ローソンからのメールは本物か、ローソンID215万件の漏えいとメールサーバーから送られた不審メール70万件

ローソンを名乗るメールが届いたら、本物かどうか

ローソンからのメールかどうかを確かめる手がかりとして、ローソン自身が公表しているのは、正規のメールドメインと、今回の漏えいの案内を送る送信元アドレスです。あわせて、送信元の表示だけでは決められない理由も確かめます。

ローソンが公表している正規の送信元

ローソンは2026年6月5日、「【重要】ローソンを騙った不審なメールや架空WEBサイトにご注意ください」を掲載し、正規のメールドメインを「@email.lawson.jp」「@mailservice.lawson.jp」と示しました。同じページで、「当社の正規メールアドレス以外から不審なメールを受信した場合は、本文中のリンクはクリックせず、メールを削除してください」と呼びかけています。

10月8日のお詫びとお知らせでは、漏えいの対象者に「ローソンIDメール ＜lawson_id@mailservice.lawson.jp＞」から順次、個別に案内するとしています。ローソンアプリ上でもお知らせを出しています。

出典：株式会社ローソン「【重要】ローソンを騙った不審なメールや架空WEBサイトにご注意ください」（2026年6月5日）、同「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日）。2026年10月12日に確認。

なお、10月8日の公表文には、対象者への案内メールにURLを載せるのか、ログインや情報の入力を求めるのかは書かれていません。案内メールの中身がどうなっているかは、公表文からは確かめられません。

送信元の表示だけでは決められない理由

警察庁は、フィッシング対策のページで、メールの送信元の名称やメールアドレスは偽装できるため、それだけで本物かどうかを判断するのは難しいと説明しています。ローソンエンタテインメントも10月2日、ローソンチケットを名乗る不審なメールについて、送信元のアドレスだけで正規のメールと判断しないよう呼びかけています。

ローソン自身の件でも、10月1日の公表で、メールサーバーの不正利用により送られた不審メールには「送信元アドレスの表示が第三者に見えるよう偽装されているケース」があったとしています。このとき差出人としてどのアドレスが表示されたのかは公表されていません。

つまり、正規のドメインは「本物でないものを見分ける」手がかりにはなりますが、正規のドメインが表示されていることだけで本物と決めることはできません。メールのリンクは開かず、ローソンアプリのお知らせや、ブックマークや検索から自分で開いた公式サイトのお知らせで同じ内容が出ているかを確かめると、偽のメールにだまされにくくなります（当社の見方）。

ローソンIDとアプリ予約で漏れたのはどこまでか

ローソンは10月8日の公表で、見出しを「漏えいした情報」とし、「おそれ」ではなく漏えいしたと書いています。全員分の項目と、条件つきの項目を分けて確かめます。

ローソンIDの215万5,345件で漏れた項目

公表によると、ローソンIDは2026年9月12日（土）〜14日（月）の間に、ローソンアプリ予約は9月17日（木）に不正アクセスを受けていました。10月7日（水）に実施した調査の中で分かり、10月8日に公表されました。個人情報保護委員会へも報告済みとしています。

原因について、ローソンは「ローソンアプリに関連するシステムが不正に利用されたことにより発生したものと考えられます」とし、「本来、アプリ上で利用者本人に対し情報を表示するためのセキュリティ機構が第三者による不正アクセスを受け」たと説明しています。具体的な手口は公表されていません。

出典：株式会社ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日）。件数は【対象人数】欄に「件」で書かれており、人数と件数が同じかどうかの説明はありません。「記載なし」は一覧に挙がっていないという意味で、ローソンが「含まれない」と明言したものではありません。

公表文では、「性別、電話番号、住所、メルマガ取得情報」が1行にまとめられ、そのあとに「ローソンIDを使用したプレゼントの応募などで入力されている場合」という注記があります。ビジネス+ITは、過去のキャンペーン応募などで登録した人に限って性別や電話番号、住所なども対象になったと報じています。自分が対象か、どの項目が含まれるかは、ローソンからの個別の案内やアプリのお知らせで確かめてください。

アプリ予約26件のクレジットカード番号の一部

ローソンアプリ予約で漏れたのは26件で、項目は「氏名、電話番号、クレジットカード番号の一部」です。ローソンIDの215万5,345件の項目には、クレジットカードの情報は挙がっていません。

「一部」が何桁なのか、有効期限やセキュリティコードが含まれるのかは、公表文に書かれていません。ローソンは「本件に起因すると考えられる不正利用や二次被害の発生は確認されておりません」としています（10月8日の公表時点）。カード番号の一部が漏れたことでどのような影響があり得るかについて、ローソンの公表文と当社が確かめた報道に具体的な説明はありません。

ローソンはアプリ予約の機能を止めており、「10月中旬の再開を予定しております」としています。停止した日は公表されていません。アプリ予約でカードを使った人は、カードの利用明細に心当たりのない請求がないかを見ておくと安心です。心当たりのない請求があれば、カードの裏面に書かれた番号からカード会社に連絡します（当社の見方）。

パスワードについて公式が書いていること

10月8日の公表文には「パスワード」という語が出てきません。漏えいした情報の一覧にパスワードは挙がっておらず、パスワードの変更を求める案内や、パスワードを強制的に再設定したという公表もありません。ローソンIDの機能を止めたという記載もなく、止めたのはローソンアプリ予約の機能です。

ビジネス+ITは「顧客のパスワードに関する流出は確認されていない」と報じていますが、この文言はローソンの公表文では確かめられませんでした。

警察庁は、一般的な対策として「ＩＤ、パスワードはサイトごとに違うものを登録する」ことを勧めています。ローソンIDと同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使っている場合は、ほかのサービスのパスワードを別々のものに変えておくと、今回の件に限らず被害を防ぎやすくなります（当社の見方）。

9月25日〜27日の不審メール70万件は何だったのか

ローソンIDの漏えいとは別に、ローソンは10月1日、自社のメールサーバーが第三者に不正に使われ、不審なメールが送られたと公表しました。公表された内容と、2件の関係について確かめます。

公表された不審メールの中身

公表によると、2026年9月25日（金）15時頃から9月27日（日）17時15分頃までの間、ローソンのメールサーバーが第三者に不正利用され、不審なメールが約70万件（推計）送られました。ローソンは9月27日にメールサーバーの設定変更や通信制限などの対策をとり、今後は原因の確認を進め、恒久的な対策を実施するとしています。

出典：株式会社ローソン「当社メールサーバーの不正利用による不審メール送信について」（2026年10月1日）。2026年10月12日に確認。

宛先は「大半が海外のメールアドレス」で、国内への配信は「一部」とされています。国内に届いた件数は公表されていません。この件についての問い合わせ窓口は、公表文に書かれていません。@IT（ITmedia）も10月5日に同じ内容を報じています。

2件の関係と、英文メールを受け取った人がすること

ローソンの10月8日の公表文には、メールサーバーの件への言及がありません。2件の関係について、ローソンは公表文で何も書いていません。ビジネス+ITは、9月下旬のメールサーバーの件と今回の漏えいについて「直接的な関連は確認されていない」と報じています。時期を並べると、ローソンIDへの不正アクセスは9月12日〜14日、不審メールの送信は9月25日〜27日、ローソンIDの件が分かったのは10月7日です。

ローソンは、この期間に心当たりのない不審な英文メールを受け取った人に、「メールへの返信、本文中に記載されたURLへのアクセス、添付ファイルの開封、金銭の支払いや個人情報の入力等を行わず、メールを削除していただきますよう」求めています。

なお、ローソンエンタテインメントが10月2日に出したローソンチケットを名乗る不審なメールへの注意喚起には、ローソンのメールサーバーの件との関係は書かれていません。

ローソンからのメールが気になる人が今できる4つのこと

ローソンの公表文と注意喚起、警察庁のフィッシング対策をもとにまとめました。

よくある質問

ローソンから届いた漏えいのお知らせメールは本物ですか

ローソンは、漏えいの対象者に「lawson_id@mailservice.lawson.jp」から順次、個別に案内するとしています。ただし送信元の表示は偽装できるため、メールのリンクは開かず、ローソンアプリや自分で開いた公式サイトのお知らせで同じ内容が出ているかを確かめてください。

ローソンIDのパスワードは漏れましたか

ローソンの公表文には、漏えいした情報としてパスワードは挙がっておらず、パスワードの変更を求める案内もありません。ほかのサービスで同じパスワードを使っている場合は、そちらを別々のものに変えておくと安心です。

ローソンIDでクレジットカード番号は漏れましたか

ローソンIDの215万5,345件の項目にクレジットカード情報は挙がっていません。カード番号の一部が漏れたのは、ローソンアプリ予約の26件です。何桁が漏れたのかは公表されていません。

「Mutual Benefit」という英文メールが届きました。どうすればよいですか

ローソンは、9月25日〜27日に心当たりのない不審な英文メールを受け取った場合、返信、URLへのアクセス、添付ファイルの開封、支払いや個人情報の入力をせずに削除するよう求めています。件名は「Mutual Benefit」または「RE」とされています。

ローソンIDの漏えいとメールサーバーの不正利用は関係がありますか

ローソンは、2件の関係について公表文で触れていません。ビジネス+ITは「直接的な関連は確認されていない」と報じています。

ローソンへの問い合わせ先はどこですか

ローソンのFAQサイト（https://lawson-faq.lawson.co.jp/）の問い合わせフォームで「不正アクセスに伴う個人情報漏えいについて」を選んで送ります。FAQサイトでは、ローソンアプリ・ローソンIDについてはメールで問い合わせるよう案内しています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は2026年9〜10月に公表された情報漏えいを一覧にし、えきねっとやNewsPicksなどの件を整理してきました。身近なローソンからのメールが本物かを確かめたい人に向けて、公式の公表をもとにまとめました。