ローソンIDに不正アクセス（215万5,345件）：メールアドレス・氏名などが漏えい、会員とアプリ予約の利用者がやること

漏えいしたのはメールアドレスと氏名で、電話番号や住所まで含まれる人もいます。同社は、ローソンIDに登録した宛先への不審なメール、SMS、電話に十分注意するよう呼びかけています。

ローソンを装う偽の連絡は、今回の件の前からありました。同社は2026年6月に、キャンペーンや無料券のプレゼントを装って情報を入力させる偽サイトへの注意を呼びかけています。「ポイントが失効する」「クーポンを受け取って」「当選した」といった連絡のリンクは開かず、IDやパスワード、カード情報を入力しないでください（見分け方は フィッシングとは）。

同社は、対象の人に「ローソンIDメール」（lawson_id@mailservice.lawson.jp）から順次、個別に案内するとしています。ローソンアプリ上でもお知らせを出しています。

ただし、メールの送信元の表示は偽装できます。ローソン自身も、10月1日に公表した別の件（同社のメールサーバーが不正利用された件）の案内で、送信元の表示だけでは判別できない場合があると書いています。案内メールが本物らしく見えても、本文のリンクからではなく、ホーム画面の公式アプリやブックマークから確かめてください。

発表で漏えいした項目に、パスワードは含まれていません。同社もパスワードの変更は求めていません。

今回の件で起きやすいのは、漏れたメールアドレスに偽のログイン画面へ誘うメールが届き、そこで自分からパスワードを入力してしまうことです。ログインは公式アプリから行えば、この心配はほぼなくなります。ローソンIDと同じパスワードを他のサービスでも使っているなら、今回の件と関係なく別々にしておくと、どこかで漏れたときの被害が広がりません（パスワードマネージャー が現実的です）。

ローソンアプリ予約で漏えいしたのは、氏名、電話番号、クレジットカード番号の一部です。同社は不正利用を確認していないとしています。番号の一部だけでは一般にネットの買い物はできませんが、念のため明細を確認し、知らない請求があればカード会社へ連絡してください。カード会社を名乗る電話で、カード番号の残りや暗証番号を聞かれても答えないでください。

同社の発表に載っている問い合わせ先は、ローソンカスタマーセンターの専用受付フォーム（lawson-faq.lawson.co.jp）です。電話番号は発表に載っていません。偽の連絡に情報を入力してしまった場合について、同社は6月の注意喚起で、最寄りの警察署か都道府県警察のサイバー犯罪相談窓口へ相談するよう案内しています。

マイページ、会員情報、予約・注文の確認、ポイント残高、クーポン一覧など、ログインした人の情報を返す機能を書き出します。アプリの裏で動くAPI（アプリがサーバーから情報を受け取る窓口）も含めます。

それぞれについて、返す情報の持ち主をログインの情報から決めているかを確かめます。アプリから送られてきた会員番号を使っている箇所があれば、ログイン中の会員と一致するかを毎回照合するよう直します。画面に表示しない項目までまとめて返していないかも、同時に見直します。

本人の情報を表示する機能は、正しく使われる限り、1つのログインにつき対象は1人です。そこで、この機能のアクセス記録から、ログイン（またはアクセス元）ごとに1時間に何人分の異なる会員の情報を返したかを数えます。

通常の利用では1人なので、2人以上になったら担当者に通知します。件数の多さで見張る方法だと、少しずつ取得されると気づきにくいのに対し、この数え方は1件目の時点で異常が分かります。記録に「どの会員の情報を返したか」が残っていなければ、まずそれを残すところから始めます。

ローソンは、本件の判明後にアプリ予約の機能を停止しました。会員向けサービスでは、問題のある機能だけを止め、他の機能を動かし続けられるように、機能ごとに止められる切り替えを用意しておくと、判明から停止までの時間を短くできます。