ロート製薬は2026年9月15日、同社の通信販売で利用しているシステムへの不正アクセスについて、調査状況を公表した。通信販売の顧客対応に利用しているシステムに保存されていた顧客との通話音声データと、これに付随する情報が第三者に不正取得された可能性があるという。同社が利用する顧客管理システムについても、不正アクセスにより情報が取得された可能性があるとしている。件数や対象範囲は調査中である。
9月10日の検知から、公表は二段階で進んだ
ロート製薬が異変を確認したのは2026年9月10日である。通信販売で利用しているシステムにおいて、第三者による不正アクセスの可能性がある事象を検知した。
翌9月11日に公表された第一報は、アクセス制限を含む影響拡大防止の措置を実施し、関係するシステムの確認と影響範囲の調査を進めているという内容にとどまり、何が持ち出されたのかには触れていなかった。主要な業務への影響は確認されていないとしていた。
そこから4日後の9月15日に出たのが、今回の第二報である。ここで初めて、実際に情報が持ち出された可能性があることが明らかにされた。
対象として名指しされたのは「通話音声データ」
第二報が挙げたのは二つの系統である。
ひとつは、通信販売の顧客対応に利用しているシステムに保存されていた、顧客との通話音声データおよびこれに付随する情報。もうひとつは、同社が利用する顧客管理システムに保存されていた情報である。いずれも第三者により不正に取得された可能性がある、という段階の表現にとどまっている。
漏えいの対象として通話音声データが名指しされる事例は多くない。コールセンターの録音には、氏名や連絡先、注文内容といった申込情報だけでなく、通話のなかで顧客が口にした体調や症状の相談、本人確認のやり取りなどが、そのままの声で残っていることがある。項目ごとに整理されたデータベースと違い、そこに何がどれだけ含まれているかは外から読みにくい。
件数も対象者も、まだ確定していない
ロート製薬は現在、外部の専門機関等の協力も得ながら、取得された可能性がある情報の範囲・件数・対象となる顧客、そして個別の顧客への影響について調査を進めているとしている。顧客情報に限らず、同社が保有・管理する情報や、関係するシステムへの影響についても継続して確認中だという。つまり、現時点で公表された数字はない。
同社は、個人情報を含む情報が影響を受けた可能性を踏まえて個人情報保護委員会へ報告し、警察および関係機関と連携して必要な対応を進めるとしている。主要な業務への影響は、現時点では確認されていないという。
「再決済」「返金」を装う連絡への警戒
第二報では、顧客に向けた注意喚起にかなりの分量が割かれている。
同社は、ロート製薬や同社の通信販売を装った不審な電話やSMSの発信、メールや郵便物の送付が行われる可能性があるとして、再決済、本人確認、返金、アカウント確認等を理由にクレジットカード情報や暗証番号、パスワードの入力・提供を求める連絡には決して応じないよう呼びかけた。あわせて、本件への対応を理由に同社からクレジットカード情報や暗証番号、パスワードの再入力を求めることはないと明言している。専用の問い合わせ窓口（0120-610-654、受付時間9時〜18時・土日祝含む）も開設された。
第一報の注意喚起が不審な連絡への一般的な警告だったのに対し、第二報は装われる名目まで具体的に列挙している。対象として通話音声データが挙げられたことと、この踏み込みは無関係ではないだろう。過去に実際に交わした会話の内容を相手が知っていれば、その電話を本物だと信じてしまう可能性は高くなる。
録音データは「守るべき資産」として数えられているか
この事案が突いているのは、顧客情報の棚卸しから抜け落ちやすい領域があるという点である。
個人情報の管理というと、会員データベースや受注システムのレコードが真っ先に思い浮かぶ。一方でコールセンターの録音、チャットのログ、応対メモといった「対応の記録」は、品質管理やクレーム対応のために残されているものであり、個人情報資産の台帳から抜けていることがある。保管場所も基幹システムとは別で、アクセス権限の設計が同じ水準で詰められているとは限らない。
さらに、この種のデータは往々にして長期間積み上がる。削除ルールが定められていなければ、何年分もの音声がひとつの場所に残り続ける。侵入を許したとき、持ち出される量はその蓄積の分だけ大きくなる。
自社が保有しているデータは、どこに、何が、どれだけの期間残っているのか。そこに誰がアクセスできるのか。侵入を受けてから洗い出すのでは、公表できる範囲の確定にも、顧客への説明にも時間がかかる。ロート製薬が件数を示せないまま第二報を公表した状況は、その確定作業の難しさをうかがわせる。
同じ手口に、自社は備えられていますか？