ロート製薬の通信販売システムが不正アクセスを受け、顧客279万7545人分の個人情報が漏えいしたと発表されました。うち9715人分は、電話での問い合わせ対応の音声データにクレジットカード番号と有効期限が含まれていたといいます。対象期間に同社の通販を電話で利用し、個別に案内を受けた対象者は、自分の情報が対象に含まれているかを確認する必要があります。現時点でカード不正利用などの二次被害は確認されていません。
ロート製薬、通販電話システム経由で279万人分の情報流出
ロート製薬（大阪市）は11月6日、通信販売の顧客対応に使う電話システムと顧客管理システムが第三者による不正アクセスを受け、顧客279万7545人分の個人情報が漏えいしたと発表しました。流出したのは複数の顧客管理システムに保存されていた氏名、住所、電話番号です。対象者によって含まれる項目は異なり、一部の項目のみにとどまる顧客もいるとしています。
今回の発表で新たに判明したのが、電話システムに保存されていた通話音声データの流出です。対象は2025年9月10日から2026年9月5日までの一部期間に記録された通話で、このうち9715人分の音声にはクレジットカード番号と有効期限が含まれていました。同社はセキュリティコードやパスワードなどの認証情報についてはそもそも電話で聞いておらず、取得・保存もしていないため、今回の流出対象には含まれないと説明しています。
発端は2026年9月10日、通販の電話対応で使うシステムのサービス事業者から「不審なアクセスがある」との報告を受けたことでした。同社は確認後、関係アカウントの利用停止やパスワード変更といった影響拡大防止策を実施し、外部の専門機関とともに調査を始めています。調査の結果、第三者が電話システムのアカウント情報を不正に利用して侵入し、同システムを経由して複数の顧客管理システムから情報を取得していたことが分かりました。顧客管理システム自体が直接攻撃を受けたのではなく、電話システムを足がかりに到達された経路になります。電話システムに関する外部調査は2026年10月16日に完了しています。ITmedia NEWS
対象者への案内と、同社が講じた再発防止策
対象となる顧客には、郵送やメールなどで順次個別案内が進んでいます。カード情報が含まれていた顧客に対しては、2026年9月以降のクレジットカード利用明細に身に覚えのない請求がないか確認するよう呼びかけています。同社はカード会社と連携して対象カードの取引監視を続けており、カードを再発行する場合の費用を顧客が負担せずに済むよう、カード会社に依頼しているとのことです。また、本件に乗じたなりすましメールやフィッシング詐欺の可能性があるとして、不審な電話やメール、SMS、郵便物に記載された連絡先への連絡やURLへのアクセスは控えるよう注意を促しています。
再発防止策としては、関係アカウントのパスワードを一斉に変更したほか、電話口でのクレジットカード番号の聴取そのものを停止し、書面による支払い手続きへ運用を切り替えました。同社は2026年9月14日に所轄警察署へ被害を申告し、同月15日には個人情報保護委員会へも報告しています。9月11日と15日の時点でも調査状況をウェブサイトで公表していましたが、影響範囲や対象となる情報の全容を伝えるまでに時間を要したとしています。
現時点で、同社が把握している限り、今回の漏えいに起因する不正利用などの二次被害は確認されていません。ただしこれは同社が公表している範囲の情報であり、対象者が約280万人に上る規模の事案だけに、今後新たな事実が判明すれば個別連絡やウェブサイトでの公表を通じて更新されることになります。出典によると、侵入の起点は電話システムのアカウント情報が第三者に不正利用されたことであり、この電話システムを経由して複数の顧客管理システムから情報が取得されました。音声データに含まれていたクレジットカード番号と有効期限も、この不正アクセスの過程で取得対象となったものです。ロート製薬、BigGo ファイナンス
注目ニュース
JNSAのセキュリティ理解度チェックサービスに不正アクセス
情報セキュリティの普及啓発に向けて活動する日本ネットワークセキュリティ協会（JNSA）が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、最大1万5128件の個人情報が漏えいした可能性があると発表しました。利用者のIDやハッシュ化したパスワードに加え、受講管理担当者の氏名、企業名、メールアドレス、組織所在地、従業員数、業種なども対象に含まれます。JNSAは11月4日に不正アクセスを確認し、その後の調査で10月30日夜ごろから攻撃を受けていた可能性が判明しました。同サービスは現在停止しています。はてなブックマーク
西日本の128信用金庫、共同システム障害でATM利用できず
信用金庫が利用する共同型の勘定系システム「しんきん共同システム」で2026年11月6日、障害が発生しました。午後1時30分ごろから、西日本の128信用金庫でATMやネットバンキング、窓口での入出金が利用できない状況になっています。障害が発生したのは神戸市の「西日本センター」で、このセンターを利用する東海地方以西の信用金庫に影響が及びました。運用元のしんきん共同センターは原因について「通信機器の故障の疑いがある」と説明しており、開発などの実務を担うNTTデータとともに原因特定を進めているとしています。午後4時時点で復旧のめどは立っていません。日経クロステック
編集後記：電話システムという「踏み台」の存在
今回の事案で気になるのは、攻撃の起点が顧客管理システムそのものではなく、電話システムのアカウント情報だった点です。通販の問い合わせ対応という、一見するとセキュリティの焦点になりにくい業務システムが、複数の顧客管理システムへ到達する経路になっていました。同社はカード番号の聴取自体を停止し、書面手続きに切り替えるという対応を取っています。これは電話応対に決済情報を乗せる運用そのものを見直す選択であり、音声データに機微情報を含めない方向への転換といえます。出典からは、この切り替えが他の通販事業者にどこまで広がるかまでは読み取れません。対象者約280万人という規模の大きさに対して、原因究明から公表までに時間を要した経緯も、同社自身が説明している通りです。