ローソン個人情報漏えい事件（2026年）
2026年10月、コンビニエンスストア大手の株式会社ローソンは、同社が運営する「ローソンID」および「ローソンアプリ予約」への不正アクセスにより、個人情報の一部が漏えいしたことを公表しました。
ローソンIDでは215万件を超える情報が対象となり、アプリを通じた個人情報管理の重要性が改めて注目される事例となりました。
今回は、事件の概要や原因、企業の対応を整理し、企業が情報管理体制を構築するうえでの教訓を考えます。
事件の概要
20262026年10月8日、ローソンは第三者による不正アクセスに伴う個人情報漏えいを発表しました。
同社が10月7日に実施した調査により、以下の期間に不正アクセスを受けていたことが判明しています。
- 2026年9月12日～14日：ローソンID
- 2026年9月17日：ローソンアプリ予約
漏えいが確認された情報は次のとおりです。
ローソンID：215万5,345件
- メールアドレス
- 氏名
- 性別、電話番号、住所、メールマガジン取得情報（登録されている場合）
ローソンアプリ予約：26件
- 氏名
- 電話番号
- クレジットカード番号の一部
ローソンは、10月8日の公表時点で、本件に起因すると考えられる不正利用や二次被害は確認されていないと説明しています。
原因
ローソンの発表によると、今回の事件は、ローソンアプリに関連するシステムが第三者によって不正に利用されたことにより発生したと考えられています。
具体的には、本来アプリ上で利用者本人に対して情報を表示するためのセキュリティ機構が不正アクセスを受け、個人情報が漏えいしたことが確認されています。
また、同社は本件以外の不正アクセスやマルウェア感染は確認されていないと説明しています。
この事例で注目したいのは、利用者に情報を表示するという通常のサービス機能に関係する仕組みが、不正アクセスの対象となった点です。
個人情報を安全に保管するだけでなく、利用者に情報を表示する際にも、適切な認証やアクセス制御が求められることを示しています。
企業対応
ローソンは事件の判明後、被害拡大を防止するため、次の対応を実施しました。
- 不審なアクセス元のブロック
- ローソンアプリ予約機能の停止
- ローソンアプリ上での利用者への案内
- 対象者への個別メールによる通知
- 個人情報保護委員会など関係機関への報告
また、再発防止策として、対象システムのセキュリティ対策、監視体制、インシデント対応体制を強化する方針を示しています。
対象となる利用者に対しては、不審なメールやSMS、電話などへの注意も呼びかけています。
影響
今回の事件では、ローソンIDだけで215万件を超える個人情報の漏えいが確認されました。
氏名やメールアドレスに加え、登録状況によっては住所や電話番号なども対象となっています。
こうした情報が第三者に渡った場合、企業やサービスを装った不審な連絡などに悪用されるおそれがあります。
実際の二次被害が確認されていなくても、利用者への通知や問い合わせ対応、システムの調査・改修など、企業にはさまざまな対応が必要になります。
今回の事例は、個人情報の漏えいが企業の規模にかかわらず、利用者の安心や企業への信頼に関わる問題であることを示しています。
教訓（中小企業への示唆）
今回の事例から考えたいのは、個人情報を保存する場所だけでなく、情報を利用・表示する仕組み全体を管理することの重要性です。
企業が個人情報を扱う際には、次のような点を確認する必要があります。
- 個人情報にアクセスできる利用者やシステムを適切に制限しているか
- 利用者本人以外が情報を閲覧できない仕組みになっているか
- 不審なアクセスを検知できる監視体制が整っているか
- システムの変更や機能追加に伴うリスクを確認しているか
- 不正アクセスが発生した場合の対応手順を定めているか
- 個人情報漏えい時の報告・通知体制を整備しているか
こうした取り組みは、大企業だけに求められるものではありません。
顧客情報を管理する予約システムや会員管理システム、問い合わせフォームなどを利用している中小企業にとっても、共通する課題です。
個人情報管理を組織として継続するために
ローソンの事例が示しているように、個人情報の漏えいリスクは、情報を保管するデータベースだけに存在するわけではありません。
情報を表示する機能や外部からのアクセス、日常的なシステム運用など、さまざまな場面で適切な管理が必要になります。
そのためには、技術的なセキュリティ対策に加え、個人情報の取扱いルールや責任体制、定期的な点検などを組織として継続することが重要です。
こうした個人情報管理の体制を整え、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークの取得は、すべてのサイバー攻撃を防ぐことを保証するものではありませんが、企業が個人情報を適切に管理するための仕組みづくりに役立ちます。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
株式会社ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日公表、10月13日更新）
※本記事は上記の公表資料に基づき、個人情報管理の教訓を紹介することを目的としています。事件の原因や影響については、公表時点で確認されている情報をもとに記載しています。
