ローソンID 215万件の情報漏えい、漏れたメールアドレスと氏名で何をされるのかまとめました

2026年10月8日、株式会社ローソンは、アカウントサービス「ローソンID」と「ローソンアプリ予約」が第三者による不正アクセスを受け、個人情報の一部が漏えいしたと公表しました[1]。ローソンIDでは215万5,345件のメールアドレスと氏名が対象で、登録内容によっては性別・電話番号・住所なども含まれるとしています。ログインパスワードは漏えいした情報に挙げられていませんが、それで安心とは言い切れません。

「自分のメールアドレスや電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、ローソンIDの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• 氏名や住所まで正しく入った、ローソンを名乗る偽メール・偽SMS・電話が届きやすくなります。
• ローソンIDと同じパスワードを、登録しているメールアドレス自体や他のサービスでも使っている人は、変えておくと安心です。
• 会社側がまず見直したいのは、ログインできない人向けの本人確認と、メールだけで完結する確認の部分です。

なお、本記事は公表文や公式のよくある質問など、公開情報だけをもとにしています。ログイン画面などを実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は、登録された宛先への不審なメール・SMS・電話に注意するよう呼びかけています[1]。なお、同じお知らせ一覧には10月1日付の「当社メールサーバーの不正利用による不審メール送信について」も並んでいますが、これは別件です[2]。

漏れた情報で、何ができてしまうか

漏れた項目には共通点があります。どれも「本人らしさ」を示すために、さまざまな場面で使われている情報だということです。

知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

ローソンIDで認証が使われる場所

公式サイトとよくある質問で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の再発防止策は、対象システムのセキュリティ対策強化、監視体制の強化、インシデント対応体制の強化です[1]。ログインや本人確認の方法を変えるといった記載はありませんでした。なお、今回の原因は「本人に情報を表示する仕組み」とされていますが、どの段階の確認が破られたかの詳細は公表されていません。認証の観点からは、次の順で見直すことが考えられます。

1. ログインできない人向けの本人確認から、漏れた項目を外す。メールアドレス変更の入力項目のうち、氏名と電話番号は今回漏れた側に入りました。窓口の確認も同じ考え方で見直せます。これは運用の見直しから始められます。
2. メールだけで完結する確認に、もう一つ別の確認を足す。パスワード再設定も2段階認証のコードもメールに届く形だと、メールのアカウントを乗っ取られた人を守れません。
3. 価値が動く場面に、追加の確認を入れる。登録カードでの予約、ポイントの連携や利用、登録情報の変更などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、多くの会員の氏名と、登録内容によっては電話番号も漏れました。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。ローソンIDのメールアドレス変更で、最後にSMSのコードを求めているのも、「持っているか」を確かめるためだと考えられます。

ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[10]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら