ロート製薬の通信販売で使う電話システムへの不正アクセス
- タグ
- 国内
ロート製薬の2026年11月6日の発表によると、通信販売の顧客対応に使う電話システムに第三者が不正にアクセスし、電話システムを経由して顧客管理システムの情報も不正に取得された［1］。顧客管理システムで漏えい等の対象となった顧客は2,797,545人で、通話音声データのうち9,715人分にはクレジットカード番号と有効期限が含まれていた［1］。個人情報を用いた不正利用等の二次被害は確認されていないとした［1］。
経緯
ロート製薬が11月6日に確認した原因として示したのは、電話システムのアカウント情報が第三者に不正に利用され、同システムに不正アクセスが行われたことである［1］。
ロート製薬の9月11日の第一報では、通信販売で利用しているシステムで不正アクセスの可能性がある事象を確認し、システムへのアクセス制限を含む措置を実施していると告知した［3］。9月15日の第二報では、通話音声データとこれに付随する情報が第三者に不正に取得された可能性があり、顧客管理システムからも情報が取得された可能性があると改めた［2］。第二報は、主要な業務への影響を確認していないとも書いた［2］。
11月6日の発表で、ロート製薬は取得を「確認しました」と書き、外部の専門機関と外部弁護士等と連携して影響範囲の調査と対応を続けていると説明した［1］。
時系列
影響範囲
顧客管理システムから取得された情報は氏名、住所、電話番号で、対象者やデータによっては一部の項目だけの場合がある［1］。人数の対象は、ロート製薬が利用する複数の顧客管理システムに保存されていた情報である［1］。
電話システムからは、商品の問い合わせや注文内容など、通信販売に関する通話の音声データが取得された［1］。通話は2025年9月10日から2026年9月5日までに通信販売に電話した顧客のもので、対象期間は表1の3つに分かれる［1］。クレジットカードのセキュリティコードとパスワード等の認証情報は電話で聞いておらず、保存もしていないため、取得された情報に含まれないとした［1］。
公表と別に伝えられた取得量
ロート製薬への侵入に関与したと名乗る人物が、9月14日に海外のサイバー犯罪フォーラムへ投稿し、約4TBのデータを取得したと主張していると、セキュリティ対策Labが報じた［4］。投稿が列挙したのは、約395万件のSalesforce顧客情報、通話録音、SharePoint文書などだった［4］。通話録音は約85万件・約3.5TBとしていた［4］。
攻撃者側が公開したサンプルについて、セキュリティ対策Labは1,000件のレコードがSalesforce REST APIのデータ構造と整合していたと報じた［4］。総量や件数、SalesforceやSharePointというサービス名は、ロート製薬から確認されていないとも書いた［4］。
対応と現状
- 関係するアカウントの利用停止とパスワードの一斉変更［1］
- 電話口でのクレジットカード番号の聴取の停止と、書面による支払い手続きへの切り替え［1］
- クレジットカード会社と連携した、対象のカードによる取引のモニタリング［1］
- 対象者のカードの再発行の費用を顧客に負担させないよう、カード会社への依頼［1］
対象者には、郵送またはメール等で順次、個別に案内している［1］。カード情報の対象者には、2026年9月以降の利用明細書に身に覚えのない請求が無いかを確かめ、あればカード会社に問い合わせるよう求めた［1］。
第二報では、再決済や本人確認、返金、アカウント確認を理由にカード情報や暗証番号、パスワードを求める連絡に応じないよう呼びかけた［2］。11月6日の発表でも、この件の対応を理由に暗証番号やパスワード等の提供を求めることはないと書いた［1］。
未公表の事項
- 電話システムのアカウント情報が第三者の手に渡った経緯
- 電話システムのサービス事業者の名称
- 不正アクセスが始まった日と続いた期間
- 不正に取得された通話音声データの件数と対象者の総数
- 攻撃者を名乗る人物の主張とロート製薬の調査結果との対応
出典
当事者
- ［1］ロート製薬株式会社『不正アクセスによるお客様の個人データ漏えいに関するお詫びとお知らせ』（2026年11月6日公開）
- ［2］ロート製薬株式会社『当社システムにおける不正アクセスに関する調査状況について』（2026年9月15日公開、2026年10月22日更新）
- ［3］ロート製薬株式会社『当社システムにおける不正アクセスの可能性について』（2026年9月11日公開、2026年9月15日更新）
報道機関
- ［4］合同会社ロケットボーイズ『ロート製薬 ECサイトへの不正アクセスでハッカーが約4TBのデータ取得を主張-公開サンプルを確認』（2026年9月16日公開）
更新記録
- 2026年11月8日：公開した。