- 重要度
- 重要度：5段階中5 2,797,545人
- 公表日
- 2026.11.06
- 原因の分類
- 認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- 通販の電話システムへの不正アクセスで、顧客2,797,545人分の情報が漏えいした
- 電話システムのアカウント情報が第三者に不正利用されたことが原因と確認された
- 不審な連絡に応じず、対象者はカードの利用明細を確認する
ロート製薬は、通信販売で使う電話システムのアカウント情報が第三者に不正利用され、電話システムと顧客管理システムに不正アクセスがあったと公表した。顧客管理システムからは、2,797,545人の氏名・住所・電話番号などが不正に取得された。一部の通話音声データには9,715人分のクレジットカード番号と有効期限が含まれていた。現時点で二次被害は確認されていない。
確認された経路・公表元の推定
- 2026年9月10日、通信販売で使う電話システムのサービス事業者から不審なアクセスがあるとの報告を受けた
- 関係するアカウントの利用停止とパスワード変更を行い、外部の専門機関による調査を開始した
- 電話システムのアカウント情報が第三者に不正利用され、同システムに不正アクセスされた
- 電話システムを経由して、顧客管理システムから顧客情報が不正に取得された
- 2026年9月14日に所轄警察署へ被害を申告し、9月15日に個人情報保護委員会へ報告した
- 2026年10月16日に電話システムに関する外部専門機関の調査が完了した
- 2026年11月6日に本件を公表した
根拠の要点
公表元は、電話システムのアカウント情報の不正利用を確認済みの原因として説明している。顧客管理システムの情報は、電話システムを経由して不正に取得されたとしている。アカウント情報がどのように第三者に渡ったかは書かれていない。
資料の基準時点：2026年11月6日公表の資料（取得日2026-11-09）
当時、対策できたのか
判定保留
資料は、電話システムのアカウント情報が第三者に不正利用されたことを確認したと説明している。一方で、そのアカウントの認証方法や攻撃時点の防御設定は書かれていない。対策の欠落も発覚時の未発見も判断できない。
公表された対策
- 関係するアカウントのパスワードを一斉変更するなどの緊急措置を実施した
- 電話口でのクレジットカード番号の聴取を停止し、書面による支払い手続きへ運用を見直した
- 漏えい対象のクレジットカードについて、カード会社と連携して取引のモニタリングを継続している
- 対象者のカード再発行費用を顧客に負担させないよう、カード会社へ依頼した
- 対象の顧客へ郵送またはメールで個別に案内した
- 外部専門機関や外部弁護士と相談しながら再発防止の取り組みを継続する
- 個人情報保護委員会や警察などへの報告・連携を継続している
この事例を理解するための動画
二段階認証したのに乗っ取られる？ フィッシング詐欺の仕組み
二段階認証 vs フィッシング詐欺｜攻撃者の巧妙な手口を公開まだ分からないこと
- アカウント情報が第三者に渡った経緯は書かれていない
- 電話システムのアカウントに多要素認証などの防御設定があったかは書かれていない
- 不正アクセスが始まった正確な日時は書かれていない
- 電話システムのサービス事業者の名称と、その事業者側の調査結果は書かれていない
- 攻撃者の身元と、侵入に使われた具体的な手口は書かれていない
- 通話音声データ全体の対象人数は書かれていない
- 追加の案内や対応が必要になる顧客が今後どれだけ出るかは書かれていない