要点
発表された事実
- ロート製薬は、通信販売のお客様対応に使う電話システムと顧客管理システムへの不正アクセスにより、顧客の個人情報が不正に取得されたと公表した（ロート製薬）。
- 顧客管理システム側の対象は2,797,545人。氏名・住所・電話番号などが含まれる（同）。
- 電話システムの通話音声データの一部にクレジットカード番号と有効期限が含まれ、対象は9,715人。セキュリティコードやパスワード等の認証情報は含まれない（同）。
- 原因は、電話システムのアカウント情報が第三者に不正利用され、同システム経由で顧客管理システムの情報も取得されたこと（同）。
わかっていないこと
- 電話システムのアカウント情報がどのように不正利用されるに至ったか（窃取・推測・その他）。
- 顧客管理システム側の2,797,545人のうち、項目ごとの内訳。
関係しそうな既知の手口
- （考察）通販の電話応対基盤の認証情報が奪われると、通話録音と顧客マスタの両方に手が届き、カード番号が口頭で読み上げられていた場合は録音からカード情報が復元されうる。
概要
- 2026年9月10日、電話システムのサービス事業者から不審なアクセスの報告を受け、アカウント利用停止・パスワード変更などを実施した（ロート製薬）。
- 9月11日・15日に調査状況を公表し、9月14日に警察へ被害申告、9月15日に個人情報保護委員会へ報告した（同）。
- 電話システムに関する外部専門機関の調査は2026年10月16日に完了した（同）。
- 事後対応として、電話口でのクレジットカード番号聴取を停止し、書面による支払い手続へ運用を見直した（同）。
この記事では、公式発表で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2025-09-10〜2026-09-05（一部期間） | 通話音声データの対象期間（複数の区間） | ロート製薬 |
| 2026-09-10 | 電話システムのサービス事業者から不審アクセスの報告。アカウント停止等を実施 | 同 |
| 2026-09-11 / 09-15 | 調査状況をウェブサイトで公表 | 同 |
| 2026-09-14 / 09-15 | 警察へ被害申告、個人情報保護委員会へ報告 | 同 |
| 2026-10-16 | 電話システムに関する外部専門機関の調査が完了 | 同 |
| 2026-11-06 | 影響人数と原因を含む詳細を公表 | 同 |
発表内容の整理
事実（ロート製薬の発表による）
| 区分 | 内容 | 人数 |
|---|---|---|
| 顧客管理システム | 氏名、住所、電話番号（登録状況により一部項目のみの場合あり） | 2,797,545人 |
| 電話システムの通話音声 | 商品問い合わせ・注文等内容。一部にクレジットカード番号・有効期限 | カード情報が含まれる音声は9,715人 |
- 原因：電話システムのアカウント情報の不正利用。顧客管理システム上の情報は電話システム経由で取得された。
- セキュリティコード・パスワード等の認証情報は聴取・保存しておらず、今回の不正取得には含まれない。
- 現時点で、本件に起因する不正利用等の二次被害は確認されていない。
- カード会社と連携したモニタリングを継続し、再発行費用を顧客負担にしないよう依頼している。
出典：ロート製薬
考察
- 口頭でカード番号を受け取る運用は、録音やオペレーター端末経由の漏えい面でリスクが高い。同社が聴取停止に切り替えたのは、そのリスクを踏まえた対応と読める。
- アカウント情報の「不正利用」までは判明しているが、フィッシング・マルウェア・サービス事業者側の事故など、入手経路は書かれていない。
関係しそうな既知の手口
事実
- ロート製薬は、電話システムのアカウント情報が第三者に不正利用されたと説明している（ロート製薬）。
考察
- クラウド型のコールセンター／CTIでは、運用アカウントの認証が弱いと通話録音や顧客画面へのアクセスがまとめて奪われやすい。顧客マスタとの連携がある場合、被害件数は通話件数を大きく超える。
利用者・運用者がいまできること
- 対象となりうる人：ロート製薬からの個別案内を確認する。2026年9月以降のカード明細に身に覚えのない請求がないか確認する。不審な電話・メール・SMSには応じない。
- 通販事業者：電話口でのカード番号聴取を避ける。通話録音の保存範囲とアクセス権限を最小化する。電話システム／CTIのアカウントに多要素認証を必須化する。