適用對象：任何持有 Lawson ID 的人（用於 Lawson 各項 App 與網路服務的帳號）、任何透過 Lawson App 預約商品的人，以及任何營運會員 App 或網路服務的人。本文依據 Lawson, Inc. 的官方公告撰寫，不涵蓋攻擊技術細節。
發展中：本文將隨該公司發布更多資訊而更新
- 適用對象
任何持有 Lawson ID 的人（用於 Lawson 各項 App 與網路服務的帳號）、任何透過 Lawson App 預約商品的人，以及任何營運會員 App 或網路服務的人。
- 已確認的影響範圍查看表格 ↓
- 未經授權存取期間
- Lawson ID 紀錄與項目
- App 預約紀錄與項目
另外1項
- App 預約重新開放
- 尚未確認的事項
- 遭濫用的機制細節
- 公司如何發現此次存取
- 個別通知電子郵件的進度
- 現在要做的事查看步驟 ↓
- 不要開啟聲稱來自 Lawson 的電子郵件或簡訊中的連結
- 即使收到通知電子郵件，也請透過官方 App 查證
- 密碼不在外洩項目之中，因此應注意你在哪裡輸入密碼
另外2項
- 26 位 App 預約用戶應檢查信用卡對帳單
- 將問題寄至官方公告所列的聯絡管道
- 查證來源（出處）全部來源 ↓
- Lawson, Inc.，因第三方未經授權存取而發生個人資料外洩的致歉公告（2026 年 10 月 8 日，10 月 13 日與 19 日補充，日文）— lawson.co.jp
- 最後查證
- 截至 2026 年 10 月 20 日
續報計畫與查證紀錄
公告未表示將公布後續調查結果。Lawson App 預約已於 10 月 19 日重新開放（當天的補充說明）；自 10 月 19 日起，使用 Lawson App 前必須先更新。10 月 13 日，公司為個別電子郵件新增了第二個寄件位址。於 10 月 20 日檢查的同一頁面，沒有新增的調查結果。
Lawson ID 持有者今天應該做什麼
不要開啟聲稱來自 Lawson 的電子郵件或簡訊中的連結
電子郵件位址與姓名已外洩，部分人的電話號碼與地址也已外洩。公司請大家小心寄送到 Lawson ID 登錄聯絡方式的可疑電子郵件、簡訊與電話。
在本次事件之前，就已存在模仿 Lawson 的假訊息。2026 年 6 月，公司曾警告假冒抽獎或免費優惠券活動、藉以蒐集個人資料的假網站。無論訊息寫的是「你的點數即將到期」、「領取你的優惠券」還是「你已中獎」，都不要點開連結，也不要輸入 ID、密碼或卡片資料（辨識方法：什麼是網路釣魚？）。
即使收到通知電子郵件，也請透過官方 App 查證
Lawson 表示，會透過「Lawson ID Mail」逐一個別聯絡受影響的人。公告列出兩個寄件位址：lawson_id@mailservice.lawson.jp 與 lawson_id@id.lawson.jp（第二個位址是在 10 月 13 日的補充說明中新增的，說明寄件位址已依所示新增）。公司也已在 Lawson App 中張貼公告。
不過，電子郵件上顯示的寄件人可以被偽造。在另一起於 10 月 1 日公布的事件中（與其郵件伺服器遭濫用有關），Lawson 本身揭露了寄件位址被偽裝成第三方的例子。即使通知看起來是真的，也請透過主畫面上的官方 App 或書籤進入確認，而不是點擊電子郵件中的連結。
密碼不在外洩項目之中，因此應注意你在哪裡輸入密碼
密碼不在公司表示外洩的項目之中，公司也未要求更改。
較可能發生的情況，是外洩的電子郵件位址收到假的登入頁面，讓你自行輸入密碼。只透過官方 App 登入，大致可以排除這項風險。如果你在其他服務也使用 Lawson ID 密碼，不論此事件如何，都請讓它們各不相同，以免其他地方外洩時擴散（密碼管理器可以讓這件事更容易做到）。
26 位 App 預約用戶應檢查信用卡對帳單
就 Lawson App 預約而言，外洩項目為姓名、電話號碼與部分信用卡號。公司表示尚未確認有任何遭濫用的情形。部分卡號通常不足以進行線上購物，但請檢查對帳單，並就任何不認得的消費聯絡發卡銀行。如果有人自稱「信用卡公司」來電，要求提供其餘卡號或 PIN，請不要回答。
將問題寄至官方公告所列的聯絡管道
公告列出的聯絡管道為 Lawson 客服中心的專用表單（lawson-faq.lawson.co.jp），未提供電話號碼。對於已在假訊息中輸入資料的人，公司 6 月的警示建議諮詢最近的警察局，或縣警總部的網路犯罪諮詢窗口。
事件經過（依 Lawson 說明）
以下內容依據 Lawson 2026 年 10 月 8 日的公告。
2026 年 9 月 12–14 日
Lawson ID 遭未經授權存取（依公司調查）。9 月 17 日
Lawson App 預約遭未經授權存取（依公司調查）。10 月 7 日
公司調查確認上述未經授權存取。10 月 8 日
公司發布致歉與公告。表示已封鎖可疑的存取來源、暫停 App 預約、在 App 中張貼公告、開始個別聯絡受影響的人，並已向個人資料保護委員會等機關通報。10 月 13 日
公告補充說明：新增「lawson_id@id.lawson.jp」作為個別電子郵件的寄件位址。10 月 19 日
暫停的 App 預約功能重新開放。使用 Lawson App 需要更新（當天的補充說明）。
- Lawson ID
- 2,155,345 筆。電子郵件位址、姓名
- 僅限曾填寫者
- 性別、電話號碼、地址、電子報偏好（若有填寫，例如透過 Lawson ID 申請贈獎活動時）
- Lawson App 預約
- 26 筆。姓名、電話號碼、部分信用卡號
- 未列出
- 密碼、完整卡號、有效期限與安全碼不在列出的外洩項目之中
- 所述原因
- 與 Lawson App 相關的系統遭到濫用。原本用來在 App 中向使用者本人顯示資訊的安全機制，遭第三方未經授權存取
- 其他影響
- 公司確認沒有其他未經授權的存取，也沒有惡意軟體感染
- 預防措施
- 加強受影響系統的安全性、加強監控，並強化事件應變機制
已知與未知的部分
以下為 2026 年 10 月 20 日檢查的官方公告內容。若出現後續資訊，狀態欄將會更新。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 未經授權存取期間 | Lawson ID：9 月 12–14 日。App 預約：9 月 17 日 | 已確認（依公司調查） |
| Lawson ID 紀錄與項目 | 2,155,345 筆。電子郵件位址、姓名（若有填寫，另含性別、電話、地址、電子報偏好） | 已確認外洩 |
| App 預約紀錄與項目 | 26 筆。姓名、電話號碼、部分卡號 | 已確認外洩 |
| 密碼 | 未列入外洩項目。未要求更改 | 未列出 |
| 原因 | 與 App 相關系統遭濫用。向使用者顯示其本人資訊的安全機制遭未經授權存取 | 已說明（細節未揭露） |
| 漏洞內容與濫用方式 | 公告未說明 | 未揭露 |
| 遭濫用或二次傷害 | 截至 10 月 8 日未確認 | 未確認到任何情形 |
| 聯絡受影響的人 | 由 Lawson ID Mail 逐一發送個別電子郵件（lawson_id@mailservice.lawson.jp 或 lawson_id@id.lawson.jp） | 進行中 |
| App 預約重新開放 | 10 月 19 日重新開放；自 10 月 19 日起需更新 App | 已確認（公司） |
「未確認」不代表「不會發生」
公司表示尚未確認有任何遭濫用或二次傷害，這是 10 月 8 日的情況。使用外洩電子郵件位址與姓名的假訊息，可能在外洩後一段時間才出現。在接下來至少數個月內，請保持不透過 Lawson 訊息中的連結進行操作的習慣。
電子郵件位址、姓名與電話號碼可能被用來做什麼
一般而言，以下組合會使下列類型的濫用成為可能。這不代表本案中已經發生這些情況。
- 電子郵件位址 + 姓名：以你正確姓名寄出的「點數即將到期」、「你已中獎」或「致歉」電子郵件，看起來更真實
- 電話號碼 + 姓名：假冒 Lawson 或快遞公司的簡訊或來電
- 地址 + 姓名：假的信件或明信片
- 姓名 + 電話號碼 + 部分卡號：假冒「信用卡公司」來電，以「末幾碼是……」來取信，然後要求其餘卡號或 PIN
另一個姓名與電子郵件位址從會員 App 外洩的類似案例，是 2026 年 10 月 6 日公布的MrMax App 與網路商店事件。針對這種資料組合，讀者應採取的做法相同。
給營運會員 App 的人：如何檢查向使用者顯示其本人資料的功能
Lawson 表示，原本用來在 App 中向使用者本人顯示資訊的安全機制遭未經授權存取。公司尚未揭露漏洞的具體內容或遭濫用的方式。本節不評論 Lawson 的系統或應變作法；內容是營運者可以在自己的服務中，針對類似功能進行的檢查。
許多 App 都有回傳已登入使用者本人資料的功能，例如「我的頁面」、會員資料、預約或訂單紀錄。對於這類功能，伺服器通常需要在每次請求時確認，被回傳資料的擁有者，就是目前登入的人。如果伺服器信任請求中送來的會員編號，並回傳該會員的資料，那麼只要更改編號，就會回傳別人的資料。這類漏洞稱為 IDOR，發生原因是把「確認你是誰」（驗證）與「確認你可以看什麼」（授權）混為一談。參見驗證與授權。Lawson 並未表示這是事件的原因。
App：「顯示我的會員資料」
↓→
伺服器：誰已登入？
依登入工作階段判斷，而非依請求中的會員編號
↓→
只回傳該會員的資料
監控：每次登入或每個來源所顯示的不同會員數
對於「本人資料」功能，正常情況下通常為一。達到兩個或以上時發出警示
列出所有回傳使用者本人資料的功能，並確認伺服器已驗證資料擁有者
列出所有回傳已登入使用者資料的功能：我的頁面、會員資料、預約與訂單紀錄、點數餘額、優惠券清單。也包括 App 背後使用的 API（App 向伺服器取得資料所用的端點）。
對於每一項功能，確認被回傳資料的擁有者，是依登入工作階段判定的。如果使用了 App 送出的會員編號，請修改為每次請求都與已登入會員進行比對。同時，檢查回應中是否包含畫面從未顯示的欄位。
計算每次登入顯示了多少位不同會員，並在兩位或以上時發出警示
一個顯示使用者本人資料的功能，在正確使用下，每次登入只涉及一位會員。因此，請從該功能的存取紀錄中，計算每次登入（或每個來源）每小時回傳了多少位不同會員的資料。
正常使用時應為一，因此當數字達到兩個或以上時，應通知負責人。以流量為基礎的監控會漏掉緩慢、小批量的資料取得；這項計數能標記出第一筆不符合常態的紀錄。如果你的紀錄無法顯示回傳的是誰的資料，請先從記錄這項資訊開始。
讓功能可以逐一切換開關
發現問題後，Lawson 暫停了 App 預約功能。在會員服務中，若能關閉單一功能而其他功能維持運作，可以縮短從發現到控制之間的時間。
本站看法：只應顯示單一使用者資料的功能最容易監控
以流量為基礎的監控，很難區分濫用與正常負載。顯示使用者本人資料的功能有明確的正常型態，也就是每次登入一位會員，因此只要計算不同會員的數量，就足以發現異常。在 Lawson ID 事件中，未經授權存取（9 月 12–14 日）到被發現（10 月 7 日）之間相隔約三週。對營運者而言，這種計數是能夠較早察覺問題的低成本方法。
資料來源（公開紀錄）
本文事實來自以下公開紀錄。未揭露的技術不作推測。
- Lawson, Inc.，因第三方未經授權存取而發生個人資料外洩的致歉公告（2026 年 10 月 8 日，10 月 13 日與 19 日補充，日文）— lawson.co.jp
- Lawson, Inc.，關於公司郵件伺服器遭濫用而寄出的可疑電子郵件公告（2026 年 10 月 1 日，另一則公告，日文）— lawson.co.jp
- Lawson, Inc.，關於可疑電子郵件與模仿 Lawson 的假網站之警示（2026 年 6 月 5 日，日文）— lawson.co.jp
更新紀錄
2026-10-20：反映 10 月 19 日的補充說明：Lawson App 預約已重新開放，使用前必須更新 App。
2026-10-14：反映 10 月 13 日的補充說明：「lawson_id@id.lawson.jp」已新增為個別電子郵件的寄件位址，目前共兩個。尚未公布進一步的調查結果。
2026-10-11：已對照官方公告進行檢查；修正 10 月 1 日另一案例的說明（寄件位址被偽裝成第三方），以及警察諮詢建議的來源（6 月 5 日的警示）。
2026-10-10：首次版本，依據 Lawson 10 月 8 日的公告撰寫（截至 10 月 10 日尚無後續資訊）。若 App 預約重新開放或公布進一步調查結果，將會更新。
延伸閱讀
- 點數交換服務案例：Wills 營運的 Netmile 遭未經授權存取（最多約 549 萬人）
- 類似案例：MrMax App 與網路商店個人資料外洩 / Capcom CAPCOM ID 外洩事件
- 給營運者：什麼是 IDOR？ / 驗證與授權
- 假訊息與密碼：什麼是網路釣魚？ / 如何檢查你的密碼是否外洩
- 其他 2026 年事件：2026 年的資料外洩與網路攻擊