ロート製薬の不正アクセス 調査結果｜約280万人の情報が漏えい

ロート製薬は2026年11月6日、9月に確認した不正アクセスの調査結果を公表しました。 通信販売の客の対応に使う電話システムと顧客管理システムに不正アクセスがあり、顧客管理システムでは2,797,545人の氏名・住所・電話番号などが取得されたとしています。電話の通話音声の一部にはクレジットカード番号と有効期限が含まれ、その対象は9,715人です（ロート製薬の2026年11月6日の発表）。 ロート製薬の通信販売を使った人に関係します。

公表された内容

• 顧客管理システムの情報：氏名・住所・電話番号。人によって含まれる項目は違うとしています。対象は2,797,545人
• 電話システムの情報：商品の問い合わせや注文などの通話音声。2025年9月10日〜2026年9月5日に通販へ電話した人の分（このうち3つの期間）です。一部の通話にカード番号と有効期限が含まれ、その対象は9,715人。セキュリティコードとパスワードは聞いておらず、含まれないとしています
• 原因：電話システムのアカウント情報が第三者に不正に使われ、システムに入られたとしています。顧客管理システムの情報も、電話システムを経由して取得されたとしています
• 調査：電話システムについての外部の専門機関の調査は、10月16日に終わったとしています
• 二次被害：11月6日の時点で、本件による不正利用などの二次被害は確認されていないとしています

経緯

• 2026年9月10日：電話システムのサービス事業者から、不審なアクセスがあると報告を受ける。アカウントの停止・パスワードの変更などを行い、調査を始める
• 2026年9月11日：不正アクセスの可能性を公表
• 2026年9月14日：警察署に被害を申告
• 2026年9月15日：通話音声が取得された可能性など、調査の状況を公表。個人情報保護委員会に報告
• 2026年10月16日：電話システムについての外部の調査が完了
• 2026年11月6日：調査結果として、2,797,545人とカード番号を含む通話の9,715人を公表

会社の対応

• 対象の人に、郵送やメールなどで順に個別に知らせてきたとしています
• カード会社と連携して、漏えいしたカードの取引を見張っている。カードの再発行の費用は客に負担させないよう、カード会社に頼んでいるとしています
• 関係するアカウントのパスワードを一斉に変えた。電話でカード番号を聞くのをやめ、書面での支払いの手続きに改めたとしています
• 調査の結果と対応を知らせるまでに時間がかかったことをわびています

中小企業が今日からできること

• 電話・コールセンターのシステムのアカウントを見直す：クラウドの電話システムや通話録音のサービスのログイン ID を書き出し、使い回し・共有のパスワードをやめ、二段階認証を入れる
• 通話録音にカード番号を残さない：電話でカード番号を聞く運用があれば、やめるか、聞く間は録音を止める・番号を入力ボタンで受ける方法に切り替える
• 電話システムから顧客の名簿に届かないようにする：電話のシステムと顧客管理のシステムをつないでいるなら、電話の側からどこまで顧客の情報を見られるかを確かめ、要らない権限を外す
• サービス事業者からの知らせを受ける窓口を決める：今回は事業者からの報告で気づいた。委託先・クラウドの事業者から異常の連絡が来たときに、誰が受けて何をするかを決めておく
• かたりの連絡に注意を促す：通販の客に、会社をかたる電話・メール・SMS でカード番号やパスワードを答えないよう知らせる