发生了什么
2026 年 10 月 8 日,日本三大便利店连锁之一 罗森(Lawson) 宣布,其应用和各项服务通用的账户 Lawson ID 中 2,155,345 条 个人信息因未授权访问而泄露。季节性商品(如圣诞蛋糕)预订服务 罗森 App 预订 的 26 条 记录也遭暴露。
据公司称,访问发生在 9 月 12 日至 14 日(Lawson ID)和 9 月 17 日(预订),但直到 10 月 7 日 的调查才被发现,已过去三周多。
泄露了什么
- Lawson ID(2,155,345 条): 姓名和电子邮箱。在促销和抽奖中填写过信息的用户,还包括 性别、电话、地址 及邮件订阅信息。
- App 预订(26 条): 姓名、电话和 部分信用卡号。
- 据日本媒体报道,密码未泄露,截至公告时也未确认有滥用。
如何发生
罗森称原因是 与应用相关的系统遭到滥用:本应 只向用户本人显示信息 的安全机制被第三方访问,从而获取了他人的数据。公司未披露具体手法或漏洞。
实际上,这类似应用中极常见的一类缺陷:对象级授权失效(BOLA/IDOR),即 API 不核实请求者是否为数据所有者就返回任意 ID 的数据。注意:这是我们的解读,并非罗森的确认。
公司表示没有其他未授权访问或恶意软件感染。另外,9 月下旬罗森内部邮件服务器曾被滥用发送可疑邮件;据报道,两者 尚未确认存在关联。
应对
- 封锁可疑访问来源,暂停应用预订功能。
- 向日本 个人信息保护委员会(PPC) 报告。
- 通过 lawson_id@mailservice.lawson.jp 逐一邮件通知受影响用户。
用户应做什么
- 警惕提及罗森或泄露事件的邮件、短信和电话,尤其是带链接或索要信息的。
- 确认发件人为官方,优先通过应用或官网访问。
- 使用过预订服务的,请核对信用卡账单。
给有应用的企业的教训
- 每个返回个人数据的 API,都必须在每次请求时核实数据归属。
- 监控数量与模式: 三天内被拉取数百万条记录是明显异常。
- 缩短发现时间: 从攻击到发现三周太久。
- 在促销中少收集数据: 不存在的数据就不会泄露。
10 月日本接连发生数据泄露(skyticket、烧肉 King、第一兴商、Bookoff),审查消费类应用 API 更显紧迫。
来源
- 罗森官方公告(2026 年 10 月 8 日): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- Business+IT: https://www.sbbit.jp/article/cont1/187372
想检查您应用的 API 安全吗?KGA IT 提供免费咨询:kga-it.com