ロート製薬で279万7545人の個人情報流出、通話音声にカード情報も

ロート製薬の通信販売で利用するシステムへの不正アクセスにより、279万7545人分の個人情報が流出しました。一部の顧客の通話音声データには、クレジットカード情報も含まれていました。

電話システムのアカウントが不正利用

第三者は、通信販売の顧客対応に使われていた電話システムのアカウント情報を使い、不正アクセスを行いました。複数の顧客管理システムに保存されていたデータが流出し、対象には氏名、住所、電話番号などが含まれます。流出した項目は顧客によって異なります。

不正アクセスによる情報流出の可能性は2026年9月に判明し、ロート製薬は9月14日に警察へ被害を申告、翌15日に個人情報保護委員会へ報告しました。外部の協力を得て調査を進めており、影響の範囲や対象情報を引き続き調べる方針です。

9月15日時点では、顧客との通話音声データと、それに付随する情報が不正に取得された可能性を調査していました。ロート製薬は関係するシステムに影響拡大を防ぐ措置を講じ、顧客情報以外の保有・管理情報や関連システムへの影響も調査していました。

通話録音に含まれるカード情報の保存ルール

クレジットカード情報を保護する国際的なセキュリティ基準「PCI DSS」は、カード情報の保存ルールを定めています。電話決済でも、カード番号と、カード券面に印字された3桁または4桁のセキュリティコードでは、保存要件が異なります。

カード番号を保存する場合は、読み取れない状態にする保護措置が必要です。一方、本人確認に使われるセキュリティコードは「機密認証データ」に当たり、取引承認後の保存は禁止されています。

この制限は、文字で記録された情報だけでなく、会話を録音した音声ファイルにも適用されます。顧客が読み上げたセキュリティコードが録音に残り、取引承認後も保持されていれば、禁止対象の保存に該当します。録音を暗号化しても、セキュリティコードの保存は認められません。

録音への混入を防ぐ方法には、カード情報を入力する間だけ録音を停止する機能や、録音後に該当部分を編集・削除する仕組みがあります。録音を避けられない場合は、取引承認後に機密認証データを復元できない状態まで消去する必要があります。

再決済や返金を装う連絡への対応

ロート製薬は、今回の件に関連して、同社や通信販売窓口を装った電話、メール、SMS、郵便物が送られる可能性があるとして注意を呼びかけています。同社が今回の対応を理由に、クレジットカード情報、暗証番号、パスワードの再入力や再申告を求めることはありません。

個人情報の流出に伴う二次被害には、実在する企業や金融機関を装い、偽のサイトへ誘導してカード情報などを盗む「フィッシング詐欺」があります。「アカウントが停止される」「至急確認が必要」と対応を急がせたり、電話で暗証番号や認証コードを聞き出したりする手口もあります。

カードが手元にあっても、番号を不審なサイトなどに入力すると不正利用につながるおそれがあります。身に覚えのない請求への対応には、カード会社への支払いや利用停止、再発行に関する相談があり、利用先や金額を通知するサービスを提供するカード会社もあります。

漏えいの通知自体が偽装される場合もあり、正規の案内かどうかを確かめる手段には、企業の公式サイトや公式アプリがあります。不正利用が疑われる場合は、利用明細や取引履歴に加え、不審なメールなどの記録も確認・保存の対象です。

専用窓口と問い合わせフォームを設置

ロート製薬は今回の件に関する専用問い合わせ窓口を設けています。電話番号は0120-610-654で、受付時間は土日祝日を含む9時から18時までです。10月22日には専用問い合わせフォームも開設しました。