TITLE

ローソンID不正アクセス公表に学ぶ、会員アカウント管理とインシデント対応

投稿日：2026.10.09

何が起きたか — 2つの機能が、同じ原因で不正アクセスを受けた

ローソンが公表した不正アクセスは、「ローソンID」と「ローソンアプリ予約」という2つの機能で、時期をずらして発生していました。原因はいずれも、ローソンアプリに関連するシステムが不正に利用されたことによるものと考えられています。

公表された時系列は次のとおりです。「ローソンID」は2026年9月12日から14日にかけて、「ローソンアプリ予約」は9月17日に、それぞれ不正アクセスを受けていました。ローソンが実施した調査でこの2件が判明したのは10月7日で、発表は翌10月8日です。不正アクセスの発生開始(9月12日)から公表(10月8日)までは26日間です。

ローソンが取った対応は、不正アクセス元のブロック、ローソンアプリ予約機能の停止、対象ユーザーへの個別のメール連絡の実施予定です。本件以外の不正アクセスやマルウェア感染は確認されていないと発表されています。なお、なぜ10月7日に調査を実施したか(発覚の引き金)は公表文に記載がなく、本稿執筆時点では不明です。

215万件と26件 — 数字の差が示す「機能ごとに持つ情報の違い」

215万5,345件と26件という2つの数字の差は、2つの機能がそもそも対象にできる人数の母数が違うことから生まれていると考えられます。会員アカウントや予約機能を複数運営している企業は、自社のどの機能がどれだけの人数を対象にしうるかを、この対比から点検できます。

「ローソンID」は会員登録の基盤そのものなので、対象になりうるのは登録している会員全員です。メールアドレス・氏名・性別・電話番号・メルマガ取得情報という基本的な登録情報が、この母数全体に関わります。

会員証とポイントカードのイラスト

一方「ローソンアプリ予約」は、その中でも予約機能を使った利用者だけが対象です。漏えいした情報には氏名・電話番号に加えてクレジットカード番号の一部が含まれており、情報の種類としては「ローソンID」より踏み込んでいますが、対象者数は26件と、公表された「ローソンID」の215万5,345件と比べると大幅に少ない件数です。

つまり同じ原因から生じた不正アクセスでも、機能ごとに「何人分の、どんな情報が対象になるか」はまったく別の形になります。自社でも会員登録・予約・決済のように機能が分かれているなら、機能ごとに保持している情報の種類と対象人数を一覧にしておくと、同種の事案が起きた時にどの機能から優先して確認すべきかが分かります。

26人のために予約機能を止めた判断 — 初動対応の基準

ローソンは、不正アクセスの対象が26件だった「ローソンアプリ予約」の機能そのものを停止しました。対象者数で見れば215万件の「ローソンID」よりはるかに小さい事案に対して、機能停止という大きな対応を取っています。

この判断から読み取れるのは、結果として対応の重さが対象者数と比例していないという点です。クレジットカード番号の一部という、金銭的な被害につながりやすい情報が対象になっていたことが、機能停止という対応につながったと考えられます。26件という対象者数の小ささは、対応を軽くする理由にはならなかったと見ることができます。

自社でインシデント対応の体制を作る際、「何件以上なら機能を止める」という数の基準だけで判断してしまうと、少数だが被害の重い事案への初動が遅れる可能性があります。対象者数の確定を待たず機能を止める基準を、情報の種類(特に金銭に直結する情報かどうか)でも持っておく必要があります。

自社のアカウント管理で今日から確認できること

この事案から、自社のアカウント管理点検に今日から着手できる具体的な一歩は4つあります。いずれも不正アクセスの発生を防ぐものではなく、発生した時に初動を速くするための事前準備です。

機能ごとの情報台帳を作る: 自社で運営している会員向けの機能(登録・予約・決済など)を一覧にし、それぞれが保持する個人情報の種類と、現在の登録・利用者数を書き出します。機能が増えるたびに更新する前提で、まず現状を1枚にまとめることが最初の一歩です。
機能停止の基準を数でなく情報の種類で決めておく: 「対象者が確定するまで機能を止めない」ではなく、「クレジットカード情報など金銭に直結する情報が対象になった場合は、対象者数の確定前に機能を止める」という基準を、機能ごとに事前に決めておきます。
個別通知の文面と送付経路をテンプレート化しておく: 発覚してから通知文を作成すると対応が遅れます。宛先の抽出方法・送付経路(メール・アプリ内通知等)・問い合わせ窓口の3点を、平時のうちに準備しておきます。
検知までの体制を点検する: 今回の事案は、発生から公表までに26日間かかっています。自社の異常検知の仕組みは、これより早く気づけるでしょうか。