ロート製薬株式会社は2026年11月6日、通信販売の電話システムと顧客管理システムへの不正アクセスについて調査結果を公表。顧客管理システムの情報279万7,545人分と、クレジットカード番号・有効期限を含む通話音声の対象者9,715人について、不正取得が確認された。侵入経路は電話システムのアカウント情報の不正利用だった
9月の時点では「可能性」の話だった。それが11月6日、人数と経路を持って確定に変わった。279万7,545人。そして入口は、派手な攻撃ではなく電話システムのアカウントだった。顧客対応の電話口は、企業の正面玄関ではない。だが実際には、顧客情報の金庫へ続く通用口になっていた。録音の中には、客が読み上げたカード番号まで残っていた。
※個人の感想です
ロート製薬は2026年9月10日、通信販売で利用する電話システムのサービス事業者から、不審なアクセスがある旨の報告を受けました。同社は関係するアカウントの利用停止、パスワード変更その他の影響拡大防止措置を実施し、外部の専門機関等による調査を開始しました。9月11日と9月15日に調査状況を公表し、その後も外部の専門機関・外部弁護士等と連携して調査を続けてきました。
11月6日の公表で、同社は、電話システムおよび顧客管理システムにおいて第三者による不正アクセスが行われ、一部の情報が不正に取得されたことを確認したと発表しました。発表は2026年9月14日に所轄警察署へ被害を申告し、同年9月15日に個人情報保護委員会へ報告したことも改めて示しています。当該電話システムに関する外部の専門機関による調査は、2026年10月16日に完了しています。
調査の結果、同社が利用する複数の顧客管理システムに保存されていた情報のうち、漏えい等の対象となった顧客は2,797,545人です。項目は氏名、住所、電話番号で、対象となる方やデータの内容により、含まれる項目は異なります。一部の項目のみが対象の顧客もいます。
不正取得された電話システムの情報は、商品に関する問い合わせ、注文内容その他、通信販売に関する通話内容の音声データです。対象の通話期間は、2025年9月10日から同年11月16日まで、2025年12月9日から2026年3月22日まで、および2026年8月21日から同年9月5日までです。
調査の結果、一部の通話音声データには、クレジットカード番号および有効期限の情報が含まれていたことが確認されました。その対象となる顧客は9,715人です。同社は、クレジットカードのセキュリティコードおよびパスワード等の認証情報については、聞き取っておらず、取得・保存していないため、今回の不正取得情報には含まれていないとしています。
2,797,545人と9,715人は、異なる対象情報について公表された数字です。重なりが明示されていないため、単純に合算して被害人数とすることはできません。
これまでの調査で確認できている原因として、同社は、通信販売の顧客対応に利用する電話システムのアカウント情報が第三者に不正に利用され、同システムに不正アクセスが行われたことを確認しています。また、顧客管理システムに保存されていた情報については、電話システムを経由して不正に取得されたことを確認しています。
アカウント情報がどのような方法で第三者の手に渡ったかは、11月6日の公表からは特定できません。
9月14日には、海外のサイバー犯罪フォーラムに、ロート製薬への侵入に関与したと名乗る人物の投稿があり、約4TBのデータ（Salesforceの顧客情報約395万件、通話録音約85万件・約3.5TB、SharePointの文書約439GBなど）を取得したと主張していました。
11月6日の公式発表により、顧客管理情報と通話音声が実際に不正取得されたことは確認されました。一方で、同社が公表した数字は顧客管理システムで2,797,545人、カード情報を含む録音で9,715人であり、犯行声明にある約4TBという総量や内訳を、同社が同じ内容で確認した発表はありません。定義の異なる数字同士を比べて、声明の真偽を判定することはできません。
同社は、確認された情報の内容と個別の顧客への影響を踏まえ、対象となる方に対し、順次、郵送またはメール等により個別の案内を実施してきたとしています。
クレジットカード情報の漏えい対象者には、2026年9月以降のカード利用明細書に身に覚えのない請求項目がないかの確認を求めています。身に覚えのない請求があれば、カード裏面に記載のカード会社へ問い合わせるよう案内しています。同社はカード会社と連携し、漏えいした対象カードによる取引のモニタリングを継続しており、カードの再発行に伴う費用を顧客に負担させないよう、カード会社へ依頼しています。
再発防止策としては、発覚後に関係アカウントのパスワード一斉変更などの緊急措置を実施したほか、電話口でのクレジットカード番号の聴取を停止し、書面による支払い手続きへ運用を見直しました。今後も外部の専門機関・外部弁護士等と相談しながら再発防止に取り組むとしています。
同社は、本件に関連して、なりすましメールやフィッシング詐欺などが発生する可能性があるとして、暗証番号やパスワード等の入力・提供を求める不審な連絡には応じないよう呼びかけています。本件への対応を理由として、同社から暗証番号やパスワード等の入力・再提供をお願いすることはありません。問い合わせは同社の専用ダイヤル（0120-610-654、9時〜18時、土日祝日を含む）でも受け付けています。
現時点で、同社が把握している限り、本件に起因すると考えられる個人情報の不正利用等による二次被害は確認されていません。
IT Postでは、今回の確定事項の中で最も重いのは、件数よりも「録音が個人情報の保管庫になっていた」という事実だと考えます。通話録音は、品質確認のための副産物として扱われがちです。しかし電話で注文を受ける運用では、録音の中に氏名や住所だけでなく、読み上げられたカード番号と有効期限まで残ります。副産物のつもりが、実態は決済情報を含む一次データでした。
もう一点は、入口が電話システムのアカウントだったことです。顧客管理システムそのものへの直接の侵入ではなく、周辺業務システムのアカウントが経路になりました。本丸の防御を固めても、電話・録音・問い合わせといった周辺の連携アカウントが同じ水準で管理されていなければ、そこが通用口になります。電話口でのカード番号聴取を停止し書面手続きへ変えた同社の見直しは、録音にカード番号を残さないという意味で、根本に近い対策です。
同社は、新たな事実が判明した場合には、速やかに個別の連絡またはウェブサイトでの公表で知らせるとしています。今後の確認点は、対象者への個別案内の完了状況、再発防止策の具体化、そして二次被害の有無の続報です。
IT Postでは、新しい公式情報が確認できれば、本記事を更新します。
2026年11月6日の調査結果公表を受けて更新しました。9月時点の「不正取得の可能性」から、顧客管理システムの情報（氏名・住所・電話番号、項目は顧客により異なる）279万7,545人分と通話音声データについて不正取得が確認されたこと、クレジットカード番号・有効期限を含む通話音声の対象者が9,715人だったこと（対象期間は2025年9月10日〜11月16日、2025年12月9日〜2026年3月22日、2026年8月21日〜9月5日）、セキュリティコードやパスワード等の認証情報は含まれないこと、原因が電話システムのアカウント情報の不正利用で顧客管理システムの情報は電話システムを経由して取得されたこと、電話システムに関する外部専門機関の調査が10月16日に完了したこと、対象者への個別案内の実施、カード会社と連携したモニタリングと再発行費用の負担軽減の依頼、電話口でのカード番号聴取の停止と書面手続きへの変更、二次被害が確認されていないことを反映しました。攻撃者を名乗る人物が主張する約4TB等の数字は、引き続き同社が確認した内容ではありません。初回公開日とURLは維持しています。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
RIZAPの社員が特定保健指導の顧客データを個人利用の生成AIに誤ってアップロードし、IHI健保が公表。210人分の疾患情報を含む要配慮個人情報はどこまで見られたのか。分かっている範囲で整理した
マンチェスターなど英3空港の運営会社から駐車場・ラウンジ利用者の情報が流出。恐喝グループの要求を拒否したところ約550GBのデータが公開されました。侵入経路と利用者の対策を整理しました
ドイツ・ベルリン州の行政ネットワークがランサムウェア攻撃を受け、5.79TBのデータ窃取を主張する脅迫に市長が支払い拒否を表明。8月上旬の侵入から隔離までの経緯と、私たちへの教訓を整理しました
日本原子力研究開発機構は10月1日、研究用原子炉「JRR-3」利用者向けサイトへの不正アクセスで175人分の個人情報が漏れたと公表。6人分にはマイナンバーも含まれていた
REXT Holdingsが9月11日に公表した第4報。8月のランサムウェア被害で流出した可能性のある情報の一部がネット上に掲載されたと確認したか
GMOリサーチ&AIの10月5日発表は、個人情報の持ち出し確認と対象最大94万8,498件を区別。不正交換611件・2,869,500円、全額補填、調査継続と利用者の確認先を整理する
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
