ロート製薬は2026年11月6日、通信販売の顧客対応に使う電話システムへの不正アクセスで、顧客279万7,545人分の氏名・住所・電話番号が漏えいしたと発表しました。あわせて、9,715人分のクレジットカード番号と有効期限を含む通話音声データも取得されています。前半では、どちらの対象に入ると何をすればよいか、本物の問い合わせ先はどれかを公式発表から整理する構成です。後半は開発者向けに、電話システムのアカウントから顧客管理システムへ届いた経路の考え方と、応対メモに残ったカード番号を見つけて伏せるコードを、実行結果つきで示します。
まとめ：ロート製薬の不正アクセスで漏えいした279万人分の項目と、通販利用者が今日やること
ロート製薬の11月6日の発表によると、電話システムのアカウント情報が第三者に不正利用され、そのシステムを経由して複数の顧客管理システムの情報も取得されました。セキュリティコードやパスワードは聴取も保存もしていないため、漏えいの対象に入っていません。現時点で二次被害は確認されていないとしています。
通販を使ったことがある人が今日やることは2つです。ロート製薬を名乗る電話・SMS・メール・郵便物に応じないこと、そしてカード払いで電話注文をした人は2026年9月以降の利用明細を確かめることです。
| 項目 | 公表内容（2026年11月6日時点） |
|---|---|
| 侵入の入口 | 通販の顧客対応に使う電話システムのアカウント |
| 顧客管理システム | 279万7,545人（氏名・住所・電話番号） |
| 通話音声データ | カード番号と有効期限を含む9,715人 |
| 対象外 | セキュリティコード・パスワード |
| 発覚 | 2026年9月10日（電話システムの事業者が報告） |
| 専用ダイヤル | 0120-610-654（9時〜18時・土日祝も） |
ロート製薬の通販利用者が確かめること：漏えい項目、カード明細、専用ダイヤル
顧客管理システムの279万7,545人と通話音声の9,715人、2つの対象の違い
漏えいは2つの系統に分かれます。1つは複数の顧客管理システムにあった氏名・住所・電話番号で、対象は279万7,545人です。項目は人によって違い、一部の項目だけの人もいます。
もう1つは電話システムに保存されていた通話音声で、商品の問い合わせや注文内容など通販に関する会話です。対象の録音は2025年9月10日から2026年9月5日までのうち、次の3つの期間に記録されたものです。
- 2025年9月10日〜11月16日
- 2025年12月9日〜2026年3月22日
- 2026年8月21日〜9月5日
この期間に電話で注文し、オペレーターにカード番号を伝えた人が、9,715人の対象に入る可能性があります。ロート製薬は対象者に郵送やメールで順に連絡するとしています。問い合わせが多い時期なので、届く前に確かめたいときは専用ダイヤルを使ってください。
カード番号と有効期限が漏れた9,715人が確かめる2026年9月以降の明細
漏れたのはカード番号と有効期限で、裏面のセキュリティコードは含まれていません。とはいえ、セキュリティコードを求めない加盟店や、電話でのなりすましに使われるおそれは残ります。2026年9月以降の利用明細を見て、身に覚えのない請求があればカード裏面のカード会社へ連絡してください。
ロート製薬はカード会社と連携して不正利用の監視を続けており、カードの再発行費用を利用者に負担させないようカード会社に依頼したと書いています。再発行を希望する場合も、まずカード会社に今回の件を伝えて相談するのが早道です。
ロート製薬を名乗る電話・SMSを見分ける、0120-610-654と専用フォーム
本件の問い合わせ先は、お問い合わせ専用ダイヤル0120-610-654（9時〜18時・土日祝も受付）と、専用お問い合わせフォームです。フォームは10月22日に開設されました。
ロート製薬は、本件を理由に暗証番号やパスワードの入力を求めることはないと明言しています。再決済、本人確認、返金、アカウント確認を口実にカード情報を聞かれたら、偽物と判断して構いません。今回は通話音声も漏れているため、過去の注文内容を言い当てる電話が来るおそれがあります。注文履歴を知っていることは本物の証拠になりません。いったん切って、自分から専用ダイヤルにかけ直してください。偽の連絡が成り立つ仕組みはフィッシング詐欺の成立の仕組みと技術的対策で解説しています。
公式発表で追う経過：9月10日の事業者からの報告から11月6日の確定報告まで
ロート製薬の発表と、その中で示された日付を並べると次のとおりです。
- 9月10日：電話システムのサービス事業者から不審なアクセスの報告を受け、関係アカウントの停止とパスワード変更を実施
- 9月11日：第一報で、通販のシステムに不正アクセスの可能性がある事象を確認したと公表
- 9月14日：所轄の警察署に被害を申告
- 9月15日：続報で、通話音声データと顧客管理システムの情報が取得された可能性を公表。同日、個人情報保護委員会に報告
- 10月16日：電話システムに関する外部の専門機関の調査が完了
- 10月22日：専用お問い合わせフォームを開設
- 11月6日：279万7,545人と9,715人の漏えいを確定として公表
第一報・続報・確定報告で変わった言い方と、攻撃者側の主張との距離
第一報は「可能性がある事象」で、対象のシステム名も出していませんでした。続報で「取得された可能性」に進み、通話音声と顧客管理システムが名指しされています。確定報告では「可能性」が消え、件数と項目と期間が加わりました。
9月には、攻撃者を名乗る人物が海外の掲示板で約4TBのデータ取得を主張したと報じられました。ロート製薬の発表はこの主張に触れておらず、公表した件数とも対応づけていません。続報を読むときは、会社が確定させた数字と、攻撃者側の主張を分けて扱ってください。
個人情報保護委員会への報告期限と、確定まで約2か月かかった理由
不正アクセスによる漏えいは件数にかかわらず報告の対象で、速報は把握から3〜5日以内、確報は不正の目的によるおそれがある場合60日以内です。ロート製薬は9月10日に報告を受け、15日に速報を出しています。11月6日の公表は60日の期限の手前にあたります。
時間がかかった理由について、ロート製薬は影響範囲の調査と個別対応に時間を要したと説明しています。顧客管理システムが複数あり、人ごとに漏れた項目が違うため、名寄せと連絡先の特定に手間がかかったと読めます。速報と確報に書く内容は個人情報保護委員会への報告義務の実務で整理しました。
開発側の作業：電話システムのアカウントから顧客管理システムへ届く経路を断つ設計
コールセンターの電話システムが顧客管理システムを引ける連携の構造
ここからはロート製薬の事案を離れた一般論です。同社は電話システムの製品名も、顧客管理システムへ届いた連携の方式も公表していません。
通販のコールセンターでは、着信と同時に発信者番号で顧客を引き当て、オペレーターの画面に注文履歴を出す仕組みが広く使われています。CTIと呼ばれる連携で、電話システムが顧客管理システムを読む権限を持つ形になりやすい点が弱みです。電話システムのアカウントが1つ奪われると、その権限で顧客情報を引けてしまいます。仕組みはCTIの仕組みとCRM連携の前提、応対履歴の持たせ方はコールセンター向けCRMの機能と選び方で解説しています。
正規のアカウントを使った侵入は、MITRE ATT&CKのT1078（Valid Accounts）に分類されます。正規の操作と見分けにくく、脆弱性を突く攻撃より発見が遅れがちです。今回も、気づいたのはロート製薬ではなく電話システムの事業者でした。事業者のサービスを経由した同型の事案はプレステージ・インターナショナルの不正アクセスで、委託先に求める監督の範囲は委託先管理のチェックリストと契約条項で扱っています。
応対メモと文字起こしに残ったカード番号をLuhn検査で探して伏せるコード
通話音声にカード番号が入ると、その録音を文字起こししたテキストや、オペレーターが打った応対メモにも番号が写りやすくなります。次のコードは標準ライブラリだけで動き、全角数字や区切りのハイフンを正規化したうえで13〜19桁の数字列を拾い、Luhnのチェックディジットが合うものだけを末尾4桁を残して伏せます。
# 通話の文字起こし・応対メモからカード番号らしき数字列を探して伏せる（Python 3.8以上・標準ライブラリのみ）
# 使い方: python pan_redact.py
import re
import unicodedata
# 文字起こし・応対メモの例（実運用ではCRMの応対履歴や録音の文字起こしを書き出して読む）
NOTES = [
("T-001", "定期便の追加。カードは ４１１１ １１１１ １１１１ １１１１ 、期限は28年12月とのこと"),
("T-002", "注文番号 2026-0905-1234-5678 の配送日を変更したいとの問い合わせ"),
("T-003", "折り返し先 0120-610-654、カード番号 5555-5555-5555-4444 で再決済を希望"),
("T-004", "定期便の解約。カード情報は聞いていない"),
]
# 数字の間に空白・ハイフンが入っても拾う（13〜19桁）
CANDIDATE = re.compile(r"(?:\d[ -]?){12,18}\d")
def luhn_ok(digits):
# カード番号の末尾1桁はLuhnのチェックディジット。注文番号などの誤検知を減らす
total = 0
for i, ch in enumerate(reversed(digits)):
n = int(ch)
if i % 2 == 1:
n *= 2
if n > 9:
n -= 9
total += n
return total % 10 == 0
def redact(text):
text = unicodedata.normalize("NFKC", text) # 全角の数字と空白を半角にそろえる
hits = []
def repl(m):
digits = re.sub(r"\D", "", m.group())
if 13 <= len(digits) <= 19 and luhn_ok(digits):
hits.append(digits[-4:])
return "[CARD ****" + digits[-4:] + "]"
return m.group()
return CANDIDATE.sub(repl, text), hits
found = 0
for note_id, body in NOTES:
masked, hits = redact(body)
found += len(hits)
print("HIT " if hits else "ok ", note_id, masked)
print("[total]", found, "card numbers masked in", len(NOTES), "notes")Python 3.14.10（Windows）で実行した結果です。カード番号は国際ブランドが公開しているテスト用の番号です。
$ python pan_redact.py
HIT T-001 定期便の追加。カードは [CARD ****1111] 、期限は28年12月とのこと
ok T-002 注文番号 2026-0905-1234-5678 の配送日を変更したいとの問い合わせ
HIT T-003 折り返し先 0120-610-654、カード番号 [CARD ****4444] で再決済を希望
ok T-004 定期便の解約。カード情報は聞いていない
[total] 2 card numbers masked in 4 notesT-001は全角で書かれた番号も拾えています。T-002の注文番号は16桁ですが、チェックディジットが合わないので残りました。T-003の電話番号は10桁なので対象外です。
限界もあります。「よんいちいちいち」のように読みで書かれた番号や、録音そのものの音声は、このコードでは拾えません。既存のデータを洗う作業は一度きりの後始末と考え、本筋は次の章のように番号を録音に入れない運用へ寄せてください。取り込みの前段に置く場合は、伏せる前の原文を別の場所に残さないことも確かめます。
電話システムの管理アカウントを守る多要素認証・接続元制限・ログの点検
電話システムはクラウドで提供される製品が多く、管理画面にインターネットからログインできる場合があります。JPCERT/CCの国内組織の不正アクセスに関する注意喚起は、2026年9月前後に国内で漏えいが相次いだとして、利用地域が限られるサービスでの接続元の地域制限、管理機能のインターネット公開の停止、保存期間を過ぎたデータの削除を挙げています。
電話システムで先に確かめる項目は、優先度の高い順に次の4つです。
- 管理者とオペレーターのアカウントに多要素認証が必須になっているか
- 管理画面とAPIへの接続元を、拠点と在宅のVPNの出口に絞れるか
- 退職者・委託終了者のアカウントと、連携用のAPIキーが残っていないか
- ログインと録音のダウンロードのログを、自社でも見られる契約になっているか
4つ目は見落とされがちです。録音を一度に大量に書き出す操作は、正規のアカウントでも異常の手がかりになります。ログを事業者しか見られない契約では、今回のように事業者からの連絡を待つしかありません。多要素認証の方式の選び方は多要素認証（MFA）の実装方式、正規アカウントでのファイル大量取得をログで追う手順はサントリーの不正アクセスとM365監査ログの調べ方で、APIキーの失効とレート制限はAPI不正アクセス対策の実装手順で扱っています。
事業者の判断：電話でカード番号を受ける通販事業者が運用を変える条件
電話口のカード番号聴取をやめ、録音からカード情報を外す判断の基準
ロート製薬は再発防止策として、電話口でのカード番号の聴取をやめ、書面での支払い手続きに切り替えました。録音に番号が入らなければ、電話システムが破られても9,715人にあたる被害は生じません。
カード業界の基準もこの方向です。PCI SSCの電話決済のガイダンス（v3.0・2018年11月）は、セキュリティコードなどの認証データを録音したなら承認後に復元できない状態にすること、カード番号が残る録音は他のカード情報と同じ水準で守ることを求めています。対策として、カード番号を話す間だけ録音を止める方式や、プッシュボタンで番号を入れさせて音を消す方式（DTMFマスキング）を挙げています。基準の全体はPCI DSSの12要件と準拠レベルで整理しました。
次の条件のどれかに当てはまる通販事業者は、電話でのカード番号の聴取をやめるべきです。電話注文がカード払いの1割未満であること、通話を全件録音していて録音の保存期間が1年を超えること、電話システムが顧客管理システムを読む権限を持っていることが該当します。逆に、高齢の顧客が多く電話注文が売上の柱になっている場合は、聴取をやめるより、番号部分だけをプッシュボタン入力に切り替えて録音から外すほうが現実的です。どちらの場合も、過去の録音と応対メモに残った番号の棚卸しは別に要ります。
電話システムと顧客管理システムの連携、録音の保存先に同じ弱点が残っていないかを第三者に確かめてもらいたいなら、脆弱性診断・セキュリティ診断で相談できます。
よくある質問
ロート製薬の不正アクセスについて、通販の利用者から出やすい質問をまとめました。
ロート製薬の不正アクセスで自分が対象か確かめる方法はありますか？
ロート製薬は対象者に郵送やメールで順に連絡するとしています。届く前に確かめたい場合は、お問い合わせ専用ダイヤル0120-610-654（9時〜18時・土日祝も受付）か、公式サイトのお知らせに載っている専用お問い合わせフォームを使ってください。届いたメールやSMSのURLからは確かめないでください。
ロート製薬からの漏えいで、クレジットカードは止めたほうがいいですか？
カード番号が漏れた対象は、電話でカード番号を伝えた9,715人です。ネット注文だけの人の番号は、公表された漏えいの対象に入っていません。対象の通知が来た人や電話で番号を伝えた覚えがある人は、2026年9月以降の明細を確かめたうえで、カード会社に再発行を相談してください。費用はロート製薬がカード会社に負担させないよう依頼しています。
ロート製薬の不正アクセスの原因は何ですか？
電話システムのアカウント情報が第三者に不正利用され、そのシステムに入られたことが確認されています。顧客管理システムの情報も、電話システムを経由して取得されました。アカウント情報がどのように第三者に渡ったか、電話システムの製品名や事業者名は、11月6日時点で公表されていません。
ロート製薬を名乗る電話が本物か見分けるにはどうすればいいですか？
ロート製薬は本件を理由に暗証番号やパスワードを求めることはないとしています。カード情報を聞かれたら偽物と考えてください。通話音声が漏れているため、過去の注文内容を言い当てられても本物とは限りません。いったん切り、自分から0120-610-654にかけ直してください。
パスワードの変更は必要ですか？
ロート製薬はパスワードを聴取・保存していないため、漏えいの対象に入っていないとしています。ただし、通販サイトと同じパスワードをほかのサービスでも使い回しているなら、この機会に別々のものへ変えておくと安全です。変更は公式サイトに自分でアクセスして行ってください。
関連記事
- プレステージ・インターナショナル不正アクセス：最大550万件・日産FSと損保ジャパンの対象確認とカード番号3件・認証失効の設計：外部のサービス事業者を経由した同型の漏えい
- サントリーの不正アクセスで約10万人分漏えい｜M365のファイル大量ダウンロードを監査ログで調べる手順：正規の認証情報を悪用した侵入の調べ方
- API不正アクセス対策の実装手順：JPCERT注意喚起に沿うレート制限・認可・トークン失効とアプリ解析・SSRF対策：連携用APIキーの失効と権限の絞り方
- 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務：漏えい時に事業者が報告する内容と期限
- 不正アクセスの調べ方｜ログの確認方法と痕跡を見つけるコマンド例：侵入の痕跡をログから追う手順
