ロート製薬で約280万人の情報流出 通話録音にカード情報が含まれた対象は9715人

ロート製薬は2026年11月6日、通信販売の電話システムと顧客管理システムへの不正アクセスで、顧客の個人情報が流出したと発表しました。顧客管理システムで漏えい等の対象となったのは279万7,545人です。これとは別に、流出した通話録音のうち、クレジットカード番号と有効期限を含む録音の対象者が9,715人いました。カード情報の対象として個別案内を受けた人は、同社の案内に従い、9月以降の利用明細を確認してください。

約280万人と9,715人は何を数えたのか

ロート製薬の11月6日付調査結果によると、279万7,545人は、複数の顧客管理システムに保存されていた情報についての対象者数です。情報の項目は氏名、住所、電話番号で、人によってはこのうち一部に限られます。約280万人全員のカード情報が漏えいしたという意味ではありません。

一方、9,715人は電話システムから不正取得された録音のうち、カード番号と有効期限を含むものに関係する顧客の数です。録音には商品への問い合わせや注文内容なども含まれます。9,715人は録音全体の対象者数ではなく、顧客管理システム側の人数との重複も発表では示されていません。二つの人数を足して事件全体の対象者数とすることはできません。同社はカードのセキュリティコードやパスワード等の認証情報は聞き取ったり保存したりしておらず、不正取得された情報には含まれないと説明しています。

録音が対象となる通話日は、2025年9月10日〜11月16日、同年12月9日〜2026年3月22日、2026年8月21日〜9月5日の三つの期間です。これは録音に関係する通話の日付であり、不正アクセスがこの間ずっと続いていたことを示すものではありません。また、期間内に電話したことだけでは、自分の録音にカード情報が含まれていたかまでは分かりません。個別の対象項目は同社の案内や専用窓口で確認してください。

電話サービス事業者の連絡で発覚

9月10日に電話システムのサービス事業者から不審なアクセスの報告があり、ロート製薬は関係するアカウントの停止やパスワード変更などを実施しました。ロート製薬オンラインの9月11日付初報は不正アクセスの可能性を公表した段階で、9月15日には調査状況を追加で公表しました。その後、電話システムに関する外部専門機関の調査が10月16日に完了し、11月6日に会社が対象人数と対応を公表しました。

会社が確認した侵入経路は、電話システムのアカウント情報を第三者が不正利用し、さらに同システムを経由して顧客管理システムの情報を取得したというものです。ロート製薬オンラインの事件FAQは不正利用された情報を電話システムのIDとパスワードと説明しています。今回の資料からは、それらを第三者がどのように入手したかまでは分かりません。11月6日の発表時点で、同社が把握する範囲では、流出情報の不正利用などの二次被害は確認されていません。

利用明細と個別案内は別の経路で確認

同社は対象となる人へ郵送やメールなどで順次案内してきました。カード情報の対象者に対しては、2026年9月以降の明細を見て、覚えのない請求があればカード裏面に記載された発行会社へ連絡するよう求めています。再発行を希望する場合も連絡先はカード会社です。ロート製薬はカード会社へ再発行費用を対象者に負担させないよう依頼したと説明しています。

同社は、今回の対応を理由に暗証番号やパスワードなどの入力・提供を求めることはないと案内しています。注文内容や住所を知っている相手から連絡が来ても、それだけでは正規の案内と判断できません。不審な電話やメール、SMS、郵便物に記載された連絡先やリンクは使わず、公式発表からロート製薬の専用窓口を開いてください。請求の照会には、カード会社の普段使っているアプリやカード裏面の連絡先を使い分けると、通知の送り主に頼らず確認できます。

通話録音と顧客管理を別々に棚卸しする

ロート製薬は電話でのカード番号の聞き取りをやめ、書面による支払い手続きへ運用を見直したとしています。電話受注を持つ事業者にとっては、決済情報を顧客管理画面に保存していなくても、通話の記録に残り得ることが今回の点検材料です。注文受付から録音の保存、顧客情報へのアクセスまで、どの担当者やシステムアカウントが何を取得できるかを別々に確認し、電話側の資格情報一つで他システムの情報まで取得できる経路がないかを調べると、事故時の調査範囲を具体化できます。