何が起きたか
2026年10月8日、国内コンビニ大手 ローソン は、アプリや各種サービスで使う共通アカウント ローソンID の 215万5345件 の個人情報が、第三者の不正アクセスにより漏えいしたと発表しました。季節商品(クリスマスケーキなど)の予約サービス ローソンアプリ予約 の 26件 も対象です。
同社によると、不正アクセスは 9月12日〜14日(ローソンID)と 9月17日(アプリ予約)に行われましたが、判明したのは 10月7日 の調査で、3週間以上後のことでした。
漏えいした情報
- ローソンID(215万5345件): 氏名とメールアドレス。キャンペーンやプレゼント応募で入力していた場合は、性別、電話番号、住所、メルマガ取得情報も
- アプリ予約(26件): 氏名、電話番号、クレジットカード番号の一部
- 報道によると パスワードの流出は確認されておらず、発表時点で不正利用などの二次被害も確認されていません
原因
ローソンは原因を アプリに関連するシステムの不正利用 と説明しています。本来 利用者本人にだけ情報を表示する ためのセキュリティ機構が第三者に不正アクセスされ、他人の情報を取得できる状態になっていました。具体的な手口や脆弱性は明らかにしていません。
実態としては、アプリで非常によくある欠陥の類型である オブジェクト単位の認可不備(BOLA/IDOR)、つまり API が要求者の所有かを確認せずに任意の ID のデータを返す問題に似ています。ただし、これは当社の解釈であり、ローソンが認めたものではありません。
同社は、本件以外の不正アクセスやマルウェア感染はないと確認したとしています。また9月下旬には、社内メールサーバーが悪用され不審なメールが大量送信された別の事案がありましたが、報道によると両者の 直接の関連は確認されていません。
対応
- 不審なアクセス元を遮断し、アプリの 予約機能を停止
- 個人情報保護委員会 に報告
- 対象者へ lawson_id@mailservice.lawson.jp から順次メールで個別案内
利用者がすべきこと
- ローソンや漏えいに触れる メール、SMS、電話を警戒 する。特にリンクや情報提供の依頼に注意
- 送信元が公式か確認し、アプリや公式サイトから直接アクセスする
- アプリ予約を使った人は、カードの利用明細を確認する
アプリを持つ企業への教訓
- 個人データを返す API は、リクエストごとに持ち主を確認 する
- 量とパターンを監視する: 3日で数百万件の取得は目に見える異常
- 検知までの時間を短縮する: 攻撃から発見まで3週間は長すぎる
- キャンペーンで集めるデータを減らす: 存在しないデータは漏れない
10月の日本では漏えいが相次いでいます(skyticket、焼肉きんぐ、第一興商、ブックオフ)。消費者向けアプリの API 見直しは急務です。
出典
- ローソン、公式発表(2026年10月8日): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- ビジネス+IT: https://www.sbbit.jp/article/cont1/187372
自社アプリの API セキュリティを見直したいですか?KGA IT は無料相談を受け付けています:kga-it.com