ロート製薬は2026年11月6日、通信販売の電話システムなどへの不正アクセスについて、調査結果を公表しました。顧客管理システムの情報では2,797,545人が漏えい等の対象となり、別の区分として、カード番号と有効期限を含む通話録音の対象者は9,715人としています。ロート製薬の11月6日発表

約280万人全員のカード情報が漏れた、という発表ではありません。まず、顧客情報と通話録音を分けて確認することが大切です。

自分に関係する情報は、どちらの区分か

顧客管理情報の対象2,797,545人と、カード番号・有効期限を含む通話録音の対象9,715人。異なる区分であり人数は合算しません。

顧客管理システム：氏名・住所・電話番号

複数の顧客管理システムで、対象者は2,797,545人。公表された項目は氏名、住所、電話番号ですが、人によっては一部の項目だけです。

電話システム：注文や問い合わせの通話録音

録音の対象期間は、次の3つに分かれています。

  • 2025年9月10日〜11月16日
  • 2025年12月9日〜2026年3月22日
  • 2026年8月21日〜9月5日

このうち、カード番号と有効期限を含む録音の対象者が9,715人です。9,715人は通話録音全体の対象人数ではなく、約280万人と足し合わせて総人数を出せる数字でもありません。対象情報・期間・人数の公式説明

通話の有無や時期だけでは、自分のどの情報が対象かまでは確定できません。ロート製薬は郵送やメール等で個別案内を進めています。届いた案内と公式窓口で確認してください。

カード情報の対象者が確認したいこと

同社がカード情報の漏えい対象として個別に連絡する人には、2026年9月以降の利用明細を確認するよう求めています。身に覚えのない請求があれば、カード裏面にあるカード会社の窓口へ連絡します。

再発行をする場合も、手続き先はカード会社です。ロート製薬は、対象者に再発行費用がかからないようカード会社へ依頼したと説明しています。自分のカードでの扱いは、カード会社に確認してください。カード利用明細と再発行に関する案内

セキュリティコードやパスワード等の認証情報は、同社が聴取・保存していないため今回の不正取得情報に含まれないとしています。ただし、番号と有効期限の漏えいが確認された人は、明細確認やカード会社への相談を省略しないようにしましょう。IPAも、カード情報が漏れた場合は利用停止・再発行の相談と継続した明細確認を案内しています。IPAの対処ガイド

連絡が来たら、メッセージ内だけで手続きしない

ロート製薬のFAQでは、この件への対応を理由に、個人情報や暗証番号、パスワード等を再入力・提供させることはないとしています。ロート製薬のFAQ

たとえば「返金のためにカード情報を入力してください」と届いても、すぐに応じず、公式窓口から確かめましょう。これは注意すべき連絡の例であり、今回その手口の被害が確認されたという意味ではありません。

氏名や住所を相手が知っていても、本物の担当者だと判断できるわけではありません。届いたメール・SMSのリンクや電話番号ではなく、自分で開いた公式サイトの連絡先を使うと、確認の経路を分けられます。情報の種類に応じた対処は、個人情報が漏れたらどうする？ 情報の種類別に確認することと対処法でも整理しています。

何が起きたのか。電話システムから顧客情報へ

同社のFAQによると、9月10日に電話システムのサービス事業者から不審なアクセスの報告を受け、9月15日には顧客管理情報の不正取得を確認しました。電話システムのID・パスワードが不正に使われ、顧客管理情報も電話システムを経由して取得されたと説明しています。公式FAQの経緯・原因

ID・パスワードを第三者がどのように入手したかや、多要素認証の設定状況は、今回確認した公表資料では明らかにされていません。フィッシングや特定製品の脆弱性などを原因と決めつけることはできません。

9月15日の発表では不正取得の「可能性」を調査していましたが、11月6日には取得された情報と人数が示されました。なお、10月16日に完了したとされる外部調査は電話システムに関するものです。個別対応を含めたすべての作業が終了した、という発表ではありません。9月15日の発表／11月6日の発表

通販や問い合わせ窓口を運営する事業者は

この事案から考えたいのは、顧客情報が名簿の画面だけに残るとは限らないことです。電話で聞いた内容は、録音にも残り得ます。同社は電話口でのカード番号の聴取を停止し、書面による支払い手続きに切り替えたと公表しています。

自社の点検では、次の問いを窓口担当者やシステムの管理会社と共有すると、確認の範囲を具体化できます。以下は本誌の一般的な確認例で、同社の未公表の運用を推測したものではありません。

  • 通話録音に、本人確認や決済に使う情報が残っていないか。
  • 録音を聞く・ダウンロードする権限を、誰が持っているか。
  • 電話システムのアカウントから、どこまで顧客情報を見られるか。
  • 保存期間を決め、不要になった録音を削除する運用があるか。

「外部のサービスを使っているか」だけでなく、「何が保存され、誰が取り出せるか」まで確かめることが、見落としを減らす助けになります。

対象確認の窓口と、今後の情報

今回の専用窓口は次のとおりです。

11月6日の発表時点で、同社が把握する限り、この件に起因する不正利用等の二次被害は確認されていません。新たな事実が分かった場合は、個別連絡または公式サイトで知らせるとしています。問い合わせ前には公式発表の最新案内も確認してください。

※2026年11月7日確認。企業サイトのお知らせ一覧では11月6日の発表が最新です。