2026年10月8日、ローソンは「ローソンID」の215万5,345件と「ローソンアプリ予約」の26件について情報漏洩を公表した。前者は氏名やメールアドレス等、後者は氏名、電話番号、クレジットカード番号の一部が対象となった。不正アクセスがあったのは9月12日から14日と同17日で、10月7日の調査で判明した。発生から検知まで約3週間の時間差があったことになる。
同社は、利用者本人に情報を表示するためのセキュリティ機構が侵害されたと説明している。攻撃の発生から検知までの時間差も、今回の動向を理解するうえで重要な点だ。
この発表は、10月上旬に相次いだ日本企業のサイバーセキュリティ侵害公表のひとつである。物語コーポレーションは10月5日に「焼肉きんぐ」公式アプリから約1078万8963件の会員情報漏洩を発表。スカラコミュニケーションズは10月6日にFAQシステム「i-ask」への不正ログインを起点とする最大71万3126件の漏洩の可能性を発表した。ソフトバンク傘下のIDCフロンティアも10月7日に「IDCFクラウド」へのランサムウェア攻撃を公表し、495の企業・自治体が影響を受けた。政府でも、デジタル庁が9月11日にガバメントソリューションサービス(GSS)で約24.6万件の個人情報が漏洩した可能性を発表している。
連日のように企業や団体の情報漏洩ニュースが流れる日本だが、韓国、台湾、アメリカ、オーストラリア、ヨーロッパでも数百万〜数千万人規模の流出が続いており、世界規模の傾向だ。警察庁の統計では2026年上半期のランサムウェア被害報告は123件で、半期として統計開始以来の最多となった。漏洩を前提とした自己防衛と、企業のセキュリティガバナンスの強化が急務となっている。