Lawson ID未经授权访问事件（2,155,345条记录）：邮箱地址和姓名外泄——会员及App预约用户应采取的措施

邮箱地址和姓名已经泄露，部分人的电话号码和地址也已泄露。公司提醒人们，对发送到Lawson ID所登记联系方式的可疑邮件、短信和电话保持警惕。

在此次事件之前，已经存在模仿Lawson的伪造消息。2026年6月，公司就假冒赠品或免费优惠券活动、以收集个人数据为目的的虚假网站发出过警告。无论消息写的是“你的积分即将过期”“领取你的优惠券”还是“你已中奖”，都不要打开链接，也不要输入你的ID、密码或银行卡信息（如何识别：什么是网络钓鱼？）。

Lawson表示，正通过“Lawson ID Mail”逐一联系受影响的人。通知中列出了两个发件地址：lawson_id@mailservice.lawson.jp和lawson_id@id.lawson.jp（第二个地址是在10月13日的补充说明中新增的，说明发件地址已按所示增加）。公司还在Lawson应用中发布了通知。

不过，邮件上显示的发件人可能是伪造的。在10月1日公布的另一起事件中（涉及其邮件服务器被滥用），Lawson自己披露了发件地址被伪装成第三方的示例。即使通知看起来真实，也请通过主屏幕上的官方应用或书签进行核实，而不是点击邮件中的链接。

公司表示泄露的项目中不包括密码，也未要求用户更改密码。

更可能发生的情况是：有人将伪造的登录页面发送到泄露的邮箱地址，诱使你自行输入密码。只通过官方应用登录，基本可以消除这一风险。如果你在其他服务上也使用Lawson ID的密码，无论本次事件如何，都应设置不同的密码，以免其他地方的泄露扩散到这里（密码管理器可以让这一点更容易做到）。

对于Lawson App预约，泄露的项目为姓名、电话号码和部分信用卡号。公司表示尚未确认有任何滥用。部分卡号通常不足以用于网上购物，但请检查对账单，并就任何你不认识的扣款联系发卡机构。如果有人自称是你的“信用卡公司”并索要其余卡号或PIN码，请不要回应。

通知中列出的联系方式为Lawson客户中心的专用表单（lawson-faq.lawson.co.jp）。通知未提供电话号码。对于已经在伪造消息中输入过信息的人，公司6月的警告建议咨询最近的警察局或都道府县警察本部的网络犯罪咨询窗口。

列出所有返回登录用户数据的功能：我的页面、会员信息、预约和订单记录、积分余额、优惠券列表。也要包括应用背后用于从服务器获取数据的API（接口）。

对于每一项功能，检查返回数据的所有者是否由登录会话判定。如果使用了应用发送的会员编号，请修改为每次请求都与当前登录会员进行核对。同时，检查响应中是否包含屏幕上从不显示的字段。

显示用户自身数据的功能在正常使用时，每次登录只涉及一名会员。因此，请从该功能的访问记录中，统计每次登录（或每个来源）每小时返回了多少不同会员的数据。

正常使用时结果为1，出现两个或以上时应提醒负责人。按访问量进行监控会漏掉缓慢、小批量的数据读取；这一计数能够标出第一条不符合正常模式的记录。如果你的记录中无法看出返回的是谁的数据，请先从记录这一点开始。

发现问题后，Lawson暂停了App预约功能。在会员服务中，能够关闭某一功能而其他功能继续运行的开关，可以缩短从发现问题到控制事态之间的时间。