CNET Japanの報道（Yahoo!ニュース掲載）によると、ロート製薬は2026年11月6日、通信販売関連システムへの不正アクセスにより、顧客管理システム内の個人情報279万7545件が漏えいしたと公表しました。さらに流出した通話録音データの中に、9715人分のクレジットカード番号と有効期限が含まれていたことが判明しています。外部電話システムのアカウントを侵害され、社内の顧客管理システムまで到達された本件について、影響範囲と取るべき行動を整理します。
CNET Japan（Yahoo!ニュース）：ロート製薬、約280万人の個人情報が漏えい 通話録音に9715人分のカード情報も
外部サービスや委託先のアカウントを踏み台にされ、重要データへ到達されるリスクが気になる場合は、実際の侵入経路を想定した検証が有効です。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人）ロート製薬の通信販売を利用し、顧客管理システムに氏名、住所、電話番号が登録されていた利用者（最大2,797,545人）
- （個人）2025年9月10日〜11月16日、2025年12月9日〜2026年3月22日、2026年8月21日〜9月5日の各期間に通話し、クレジットカード番号と有効期限が録音されていた利用者（9,715人）
- （企業）外部事業者が提供する電話システムおよび連携する複数の顧客管理システム
今すぐ取るべき対応
- （個人）ロート製薬からの個別案内（郵送またはメール）を確認する
- （個人）クレジットカード情報が対象となった場合は、2026年9月以降の利用明細を確認し、不審な請求があればクレジットカード会社へ連絡する
- （個人）流出した氏名や連絡先を悪用したなりすましメール、不審な電話、SMSによるフィッシング詐欺に警戒し、パスワードや暗証番号を求められても入力しない
- （企業）関連するすべてのアカウントでパスワードの一斉変更を実施する
- （企業）電話窓口でのクレジットカード番号の聞き取り運用を取りやめ、書面など安全な支払い手続きに切り替える
この記事に出てくる専門用語
- 顧客管理システム：利用者の氏名、住所、購入履歴などを一元管理する仕組みです。今回の事案では、侵害された電話システムのアカウントを経由して複数の顧客管理システムから約280万人分の情報が取得されました。
- セキュリティコード：クレジットカード裏面などに記載された3桁や4桁の認証用番号です。ロート製薬はこれを取得・保存しておらず、今回の流出データには含まれていないと発表しています。
ロート製薬の顧客管理システムへ不正アクセスが行われた経緯
CNET Japanの報道によると、ロート製薬は2026年9月10日、通信販売向けの電話システムを提供する事業者から不審なアクセスに関する報告を受けました。調査を進めた結果、第三者が電話システムのアカウント情報を不正に入手して悪用し、そこを経由して社内にある複数の顧客管理システムへ侵入していた事実が判明しています。
同社は9月11日と15日に初期の調査状況を公表したのち、外部の専門機関とともに侵害状況の分析を継続しました。攻撃者が電話システムのアカウントを足がかりにして顧客データベースへ横移動した点について、私たちペネトレーションテスターの視点では、外部連携システムと基幹データ間のアクセス制御や認証設計の境界が狙われた典型例と判断します。
2026年11月6日の詳細発表時点において、顧客管理システムからは合計279万7545人分の氏名、住所、電話番号が流出したとされています。流出した項目は対象者ごとに異なっており、同社は対象となる顧客に対して郵送や電子メールを通じた個別の通知案内を進めています。
通話録音データからクレジットカード情報が流出した背景
今回の不正アクセスでは、テキストデータ形式の顧客管理情報だけでなく、コールセンター業務で記録されていた通話録音データも攻撃者に窃取されました。流出した録音データは、2025年9月10日から11月16日、2025年12月9日から2026年3月22日、2026年8月21日から9月5日という3つの期間に保存されたものです。
これら3期間の録音音声を精査した結果、電話口で注文時に聞き取っていた9715人分のクレジットカード番号と有効期限が含まれていたことが確認されました。ただし、カードのセキュリティコードや認証パスワードについて同社は取得や保存を行っておらず、流出項目には入っていません。
音声データ内に決済情報がそのまま残存していた運用は、セキュリティ診断の現場でも見落とされやすい盲点といえます。データベース上で暗号化を行っていても、録音ファイルという非構造化データ側にカード番号が平文の音声として残っていれば、ファイルを持ち出された瞬間に漏えいにつながります。
個人情報の流出対象となった利用者が取るべき確認と自衛策
ロート製薬の発表によると、2026年11月6日時点で今回の情報流出を原因とする二次被害は確認されていません。しかし、カード情報が流出した可能性がある9715人の顧客は、2026年9月以降の利用明細をすぐに照合し、身に覚えのない支払いが紛れ込んでいないか調べる行動が求められます。
同社はカード各社と連携して不正検知のモニタリングを継続しているほか、カードを再発行する際の費用について顧客負担が発生しないよう各社に要請しています。万が一不正な利用履歴を発見した場合は、速やかにクレジットカード裏面に記載された問い合わせ窓口へ連絡を入れてカードの停止手続きを行ってください。
あわせて、氏名や電話番号といった連絡先を悪用したフィッシング攻撃への警戒も欠かせません。実在する企業や金融機関を装った電話やSMS、メールで暗証番号やログイン情報の提示を求められても、一切応じない姿勢を徹底します。
外部連携アカウントの管理と通話運用の見直し手順
ロート製薬は再発防止に向けた緊急措置として、関連するすべてのアカウントのパスワードを一斉に変更しました。さらに、電話口でオペレーターがクレジットカード番号を聞き取る運用そのものを廃止し、書面を用いた決済手続きへの切り替えを実施しています。
外部事業者のクラウドサービスや電話システムを利用する組織では、まず外部委託先との接続アカウントに多要素認証が設定されているかを棚卸しします。単一のパスワードのみに依存した認証は、外部からの総当たりや認証情報リスト攻撃で容易に突破される危険を抱えています。
私たち診断員なら、電話システムと顧客管理データベースの間に通信分離が敷かれているか、録音データに機密情報がマスキングなしで保存されていないかを点検します。不要なカード情報の音声保管を即座に停止し、外部アカウントから到達可能な権限の範囲を最小限に絞り込む作業が防衛の基本となります。
参考文献・記事一覧
業務委託先や外部SaaSのアカウント管理に不安がある組織には、侵入からデータ奪取までの経路を洗い出すシナリオ型ペネトレーションテストをおすすめします。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
