ロート製薬の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年9月10日、ロート製薬は、通信販売で使う電話システムのサービス事業者から不審なアクセスの報告を受け、9月11日に不正アクセスの可能性を公表しました。9月15日には、通販の客の対応に使うシステムから通話音声が取得された可能性があると公表しました。 11月6日の調査結果で、電話システムと顧客管理システムに不正アクセスがあり、顧客管理システムの2,797,545人の氏名・住所・電話番号（人によって項目は違う）が取得されたと公表しました。2025年9月〜2026年9月の通話音声の一部にはカード番号と有効期限が含まれ、その対象は9,715人です。原因は、電話システムのアカウント情報が第三者に不正に使われたことで、顧客管理システムの情報も電話システムを経由して取得されたとしています（ロート製薬の2026年11月6日の発表）。

会社の対応

• アカウントの停止とパスワードの一斉変更。外部の専門機関・弁護士と調べ、電話システムの調査は10月16日に完了
• 9月14日に警察へ被害を申告し、9月15日に個人情報保護委員会へ報告
• 対象の人へ郵送・メールで個別に知らせている。カード会社と取引を見張り、再発行の費用を客に負担させないよう頼んでいる
• 電話でカード番号を聞くのをやめ、書面の支払いの手続きに改めた

この事例から中小企業が学べること

• クラウドの電話システム・通話録音のアカウントにも二段階認証を入れ、パスワードを共有しない
• 通話録音にカード番号を残さない運用にする
• 電話のシステムから顧客の名簿にどこまで届くかを確かめ、要らない権限を外す
• サービス事業者から異常の連絡を受けたときの担当と手順を決めておく