ロート製薬は11月6日、通販の電話システムへの不正アクセスで、顧客管理システムの氏名・住所・電話番号を含む279万7,545人分の個人データが漏えいしたと発表した。9月の公表時点では範囲や件数が示されていなかったが、今回、約280万人規模であることと、9,715人分のカード情報を含む通話音声が取得されたことが明らかになった。

概要

ロート製薬の通信販売で使う電話システムと顧客管理システムが、第三者による不正アクセスを受けた。同社が保有・管理する一部の情報が不正に取得されたことを確認したという。

外部の専門機関と調査したところ、第三者が電話システムのアカウント情報を不正に利用して侵入し、同システムを経由して複数の顧客管理システムから情報を取得していたとされる。侵入に使われたアカウント情報の入手経路は、確認できた範囲では公表されていない。

ロート製薬の発表によると、時系列は次のとおり。

9月10日、通信販売で利用する電話システムのサービス事業者から、不審なアクセスがある旨の報告を受けた。同社は関係アカウントの利用停止、パスワード変更などの影響拡大防止措置を実施し、外部の専門機関等による調査を開始した。

9月11日、通信販売で利用するシステムで第三者による不正アクセスの可能性がある事象を確認したと公表した。

9月15日の続報では、通話音声データと付随情報、および顧客管理システムの情報が不正に取得された可能性があると伝えた。

11月6日、外部の専門機関および外部弁護士等と連携した調査の結果として、漏えいの対象と内容を公表した。

被害・影響の範囲

顧客管理システムでは、氏名、住所、電話番号が対象となった。対象は2,797,545人で、対象者やデータの内容によって含まれる項目は異なり、一部の項目のみの顧客もいるとされる。

電話システムでは、通信販売に関する通話音声データが取得された。対象は2025年9月10日から2026年9月5日までの期間のうち、通信販売で電話をかけた顧客に関するものとされる。

一部の通話音声データには、クレジットカード番号と有効期限が含まれており、対象の顧客は9,715人である。セキュリティコードやパスワードなどの認証情報は含まれていないとしている。

現時点で、今回の漏えいに起因する二次被害は確認されていないという。他の企業・団体への影響拡大は、確認できた範囲では公表されていない。

企業・団体の対応

ロート製薬は、お客様に多大なる心配と迷惑をかけたことを深くおわびし、再発防止のための対策を講じるとしている。

対象者には、郵送やメールなどで順次連絡している。また、クレジットカード会社と連携して不正利用を監視するとともに、カードの再発行費用を対象者が負担せずに済むよう、カード会社に依頼しているという。

技術的な措置として、関係アカウントのパスワードを一斉に変更し、電話口でのクレジットカード番号の聴取を停止した。支払いは書面による手続きに切り替えた。

9月の公表時には、同社や通販を装った不審な電話、メール、SMSなどへの注意を呼びかけていた。届出については、個人情報保護委員会へ報告し、警察や関係機関と連携して調査を続けているとの報道がある。

編集部コメント（読者企業が取るべき対策）

今回の事案は、業務委託先の電話システムのアカウントが起点となり、顧客管理システムにまで被害が及んだ点に特徴がある。電話や通話録音といった周辺システムも、個人情報の保管先として管理対象に含める必要がある。カード情報を音声として保存していた点も、見直しの対象となる。

外部サービスのアカウント棚卸し
電話システムなど外部サービスの管理アカウントを洗い出し、不要なものは削除する。多要素認証の有無とパスワードの更新状況を確認し、未対応のものから順に対策する。

システム間の接続範囲の見直し
電話システムから顧客管理システムへ到達できる経路と権限を確認する。連携が必要な範囲に絞り、通信元の制限やアクセスログの監視を行う。

通話録音とカード情報の取り扱い
通話録音にカード番号が残らないよう、音声の一時停止機能やIVRによる入力への切り替えを検討する。録音データの保存期間も、必要最小限に見直す。

委託先への確認事項
委託先と、不審なアクセスを検知した際の連絡手順と期限を取り決めておく。ログの保存期間と調査への協力範囲も、契約や運用ルールで確認する。

顧客への情報提供とフィッシング対策
漏えいが判明した場合に備え、対象者への連絡手段と文面を事前に整理する。企業を装った連絡への注意と、カード会社への相談方法を明記する。

なお、個別のお客様への影響は現在調査中とされている。今後の続報に注意されたい。

出典

• ロート製薬 不正アクセスによるお客様の個人データ漏えいに関するお詫びとお知らせ
• ロート製薬 当社システムにおける不正アクセスの可能性について
• 日本経済新聞
• ITmedia NEWS
• ビジネス＋IT（Yahoo!ニュース）

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから