ロート製薬、279万7,545人が漏えい 電話システムのアカウントから顧客管理システムへ 通話録音にカード番号

事案の概要データ

図解：この事故の構造

何が起きたのか

ロート製薬株式会社は2026年11月6日、通信販売の顧客対応に利用するシステムへの不正アクセスについて調査結果を公表しました。2026年9月10日に発覚した事案の、約2か月後の続報です。

顧客管理システムから個人情報が不正に取得されたことが確認され、対象は279万7,545人。含まれるのは氏名・住所・電話番号です（全員に3項目がそろっていたわけではありません）。

さらに、顧客との通話音声データも不正に取得されていました。そのうち9,715人分の録音に、クレジットカード番号と有効期限が含まれていたことが分かっています。セキュリティコードやパスワードは、電話で聞き取りも保存もしていないため対象外とされています。

そして最も重要な判明事項が、侵入経路です。電話システムのアカウント情報が第三者に悪用され、その電話システムを経由して顧客管理システムの情報まで取得された、と公表されました。

「電話システム」から顧客データベースへ——周辺システムが入口になる

この事案で、中小企業がいちばん学ぶべきはここです。狙われたのは、顧客データベースそのものではありませんでした。

入口は、通信販売の問い合わせを受ける電話システムです。コールセンターで使う、着信管理や通話録音の仕組みだと考えてください。

なぜそこから顧客データベースに届くのか。便利にするために、つながっているからです。

電話がかかってきたとき、画面に「○○様／前回のご注文：○月○日」と出る仕組みを入れている会社は多いはずです。そのためには、電話システムが顧客管理システムを参照できる必要があります。その参照権限が、そのまま攻撃者の通り道になりました。

中小企業に置き換えると、同じ構造はいくらでもあります。

・予約システムが顧客台帳を参照している

・会計ソフトが販売管理と連携している

・チャットツールが基幹システムの情報を表示している

・名刺管理アプリが顧客リストと同期している

確認すべきことは3つです。①自社の顧客データを「参照できる」外部ツールを全部書き出す。②それぞれが、どこまでの範囲を見られるか確認する。③連携用のアカウントに多要素認証がかかっているか確認する。

③が特に抜けます。人が使うアカウントには多要素認証を入れても、システム同士をつなぐアカウントは「使えなくなると困る」という理由で素通しのままにされがちだからです。

通話の録音に、カード番号が残っていた

9,715人分の録音にカード番号と有効期限が入っていた——これは、多くの会社に当てはまる話です。

電話で注文を受けるとき、お客様はカード番号を読み上げます。それが録音されます。録音は「音声ファイル」であって、顧客データベースではありません。だから、個人情報の管理の対象から外れやすい。

考えてみてください。自社に、こういうものはありませんか。

・電話の自動録音データ（クレーム対応のために残している）

・オンライン会議の録画（商談で口座番号や住所を話していないか）

・問い合わせフォームの添付ファイル（本人確認書類の写真）

・FAXの受信画像（申込書にカード番号が書かれている）

どれも「個人情報が入ったファイル」ですが、台帳には載っていません。

ロート製薬は再発防止として、電話口でのクレジットカード番号の聴取そのものを停止しました。これは本質的な対策です。聞かなければ、録音にも残りません。

中小企業が同じ考え方でできることを挙げます。

1. 電話でカード番号を聞くのをやめる。 決済代行会社のリンク（SMSやメールで送る決済URL）に切り替えれば、自社は番号に触れません。

2. 録音の保存期間を決める。 「3か月で自動削除」のように。クレーム対応のために残すなら、その期間だけで足ります。

3. 録音データの置き場所にアクセス制限をかける。 全社員が聞ける状態になっていませんか。

「可能性がある」から「確認された」へ——続報で何が変わったか

経緯を時系列で見ると、公表の作法が見えてきます。

2026年9月10日、電話システムの提供事業者から不審なアクセスの報告を受けて発覚。9月14日に警察へ被害申告、9月15日に個人情報保護委員会へ報告し、同日の第2報では「顧客管理システムから情報を取得された可能性がある」としていました。件数も情報項目も、この時点では出ていません。

10月16日に外部専門機関の調査が完了し、11月6日に調査結果として「不正取得を確認」「279万7,545人」「侵入経路は電話システムのアカウント」が公表されました。

ここが実務のポイントです。第1報・第2報では、分からないことを「分からない」と書いてよい。 むしろ、早い段階で件数を断定すると、あとで訂正することになります。本サイトでは2026年11月のアララの事案でも、第2報・第3報で件数が変わった例を扱っています。

なお、2026年9月14日には、サイバー犯罪フォーラムで約4TBのデータを取得したと主張する投稿がありました。攻撃者の主張は、企業が確認した事実とは別物です。「攻撃者がこう言っている」と「会社が確認した」を混ぜて報じると、数字が独り歩きします。 本サイトでは、この2つを常に分けて記載する方針を取っています。

時系列で見る経過

• 2025年9月10日〜2026年9月5日不正取得された通話録音の対象期間（3つの期間に分かれる）
• 2026年9月10日電話システムの提供事業者から不審なアクセスの報告を受け発覚。関係アカウントの利用停止、パスワード変更を実施
• 2026年9月11日通信販売システムへの不正アクセスを公表（初報）
• 2026年9月14日警察へ被害申告。同日、サイバー犯罪フォーラムで約4TB取得を主張する投稿が確認される
• 2026年9月15日第2報を公表。通話音声・顧客管理情報が不正取得された可能性。個人情報保護委員会へ報告
• 2026年10月16日電話システムに関する外部専門機関の調査が完了
• 2026年11月6日調査結果を公表。279万7,545人、カード番号を含む録音の対象9,715人、侵入経路は電話システムのアカウント

中小企業が学ぶべきポイント

1. 入口は顧客データベースではなく、通信販売の電話システムだった。周辺システムが本体への通り道になる。
2. 電話システムが顧客管理システムを参照できる設定が、そのまま攻撃者の経路になった。
3. 自社の顧客データを参照できる外部ツールを全部書き出し、見られる範囲と多要素認証の有無を確認する。
4. システム同士をつなぐアカウントは「止まると困る」という理由で多要素認証が抜けがち。
5. 通話録音にカード番号が残っていた。録音・録画・FAX画像は台帳に載らない「個人情報が入ったファイル」。
6. 再発防止として電話口でのカード番号の聴取を停止した。聞かなければ録音にも残らない。
7. 電話でカード番号を聞くかわりに、決済代行会社の決済URLをSMSやメールで送る方法に切り替える。
8. 録音の保存期間を決め、置き場所にアクセス制限をかける。
9. 第1報・第2報では「分からない」と書いてよい。早く断定すると、あとで訂正することになる。
10. 攻撃者の「4TB取得した」という主張と、会社が確認した事実は分けて読む。

出典・参考

• ロート製薬、サイバー攻撃で279万7,545人の個人情報漏えい、クレカ番号も一部漏洩-電話システムの認証情報を悪用（セキュリティ対策Lab・2026年11月6日）
• ロート製薬、ECサイトへの不正アクセスで通販顧客の通話音声・顧客管理情報が不正取得された可能性（セキュリティ対策Lab・2026年9月15日）