通販の電話注文で口にしたカード番号が、録音データに残っていた。
ロート製薬は2026年11月6日、顧客管理システムと電話システムへの不正アクセスについて、詳しい調査結果を公表した。氏名や住所、電話番号などが漏洩等の対象となった顧客は2,797,545人。別途、不正に取得された通話音声データの一部に、9,715人分のクレジットカード番号と有効期限が含まれていたという。
今回の怖さは、買い物サイトにカード番号を入力したかどうかだけでは判断できないところにある。電話で話した内容も、録音されていれば情報として残る。ロート製薬の発表は、その当たり前のことを改めて突きつけた。
約280万人分の顧客情報と、通話録音に残ったカード番号
顧客管理システムから不正に取得されたのは、氏名、住所、電話番号など。誰のどの項目が対象かは異なり、全員の情報が一律に流出したわけではない。
一方、電話システムからは商品への問い合わせや注文に関する通話音声データが不正に取得された。その中に、カード番号と有効期限を含む録音が見つかった。対象は9,715人。カードのセキュリティコードやパスワードなどは、同社が取得・保存していなかったため流出対象に含まれないとしている。
ここで数字を混同したくない。約280万人は顧客管理システムに関する人数であり、9,715人はカード情報を含んだ通話録音の対象者数だ。「約280万人分のカード番号が漏れた」という話ではない。また、両者を足して被害者数を計算することもできない。
対象となる通話録音の期間は、2025年9月10日から11月16日、同年12月9日から2026年3月22日、そして2026年8月21日から9月5日。この期間にロート製薬の通販窓口に電話した人は、公式案内を確認しておきたい。
侵入口は通販の電話システムだった
最初の異変が報告されたのは2026年9月10日。ロート製薬が利用する電話システムのサービス事業者から、不審なアクセスがあると連絡が入った。会社は関係するアカウントを停止し、パスワードを変更。9月11日と15日にも調査状況を公表していた。
その後の調査で、電話システムのIDとパスワードが第三者に不正利用されていたことが判明した。攻撃者は電話システムにアクセスしただけではない。そこを経由して、顧客管理システム内の情報まで取得していたという。
電話を受ける仕組みが、顧客データへ通じる入口にもなっていた。今回の事故は、通信販売を支える複数のシステムがどのようにつながっているかを考えさせる。
ロート製薬は被害判明後、電話口でカード番号を聞き取る運用を停止し、書面による支払い手続きに切り替えた。警察への被害申告と個人情報保護委員会への報告も行っている。
ロート通販を利用した人が確認したいこと
ロート製薬は影響を確認できた顧客に、郵送やメールなどで個別に案内している。まずは自分宛てに届いた通知がないか確認しよう。ただし、今回の事故に便乗してロート製薬を名乗る偽メールや不審な電話が届く可能性もある。通知に見えるメッセージのリンクをそのまま開くのではなく、公式サイトから発表をたどる方が安全だ。
カード情報が漏洩した対象者に対しては、2026年9月以降の利用明細を確認するよう同社が求めている。知らない請求があれば、そのメッセージに書かれた連絡先ではなく、カード裏面などに記載された発行会社の公式窓口へ連絡したい。ロート製薬はカード会社と取引の監視を続け、再発行費用を顧客が負担しないようカード会社に依頼している。
カード発行会社のクレディセゾンも11月6日、ロート通販に関連する不審な売上の有無を確認中だと公表し、利用明細の確認を呼びかけた。今回の事故を理由に、暗証番号やパスワードを聞く連絡には応じないでほしい。ロート製薬も、そうした情報の再提供を求めることはないと説明している。
なお、ロート製薬が11月6日時点で把握している範囲では、今回の漏洩に起因する不正利用などの二次被害は確認されていない。「まだ確認されていない」のであって、「今後も起きない」と決まったわけではない。カード明細や不審な連絡への警戒を続けたい。
問い合わせ先と一次情報
ロート製薬の問い合わせ専用ダイヤルは0120-610-654。受付時間は午前9時から午後6時までで、土日祝日も対応する。個別の情報について確認したい場合は、公式窓口を利用できる。
ロート製薬の11月6日付発表には、漏洩情報の範囲やカードに関する対応が記載されている。過去の経緯は公式FAQでも確認可能だ。クレディセゾン利用者は同社の注意喚起も参考になる。
2026年11月7日現在。ロート製薬およびクレディセゾンの11月6日付発表に基づいて記載しています。
コメント