要点
- ロート製薬の発表によると、通信販売の客の氏名・住所・電話番号が、279万7,545人分漏えいした、またはそのおそれがある。
- 電話で注文したときの通話の音声も取られた。うち9,715人分には、クレジットカードの番号と有効期限が入っていた。
- ロート製薬を名乗る偽のメールや電話が来るおそれがあり、ロート製薬は、カード情報やパスワードを求める連絡には応じないよう呼びかけている。
何が起きたか
ロート製薬は2026年11月6日、通信販売のシステムに不正アクセスがあった件の調査結果を公表した。
始まりは9月10日である。通信販売の客の電話対応に使っている電話システムの事業者から、「不審なアクセスがある」と知らせがあった。ロート製薬は9月11日に第1報を出した。9月15日の続報では、通話の音声と、顧客を管理するシステムの情報が取られた「可能性がある」としていた。このときは、件数も対象の人もまだ分かっていなかった。
11月6日の発表で分かったのは次のことだ。
- 原因: 第三者が電話システムのアカウント（ログインのためのIDとパスワードなど）を不正に使って、電話システムに入り込んだ。そこを足がかりに、複数の顧客管理システムの情報も取られた。
- 漏れた項目（顧客管理システム）: 氏名、住所、電話番号。人によっては、このうち一部だけ。対象は279万7,545人。
- 漏れた項目（電話システム）: 通信販売についての通話の音声。商品の問い合わせや注文の内容などが入っている。
- カード情報: 通話の音声のうち、9,715人分にはクレジットカードの番号と有効期限が含まれていた。電話口で客がカード番号を読み上げた音声と見られる。セキュリティコードやパスワードは、もともと取得も保存もしていないので漏れていない、とロート製薬は説明している。
- カード情報が漏れた通話の期間: 次の3つの期間に記録された通話である。
- 2025年9月10日〜11月16日
- 2025年12月9日〜2026年3月22日
- 2026年8月21日〜9月5日
ロート製薬は、9月14日に警察に被害を届け出て、9月15日に個人情報保護委員会に報告した。外部の専門の機関による電話システムの調査は、10月16日に終わった。11月6日の時点で、カードの不正利用のような二次被害は確認されていないという。
日本の利用者への影響
今回の対象は、通信販売を使った約280万人で、日本の利用者がほぼすべてだと考えられる。
とくに気をつけたいのは2つのグループだ。
- 上の3つの期間に電話で注文し、カード番号を伝えた人。 番号と有効期限が取られた9,715人に入るおそれがある。番号と有効期限だけでも、ネットの店によっては買い物に使われうる。
- ロート製薬の通信販売を使ったことがある人全体。 氏名・住所・電話番号に加えて、何を買ったかが分かれば、「ご注文の件で」と本物らしく装った詐欺の電話やメールが作りやすくなる。
対象の人には、ロート製薬が郵送やメールで順に知らせている。
今すぐやること
- 対象かどうかを確かめる。 ロート製薬から個別の知らせが届いているかを見る。分からなければ、ロート製薬のサイトに載っている専用の窓口（電話 0120-610-654、9時〜18時、土日祝も受付）か、専用の問い合わせフォームで聞く。番号やリンクは、届いたメールからではなく、ロート製薬の公式サイトから開く。
- カードの明細を見る。 ロート製薬は、対象のカードを持つ人に、2026年9月以降の利用明細を確かめるよう勧めている。身に覚えのない請求があれば、カードの裏に書かれたカード会社の番号に電話する。
- 心配ならカードを作り直す。 ロート製薬は、対象の人がカードの再発行の費用を払わずに済むよう、カード会社に頼んでいる。費用の扱いはカード会社に確かめるとよい。
- 偽の連絡に応じない。 ロート製薬は、本件を理由に暗証番号やパスワードの入力を求めることはないとしている。「再決済」「返金」「本人確認」などを名目に、カード情報やパスワードを聞いてくる電話・メール・SMS・郵便物には応じない。書かれた番号に電話したり、リンクを開いたりしない。
背景
今回、入り口になったのは、ロート製薬が自分で作ったシステムではなく、外部の事業者が提供する電話システムのアカウントだった。会社が外のクラウドサービスを使うと、そのアカウントが1つ乗っ取られるだけで、つながった顧客データまでたどられることがある。こうしたクラウドのアカウントを狙う不正アクセスは、ここ数年、世界で続いている。
もう1つの問題は、電話で聞いたカード番号が、通話の録音にそのまま残っていたことだ。ロート製薬は対策として、電話口でカード番号を聞くのをやめ、書面で支払う手続きに切り替えた。
なお、セキュリティの情報サイトは9月、攻撃者を名乗る者が海外の犯罪者向けの掲示板で、約4TBのデータを取ったと主張したと報じた。これは攻撃者の言い分で、ロート製薬は認めていない。
ロート製薬のオンラインショップでは、2024年2月にも不正ログインと不正注文が起きている。
技術者向けの詳細
- 侵入経路（ロート製薬の発表）: 通販の顧客対応用の電話システム（外部事業者が提供）のアカウント情報を第三者が不正利用。電話システムを経由して、複数の顧客管理システムの情報が取得された。認証情報がどう漏れたかは発表に書かれていない。
- 件数: 顧客管理システム 2,797,545人／通話音声にカード番号・有効期限を含む 9,715人。
- 通話音声の対象期間: 2025-09-10〜2025-11-16、2025-12-09〜2026-03-22、2026-08-21〜2026-09-05。
- 時系列: 2026-09-10 事業者から報告 → 09-11 第1報 → 09-14 警察に申告 → 09-15 続報・個人情報保護委員会に報告 → 10-16 電話システムの外部調査が完了 → 11-06 調査結果を公表。
- ロート製薬の対策: 関係するアカウントの利用停止とパスワードの一斉変更。電話でのカード番号の聴取をやめ、書面による手続きに変更。カード会社と連携して不正利用を監視。
- 自社への教訓として見るべき点: 外部の SaaS（電話・CRM など）のアカウントに MFA（パスワードのほかにスマホなどでも本人確認する仕組み）や接続元の制限がかかっているか。通話録音に、カード番号を伏せる仕組みがあるか。SaaS どうしの連携で、1つのアカウントからどこまでのデータに届くか。
- 未確認: 報道によると、攻撃者を名乗る者が約4TBの取得を主張し、Salesforce の形式に似たデータの見本を出したとされる。ロート製薬はこれに触れていない。
