ロート製薬は11月6日、通信販売の電話対応に使うシステムなどが第三者の不正アクセスを受け、顧客279万7545人分の氏名、住所、電話番号が不正に取得されたと発表した。通話の録音データも取得され、そのうち9715人分にはクレジットカード番号と有効期限が含まれていた。同社は対象者へ郵送やメールなどで個別に案内しており、発表の時点で二次被害は確認していないという。

取得された情報は顧客名簿と通話録音の2系統

同社の発表によると、不正に取得された個人データは2つのシステムにまたがる。

1つ目は顧客管理システムだ。同社が使う複数の顧客管理システムに保存されていた情報のうち、対象となった客は279万7545人にのぼる。項目は氏名、住所、電話番号で、人によっては一部の項目だけの場合がある。

2つ目は電話システムで、取得されたのは通話音声そのものである。商品の問い合わせや注文内容など、通信販売に電話をかけた客と同社とのやり取りが録音されていた。時期は2025年9月10日から2026年9月5日までのうち、3つの期間に当たる。2025年9月10日〜11月16日、2025年12月9日〜2026年3月22日、2026年8月21日〜9月5日だ。

このうち一部の録音に、クレジットカード番号と有効期限が含まれていた。対象は9715人である。同社は電話口でカード番号を聞く運用をとっており、再発防止策の中でこの聴取を停止したと説明している。一方で同社は、セキュリティコードとパスワードなどの認証情報は電話で聞いておらず、取得も保存もしていないため、今回の取得分には含まれないとしている。

事業者の報告で発覚、人数の公表まで57日

発端は9月10日だった。通信販売で使う電話システムのサービス事業者から、不審なアクセスがあるとの報告を受けた。同社はアカウントの利用停止やパスワードの変更などを実施し、外部の専門機関による調査を始めた。

公表は3段階で進んだ。9月11日の第1報は「不正アクセスの可能性」にとどめ、影響範囲は調査中とした。9月15日の第2報では、通話音声データとこれに付随する情報、顧客管理システムの情報が取得された可能性があると説明した。人数と項目を示したのは11月6日の今回が初めてで、事業者の報告から57日がたっている。同社は、十分な情報を届けるまでに時間を要したとして謝罪した。

原因について同社は、電話システムのアカウント情報が第三者に不正に利用され、そこから同システムへ侵入されたと説明している。顧客管理システムの情報も、電話システムを経由して取得された。電話システムに関する外部機関の調査は10月16日に完了している。アカウント情報がどのように第三者へ渡ったのか、発表には書かれていない。

同社は9月14日に所轄の警察署へ被害を申告し、15日に個人情報保護委員会へ報告した。個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えいが起きた場合に、委員会への報告と本人への通知を事業者に義務づけている。同法の施行規則は、本人の数が1000人を超える場合や、不正の目的によるおそれがある場合をその対象とする。報告の時期は、事態を知った後「速やかに」としたうえで、不正の目的によるおそれがある事案は60日以内に内容をそろえて報告するよう定める。

録音の中のカード番号、業界指針の「非保持化」では例外

今回の特徴は、カード番号が決済のデータベースではなく、通話の録音から取得された点にある。

割賦販売法第35条の16は、クレジットカード番号を取り扱う販売業者などに、漏えいの防止など適切な管理のための措置を義務づけている。この実務の指針となるのが、クレジットカード・セキュリティガイドラインだ。日本クレジット協会が公開するFAQ（6.0版）によると、加盟店に求める「非保持化」は、自社の機器やネットワークでカード情報を保存、処理、通過させないことを指す。

ただしFAQは、この定義の例外を挙げている。紙の伝票やメモ、紙をスキャンした画像に加え、「電話での通話記録（音声データを含む）」にカード情報を保存する場合である。カード情報を保持する加盟店にはPCI DSS（カード業界の国際的な安全基準）への準拠が求められる。FAQは紙の媒体での保存について「保持とはならない」としたうえで、PCI DSSや個人情報保護法などを参考に「自社の情報管理基準で保護を図ってください」と書いている。

通話録音は、指針の「非保持化」の定義では例外の位置にある。ロート製薬が指針上どの区分の加盟店だったのか、録音をどのように管理していたのかは、発表からは分からない。

同社は再発防止策として、関係するパスワードを一斉に変更したほか、電話口でカード番号を聞くことをやめ、書面による支払い手続きへ運用を改めた。

対象者へ個別に案内、不審な連絡に注意呼びかけ

同社によると、対象者には郵送やメールなどで順次、個別に案内してきた。案内にはおわびのほか、その人に関係する情報と必要な対応が書かれている。

カード情報の対象者に対しては、2026年9月以降の利用明細に身に覚えのない請求が無いかを確認するよう求めた。身に覚えのない請求があれば、カード裏面に書かれたカード会社へ連絡する。同社はカード会社と連携して該当カードの取引の監視を続けており、再発行の費用を客に負担させないようカード会社に依頼した。再発行を望む場合は、カード会社へ連絡する手順になる。

同社は、なりすましメールやフィッシング詐欺が起きる可能性があるとして、不審な電話、メール、SMS、郵便物に応じないよう呼びかけている。この件を理由に、同社が暗証番号やパスワードの入力を求めることは無いという。問い合わせは専用ダイヤル（0120-610-654、午前9時〜午後6時、土日祝日も受け付け）と専用フォームで受ける。

企業の大規模な流出は、この秋に続いている。発表の規模を並べると次のようになる。単位と確定の度合いは各社の公表のとおりで、横並びで比べられる数字ではない。

公表日 企業 公表された規模 カード情報
10月30日 松屋フーズホールディングス 237万7127件（注文の利用者） 保持していない
10月31日 クラブツーリズム 約432万件（ネット会員、漏えいの可能性） 含まれない
11月5日 SMBCコンシューマーファイナンス 最大32万118名 対象項目に記載なし
11月6日 ロート製薬 279万7545人 9715人分
各社が公表した不正アクセスによる情報流出の規模出典: 松屋フーズホールディングス、クラブツーリズム、SMBCコンシューマーファイナンス、ロート製薬の公表資料

個別の経緯は松屋アプリに不正アクセス、注文利用者237万件の住所・氏名漏えい　アプリは停止続く、クラブツーリズム情報漏えい、ネット会員432万件　同社装う不審メールに注意　24年にも不正アクセス、SMBCコンシューマーファイナンス、最大32万人の情報漏えい　提携ローンの保証システムに不正アクセスにある。

警察庁も同じ6日、2026年1月1日以降に被害が確認された、企業などを狙う大規模な個人情報の流出事案について、長官の指示を出したと発表した。関東管区警察局と各都道府県警察が合同で捜査し、同局のサイバー特別捜査部に合同捜査本部を置く。資料に個別の企業名は無く、ロート製薬の件が対象に入るかどうかは書かれていない。

録音された人の総数は示されていない

ロート製薬は、カード再発行の費用を客に負わせない手当てをし、電話でのカード番号の聴取もやめた。被害を客に回さない対応として、この2点は具体的だ。

一方で、利用者が自分の被害を判断するのに要る数字が1つ欠けている。今回の発表は、カード番号を含む録音の対象者を9715人と示したが、録音を取得された人の総数は書いていない。同社は通話の内容を「商品に関するお問い合わせ、ご注文内容その他」と説明しており、名簿の3項目より範囲が広い。自分の声と話した内容が取得されたのかどうかは、読者が最も知りたい点の一つである。279万7545人と9715人がどれだけ重なるのかも示されていない。

取得された情報の種類が名簿と音声の2つに分かれる以上、会社が負うべき説明も2つある。結果に責任を負う立場からは、音声を取得された人の総数と、録音を何日保存していたのかを示すべきではないか。同社は、新たな事実が判明すれば個別の連絡かウェブサイトで知らせるとしている。