ロート製薬、委託先の電話システム経由で不正アクセス。顧客情報最大約280万件流出、通話音声からクレカ情報も

ロート製薬は11月6日、通信販売の顧客対応で利用する電話システムと顧客管理システムへの不正アクセスにより、顧客情報が漏えいしたと発表した。

顧客管理システムに保存していた顧客情報は279万7545人。電話システムに保存した通話音声データも不正に取得され、そのうち9715人分にはクレジットカード番号と有効期限が含まれていた。カードのセキュリティコードやパスワードなどの認証情報は、今回取得された情報に含まれていないとしている。ロート製薬は9月に、不正アクセスの発生を公表していた。

ロート製薬は9月10日、通信販売で利用する電話システムのサービス事業者から、不審なアクセスがあったとの報告を受けた。関係するアカウントの利用停止やパスワード変更など、被害拡大を防ぐ措置を講じ、外部の専門機関と調査を開始。その後の調査で、第三者が電話システムのアカウント情報を不正に利用して同システムにアクセスし、さらに電話システムを経由して顧客管理システムの情報を取得したことが判明した。

9月11日に不正アクセスを受けた可能性があることを公表し、同15日に通話音声など顧客情報の漏えいの可能性について公表。今回、漏えいした情報の内容や件数などを発表した。

顧客管理システムから不正に取得された情報は、氏名、住所、電話番号。対象となった279万7545人のうち、漏えいした情報の種類は顧客によって異なる。また、電話システムからは、商品に関する問い合わせや注文内容など、通信販売に関する通話音声データが不正に取得された。

通話音声データの対象期間は、2025年9月10日から同年11月16日まで、同年12月9日から2026年3月22日まで、2026年8月21日から同年9月5日までの3期間。このうち9715人分の通話音声には、クレジットカード番号と有効期限が含まれていた。

ロート製薬は、電話でセキュリティコードやパスワードなどの認証情報を聞き取っておらず、取得・保存もしていない。そのため、これらの情報は不正取得されたデータに含まれていないとしている。

漏えい対象となる顧客に対し、郵送やメールなどで個別に連絡。9月14日に所轄警察署へ被害を申告し、9月15日には個人情報保護委員会へ報告した。また、電話システムに関する外部専門機関の調査は10月16日に完了したという。

今回の事案による不正利用などの二次被害は確認されていないとしている。ロート製薬は、クレジットカード情報が漏えいした対象者に対し、2026年9月以降の利用明細を確認し、身に覚えのない請求があればカード会社へ連絡するよう呼びかけている。

また、事案に便乗したなりすましメールやフィッシング詐欺の可能性があるとして、不審な電話、メール、SMSなどで個人情報や暗証番号、パスワードの入力・提供を求められても応じないよう注意を促している。メールなどに記載されたURLへのアクセスや、添付ファイルの開封も控えるよう呼びかけている。

不正アクセスの原因については、アカウント情報が不正利用された経緯など、侵入に至った詳細を公表していない。

ロート製薬は「今回の事態を厳粛に受け止め、再発防止のための対策を講じる」と説明。再発防止に向けては、関係するアカウントのパスワードを一斉に変更したほか、電話口でクレジットカード番号を聞き取る運用を停止し、書面による支払い手続きに切り替えた。