ローソン情報漏洩、自分は対象？215万件の確認方法と届いたメールが本物か見分ける方法

ローソンIDで215万5,345件の個人情報漏洩が判明しています。対象の人には、ローソンから個別案内のメールが届いています。10月13日には、その送信元アドレスが1つ追加されました。ただし、送信元が公式と同じに見えても、メールだけで本物と決めつけるのは危険です。この記事では、自分が対象なのか、届いたメールをどう確かめるのか、今すぐやることを順番にまとめます。

先に、ここまでの公式情報を表にしておくね。

項目	ローソンID	ローソンアプリ予約
対象件数	2,155,345件	26件
不正アクセスの時期	2026年9月12日〜14日	2026年9月17日
漏れた可能性のある情報	メールアドレス、氏名、性別、電話番号、住所、メルマガ取得情報(入力した人のみ)	氏名、電話番号、クレジットカード番号の一部
パスワード	漏洩は確認されていない	漏洩は確認されていない
現在の状況	サービス利用可能	予約機能は停止中(10月中旬に再開予定)

ローソンIDで215万件超の個人情報漏洩

何が起きた？

ローソンは2026年10月8日、「ローソンID」と「ローソンアプリ予約」に第三者が不正にアクセスし、個人情報が漏れたと発表しました。社内の調査で見つかったのは10月7日。侵入の痕跡は、ローソンIDが9月12日(土)〜14日(月)、アプリ予約が9月17日(木)とされています。

ローソンの説明では、アプリの中で本人に情報を見せるための仕組みが、第三者に不正に使われたということです。つまり、お店のレジや決済ではなく、アプリのまわりの仕組みが狙われた形ですね。

私はこのニュースを見たとき、まず「215万件って、どのくらいの数なんだろう」と感じました。数字が大きすぎると、かえって自分ごとに思えなくなるよね。そこで、あとの章で数字を身近なサイズに直してみるよ。

漏洩した可能性のある情報

ローソンIDで漏れた可能性があるのは、次の情報です。

• メールアドレス
• 氏名
• 性別
• 電話番号
• 住所
• メルマガの取得情報

ただし、全員のすべての項目が漏れたわけではありません。性別・電話番号・住所・メルマガ情報は、ローソンIDでプレゼント応募などをして入力した人だけが対象になります。メールアドレスと氏名は、ほぼ全員に共通する項目と考えておくと整理しやすいです。

パスワードやクレジットカード情報は漏れた？

公式発表では、パスワードの漏洩は確認されていません。ローソンIDの215万件側に、クレジットカード情報は含まれていません。

一方、ローソンアプリ予約の26件では、氏名・電話番号に加えて、クレジットカード番号の一部が含まれています。「全員のカードが危ない」わけではなく、カード情報の話は26件に限られる、というのが大事なところです。詳しくはあとの章で書くね。

215万件を数字に直してみた

ここで、公式の数字だけを使って自分で計算してみました。計算はPythonで検算しています。

• 不正アクセスの期間を、仮に9月12日〜14日の丸3日間(72時間)ずっと続いたとして割ると、215万5,345件÷72時間＝1時間あたり約2万9,935件
• 1秒あたりに直すと、2,155,345÷(72×3,600秒)＝約8.3件
• 1日あたりでは、2,155,345÷3日＝約71万8,448件

実際にアクセスが丸3日間続いたかどうかは、公式に示されていません。あくまで「もし均等に続いたら」という目安です。それでも、人の手で1件ずつ見たのではなく、機械的に大量に取られた可能性が高そうだ、という感覚はつかめます。

もうひとつ、アプリ予約の26件と比べてみます。2,155,345÷26＝約8万2,898倍。ID側の件数が桁違いに多いのがわかるね。私が「カードの心配は26件だけ」と先に言いたかった理由は、この差にあります。

同じように、最近は企業の大規模な情報漏洩が続いています。ほかの事例もあわせて見ておくと、傾向がつかみやすいよ。気になる人は、こちらも読んでみてね。

→ ブックオフ情報漏洩、自分は対象？最大643万件の対象者と今すぐやること

自分はローソン情報漏洩の対象？

ローソンID利用者で対象になる可能性

対象になるのは、今回の不正アクセスで情報を取られた「ローソンID」です。ローソンIDは、ローソンのアプリやキャンペーン応募などで使う会員IDです。アプリを使っている人、ネットでプレゼントに応募したことがある人は、持っている可能性が高いです。

公式では、対象者を一般の人が検索して調べられる仕組みは案内されていません。確認の入口は、ローソンから届く個別案内と、ローソン公式サイトのお知らせです。

私の場合は、いつ登録したのか、そもそも登録したかどうかさえ、はっきり覚えていませんでした。昔キャンペーンに応募したきりのIDがあるかも、という人は意外と多いと思います。

対象者には個別案内メール

ローソンは、対象となった人に個別でメールを送っています。送信元は2種類で、次の章で詳しく整理するね。

届くのは、ローソンIDに登録しているメールアドレス宛てです。迷惑メールフォルダに入っていることもあるので、受信箱だけでなく、迷惑メールのフォルダも見ておくと安心です。

メールが来ていない場合は？

メールが届いていないからといって、「絶対に対象外」とは言い切れません。送信は順次進められているため、届くタイミングに差が出る可能性があります。アドレスの打ち間違いや、使っていないアドレスに登録している場合もあります。

メールが来ていない人も、慌てなくて大丈夫です。ローソン公式のお知らせを自分で開いて、最新の案内を確認しておけば十分です。ただ、これから先の「不審なメールやSMS」には、対象かどうかにかかわらず気をつけておいてね。

ローソンIDを作った覚えがない人は？

「ローソンIDなんて作った覚えがない」という人もいると思います。でも、ローソンのアプリを入れたとき、ネットでキャンペーンに応募したとき、ポイントやクーポンを使い始めたときなどに、気づかないうちに登録されていることがあります。

昔のキャンペーンで登録したIDが残っていないか、思い出してみるだけでも手がかりになります。「使っていないから関係ない」と決めつけず、一度公式アプリで自分のアカウントの状態を見てみるのがおすすめです。メールアドレスを何個か使い分けている人は、それぞれの受信箱も見てみてね。

【10月13日更新】ローソンから届くメールアドレスは2種類

lawson_id@mailservice.lawson.jp

最初の発表(10月8日)から案内されていた送信元です。本件の対象者に送られる個別案内メールの送信元として、公式に載っています。

lawson_id@id.lawson.jpが追加

10月13日、ローソンはお知らせを更新し、もう1つ送信元アドレスを追加しました。それが lawson_id@id.lawson.jp です。

つまり今は、2種類のどちらから届いても、公式が案内している送信元に当たります。「前に聞いたアドレスと違うから偽物だ」と早合点しないようにしてね。

2種類の送信元を表で整理

整理するとこうなります。

送信元	位置づけ
lawson_id@mailservice.lawson.jp	当初から案内されていた送信元
lawson_id@id.lawson.jp	10月13日に追加された送信元

ここで大事なのは、この表は「公式が案内しているアドレスの一覧」であって、「このアドレスから来たメールは安全」という保証ではないということです。次の章で、その理由を説明するね。

「アドレスが同じなら本物」は危険

送信元表示の偽装に注意

メールの「差出人」の表示は、送る側がある程度自由に書き換えられます。手紙の差出人の欄に、好きな住所を書けるのと似ています。だから、画面に lawson_id@id.lawson.jp と出ていても、それだけで本物と決めることはできません。

警察庁や迷惑メール相談センターなども、送信元の表示だけで真偽を判断しないよう呼びかけています。専門的な技術で見分ける方法もありますが、普段使いのスマホのメールアプリで確かめるのは、正直むずかしいです。

だから、この記事では「見分けるコツ」よりも、「見分けなくてもいい行動」をおすすめします。それが、次の章で出てくる「リンクを押さず、公式から確認する」です。

本名入りフィッシングにも注意

今回は、氏名とメールアドレスがセットで漏れている可能性があります。悪い人たちは、その情報を使って「〇〇様」と名前入りの、本物そっくりのメールを送れるわけです。

私はこれまで、名前が入っていると、つい本物だと思ってしまうタイプでした。でも今回のように名前が漏れている場合は、名前入り＝本物の証拠にはならないと、頭を切り替える必要があります。

他社の事例でも、漏洩の後にフィッシングが増えるパターンが見られています。たとえば第一興商の件でも同じ注意が出ているので、あわせて見ておくと理解が深まるよ。

→ 第一興商の情報漏洩、自分は対象？確認方法と今すぐやること

「返金」「お詫び」「再設定」などの誘導に注意

こんな言葉が入ったメールやSMSには、特に慎重になってね。

• 「お詫びとして返金します」「電子マネーを差し上げます」
• 「アカウントが停止されます。パスワードの再設定をしてください」
• 「クレジットカード情報の確認が必要です」
• 「24時間以内に手続きしないと無効になります」

焦らせる言葉と、リンクを押させる流れが、フィッシングの定番です。ローソンは公式のお知らせで、本件の対象IDに登録した連絡先への、不審なメール・SMS・電話に注意するよう呼びかけています。

公式は何と呼びかけている？

ローソンの公式のお知らせでは、本件の対象となったローソンIDに登録している宛先への、不審なメール、SMS、電話などに十分注意するよう求めています。同時に、現時点で本件が原因の不正利用や二次被害は確認されていない、とも説明されています。

つまり、「もう被害が出ている」と過度に怖がる段階ではありません。一方で、「これから狙われやすい状態になっている」のは確かです。大切なのは、怖がることよりも、メールやSMSが来たときの行動をあらかじめ決めておくことです。次の章で、その行動をまとめるね。

ローソンからメールが届いたら今すぐやること

メールが届いた人は、次の5つを順番にやってみてね。むずかしいことはありません。

① メール内のリンクを直接開かない

メール本文のボタンやURLは、本物に見えても押さないでください。リンク先が、本物そっくりの偽サイトの可能性があります。メール内の電話番号に、折り返しの電話をかけるのも避けてね。

② ローソン公式アプリを直接開く

すでにスマホに入れているローソンの公式アプリを、自分でタップして開きます。お知らせがあれば、アプリ内に出ているはずです。メールのリンクを経由しないのがポイントです。

③ 自分で公式サイトへアクセスする

ブラウザのブックマーク、または「ローソン お知らせ」などの検索から、公式サイトを自分で開いて確認します。確認するのは、「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」のページです。問い合わせは、公式サイトに載っている専用受付フォームから行います。

④ 使い回しパスワードがある場合の対策

公式では、パスワードの漏洩は確認されていません。ただ、メールアドレスは漏れている可能性があります。もし、ほかのサイトでもローソンIDと同じパスワードを使い回しているなら、念のため変更を考えてみてね。

私は、使い回しがいちばん怖いと感じています。たとえ今回パスワードが無事でも、これを機に見直すのはおすすめです。

⑤ SMS・電話・カード利用にも注意

メールだけでなく、SMSや電話でも「ローソンを名乗る連絡」が来るかもしれません。暗証番号や認証コードを聞かれても、答えないでください。カードの利用明細も、いつもより少し丁寧に見ておくと安心です。

家族や親にも伝えておきたいこと

フィッシングの被害は、ネットに慣れていない家族が受けやすいと言われます。ご両親や祖父母がローソンのアプリを使っている場合は、「ローソンから変なメールが来ても、リンクは押さないでね」と、一言だけでも伝えておいてください。

むずかしい説明はいりません。「メールのボタンは押さない。心配なら、アプリを自分で開く」。この2つだけで十分です。LINEなどで短く送っておくだけでも違います。

クレジットカードは止めた方がいい？

ローソンID215万件側にカード情報は含まれていない

先に結論です。215万人全員がカードを止める必要はありません。 ローソンIDの漏洩項目に、クレジットカード情報は入っていないからです。

アプリ予約26件ではカード番号の一部が対象

カード番号の一部が含まれているのは、ローソンアプリ予約の26件です。カードの番号の一部だけでは、普通は買い物ができません。ただ、念のため利用明細は確認しておくと安心です。

身に覚えのない利用がないか明細を確認

どちらの対象でも、カードの利用明細を見て、身に覚えのない請求がないかをチェックしてみてね。もし見つけたら、カード裏面の窓口に連絡し、状況を相談するのが一番です。

また、運転免許証などを取られた他の事例については、タイムズカーの記事で詳しく整理しているので、カードや本人確認書類が気になる人は参考にしてね。

→ タイムズカー情報漏洩で何をすればいい？免許証・クレカ・補償を解説

カード会社に相談するときの伝え方

万が一、身に覚えのない請求を見つけたら、カード裏面の窓口に連絡します。伝えるのは、「いつ」「いくら」「どこの請求か」の3点です。あわせて、「ローソンの個人情報漏洩のニュースを見て、明細を確認していた」と添えると、話が早く進みます。

カードの利用停止や再発行をするかどうかは、カード会社と相談して決められます。自分だけで判断せず、専門の窓口の案内に従うのが安心です。

ローソンアプリ予約はいつ再開する？

現在の状況

ローソンアプリ予約は、被害の拡大を防ぐために、現在機能を停止しています。公式の最新の案内(10月13日更新)では、10月中旬に再開を予定していて、再開するときは公式サイトなどで知らせるとされています。

再開前に気をつけたいこと

この記事を書いている10月14日時点では、再開したという公式のお知らせは確認できていません。ケーキやおせちなどの予約を考えている人は、予約前に必ず公式サイトで最新の状況を確かめてね。

「再開しました」という連絡が、メールやSMSで来ても、そのリンクは押さないでください。再開の確認は、公式アプリか公式サイトで行います。

予約をしたい人はどう待つ？

クリスマスケーキやおせちの予約を考えている人は、焦らなくて大丈夫です。再開のお知らせが出るまで、公式アプリや公式サイトを、ときどき自分で開いて見ておけば十分です。

また、予約機能が止まっている今の時期は、「予約が再開しました。こちらから手続きを」といった偽のメールも出てきやすい時期です。繰り返しになりますが、再開の確認は、メールのリンクではなく、公式から行ってね。

10月1日の「約70万件の不審メール」と同じ事件？

別に起きたメールサーバーの事案

ローソンでは、今回の漏洩とは別に、メールサーバーが第三者に不正利用され、約70万件の不審なメールが送られた事案も発表されています。時期は9月下旬、公表は10月1日でした。

今回の漏洩との関連は？

結論から言うと、現時点で、2つの事案の関連性は公式には示されていません。 「同じ犯人」「同じ弱点」と決めつけるのは、まだ早いです。

数字だけ見ると、215万件÷70万件＝約3.1倍。規模はぜんぜん違います。短い期間に事案が続いたのは確かなので、続報は公式のお知らせで確認していこうね。

メールが来た人がまずやること3つ

1. リンクは押さない

どんなに本物に見えても、メールやSMSの中のURLは押しません。

2. 公式アプリ・公式サイトから確認する

自分でアプリを開く、または自分で公式サイトを開いて、最新のお知らせを見ます。

3. 不審な連絡は相談する

おかしいなと思ったら、ローソンの専用受付フォームか、カード会社の窓口に相談してください。最終的な判断は、必ず公式の情報で確認してね。

よくある質問

Q. ローソンから情報漏洩メールが来ました。本物ですか？

送信元の表示だけでは、本物かどうか100%はわかりません。メール内のリンクは使わず、ローソン公式アプリか、自分で開いた公式サイトのお知らせから確認してください。

Q. lawson_id@id.lawson.jpは本物ですか？

2026年10月13日に、ローソンの公式発表へ追加された送信元アドレスです。ただし、表示されているアドレスだけで真偽は判断せず、公式アプリや公式サイトで確認しましょう。

Q. lawson_id@mailservice.lawson.jpは本物ですか？

ローソンが最初から案内している送信元アドレスです。こちらも、表示だけで安全と決めつけないでください。

Q. パスワードは漏れましたか？

公式発表では、パスワードの漏洩は確認されていません。ただ、ほかのサイトで同じパスワードを使い回している人は、念のため変更を考えるといいでしょう。

Q. クレジットカードを止める必要がありますか？

ローソンID側の215万件には、クレジットカード情報は含まれていません。アプリ予約の26件ではカード番号の一部が対象です。不審な利用があれば、カード会社に相談してください。

Q. メールが来ていなければ対象外ですか？

メールが届いていないことだけで、対象外とは言い切れません。迷惑メールのフォルダも確認し、公式のお知らせで最新の案内を見てください。

Q. ローソンIDの対象かどうかを自分で調べる方法はありますか？

公式では、一般の人が検索して調べられる仕組みは案内されていません。個別案内のメールと、公式サイトのお知らせで確認します。

Q. 問い合わせ先はどこですか？

ローソンのお知らせに載っている、カスタマーセンターの専用受付フォームを使います。メールに書かれた連絡先ではなく、自分で公式サイトから開いてください。

Q. ローソンアプリ予約はもう使えますか？

10月中旬に再開予定とされています。再開したかどうかは、公式サイトやアプリのお知らせで確認してください。

Q. 10月1日の約70万件の不審メール事案と同じ事件ですか？

現時点で、2つの事案の関連性は公式には示されていません。別々の事案として発表されています。

おすすめアイテム

ビサイユのトートバッグ

今回の漏洩はアプリ側の話だから、バッグで防げるわけではないよ。それでも、情報漏洩のニュースが続くと、持ち歩くカードまわりの備えを見直したくなるよね。このトートバッグはスキミング防止ポケット付きで、軽くて撥水もするから、毎日の通勤にも休日のおでかけにも使いやすいよ。

軽量ショルダーBCS-140

スマホとカードだけ身につけて、さっと出かけたい日ってあるよね。軽量ショルダーBCS-140は撥水とスキミング防止に対応していて、斜めがけなら大事なものをまとめて身につけておけるよ。小さめでも収納が多いのがうれしいところ。