性診断の結果を共有しているか
- 漏えいが起きたときに、利用者への案内をどのアドレスから送るかを決めているか
- 会員情報のうち、サービスに不要な項目（住所や性別など）まで保管していないか
打ち手
会員アプリやWebサービスを持つ企業は、まず裏側の窓口の一覧を作る。アプリの画面ごとに、どの窓口からどの情報を受け取っているかを書き出すと、点検の範囲がはっきりする。外部の開発会社に任せている場合も、一覧の提出を求めることはできる。
次に、窓口ごとに「他人の会員番号を指定したら、他人の情報が返ってこないか」を確かめる。これは専門の診断で必ず確認される項目で、修正も多くの場合は小さな変更で済む。あわせて、1つのアカウントや1つの接続元から短時間に大量の問い合わせがあれば止める、あるいは通知する設定を入れる。今回のように判明まで3週間かかる事態を縮められる。
利用者として登録している人は、案内メールが届いていないかを確かめ、ローソンIDと同じパスワードを他のサービスで使い回していれば変更する。パスワード自体は漏えいの対象に含まれていないが、名前入りの偽メールに誘導されて入力してしまえば同じことになる。
あわせて読みたい
- 焼肉きんぐ公式アプリに不正アクセス、会員1,078万人分の氏名・メールアドレス・電話番号が漏えい — 会員アプリを持つ店舗の確認点
- セイコーマートアプリに不正アクセス、会員57万人分の氏名・住所などが閲覧される 発覚のきっかけは1件の不正な退会処理
- ムラウチドットコムで771万件の個人情報漏えい — Webシステムの脆弱性1つから複数システムへ広がった経緯
- パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
Omamori AI の結論
ローソンIDの件は、本人に情報を見せるための仕組みが、そのまま他人の情報を引き出す入口になりうることを示した。会員アプリを持つ企業は、画面の作りではなく裏側の窓口が本人確認をしているかを点検し、大量の引き出しに気づける監視を入れておくべきである。
経営者視点で考えるべきこと
会員アプリは集客の道具であると同時に、顧客の個人情報を外部に開いている窓でもある。アプリを作るときの予算に、公開前と大きな改修のたびの脆弱性診断を含めておきたい。漏えいが起きれば、対象者への通知、問い合わせ窓口の設置、個人情報保護委員会への報告が必要になり、その費用と信用の損失は診断の費用を大きく上回る。
