ローソン漏えい情報を訂正10月24日追記と偽メール対策を照合

資料で確認できること

ローソンID215万5345件と予約情報26件　対象項目は10月24日に訂正

ローソンは2026年10月8日、9月12日から14日のローソンIDと、9月17日のローソンアプリ予約への不正アクセスを公表しました。調査は10月7日に行われ、ローソンID215万5345件、ローソンアプリ予約26件の個人情報漏えいを確認したとしています。

10月24日の訂正後、ローソンIDで漏えいした情報は氏名、登録状況に応じた性別、電話番号、住所で、生年月日は漏えいした可能性がある項目です。メールアドレスとメールマガジン取得情報は漏えいしていないと訂正されました。予約情報26件は氏名、電話番号、クレジットカード番号の一部です。発表時点で本件に起因すると考えられる不正利用や二次被害は確認されていないとの説明です。

• 資料 01株式会社ローソン：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ

資料で確認できること

情報漏えいのお詫びを装う偽メールも確認されている

一般財団法人日本データ通信協会の迷惑メール相談センターは10月13日、ソニーネットワークコミュニケーションズになりすまし、『メールへの不正ログインにより情報が漏えいした可能性』という趣旨を件名にした偽メールを注意喚起の一覧に掲載しました。同センターは、実在の企業と無関係で、リンクを開かないよう案内しています。

IPAは、メールアプリに表示される送信元名や送信元メールアドレスが正規の内容に偽装された事例を示し、見かけ上の送信元を安易に信じないよう注意しています。これは一般的な注意であり、今回のローソンの案内メールが偽装されたと確認した資料ではありません。

• 資料 02一般財団法人日本データ通信協会 迷惑メール相談センター：要注意メール
• 資料 03独立行政法人情報処理推進機構：メールの見かけ上の送信元情報を安易に信じないで

当事者の説明

10月13日に案内用メールアドレスを追加、19日に予約機能を再開

ローソンは、不審なアクセス元のブロック、予約機能の停止、アプリ上での告知、関係機関への報告を実施したと説明しています。対象者には順次、lawson_id@mailservice.lawson.jpまたはlawson_id@id.lawson.jpから個別に案内するとし、後者を10月13日に追記しました。

同社は10月19日、ローソンアプリのアップデートを条件に予約機能を再開しました。対象のローソンIDに登録した宛先へ届く不審なメール、SMS、電話への注意も呼びかけています。公表された送信元は確認の手掛かりですが、受信画面に同じアドレスが見えることだけで正規メールと断定できるわけではありません。

• 資料 01株式会社ローソン：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ

未確認の点

案内メールの到達状況と、関連する偽メール被害は未確認

10月25日の確認時点で、生年月日が漏えいした可能性のある人数、ローソンが案内を送信した対象者数、全対象者への到達状況、案内メールの認証結果、ローソンを装った偽メールの発生、本件に関連する二次被害は、確認した公開資料だけでは確定できません。

迷惑メール相談センターが紹介した偽メールは別会社を装ったものです。漏えい通知を装う手口が存在することは確認できますが、ローソンの事案との関係や、同じ送信元が使われたという結論には使えません。

確認の範囲

このコラムの確認範囲

本稿は2026年10月25日に取得したローソンの10月8日付発表、10月13日・19日・24日の追記と訂正、迷惑メール相談センターの10月13日付注意喚起、IPAとフィッシング対策協議会の一般向け資料を照合したものです。JBJはローソン、利用者、メール事業者への直接取材や、個別メールのヘッダー解析を行っていません。掲載画像は通知を照合する姿勢を表した説明用イメージで、実際の会社・職員・利用者・通知・画面・被害記録ではありません。

• 資料 01株式会社ローソン：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ
• 資料 02一般財団法人日本データ通信協会 迷惑メール相談センター：要注意メール
• 資料 03独立行政法人情報処理推進機構：メールの見かけ上の送信元情報を安易に信じないで
• 資料 04フィッシング対策協議会：よくあるご質問・お問い合わせ

JBJの見解

本物の通知が来る時期ほど、似た文面の偽メールも見分けにくい

個人情報漏えいの対象者へ事業者が個別通知を始めると、受信者は急いで確認したくなります。『不正アクセス』『情報漏えい』『アカウント確認』という件名は注意を引きやすく、同じ言葉を使う偽メールが届けば、本物との区別は難しくなります。

本稿は、ローソンが10月24日に訂正した対象項目と通知方法を確認したうえで、別の事業者を装った偽メールの注意喚起、送信元表示の偽装に関する公的な解説を照合します。別会社を装う偽メールは、ローソンの事案と関係がある証拠ではありません。

JBJの見解

メールを開く前に、公式サイトと自分の登録状況を確認する

通知を受け取った場合は、受信日時、件名、表示された送信元、実際の送信元情報、リンク先を開かずに保存してください。ローソンの公式サイトや公式アプリを自分で開き、発表内容、登録したメールアドレス、利用履歴を確認します。

フィッシング対策協議会は、サービスへのログイン時にメールやSMS内のリンクを使わず、いつも利用する公式アプリやブラウザーのブックマークからアクセスするよう案内しています。入力や決済をした場合は、サービス提供者やカード会社の公式窓口へ速やかに連絡してください。

• 資料 01株式会社ローソン：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ
• 資料 03独立行政法人情報処理推進機構：メールの見かけ上の送信元情報を安易に信じないで
• 資料 04フィッシング対策協議会：よくあるご質問・お問い合わせ

JBJの見解

事業者の責任と、利用者が安全に確かめる手順を両方示す

大量の個人情報漏えいを公表した事業者には、原因、対象範囲、訂正内容、通知状況、二次被害、再発防止を継続して説明する責任があります。利用者に注意だけを求めて、管理上の責任を曖昧にしてはいけません。

一方で、正規通知と偽メールを区別するため、事業者が送信元や公式確認先を公表することにも意味があります。JBJは、送信元を手掛かりの一つとして扱い、メール内のリンクではなく公式サイトやアプリから確認する手順を併記します。