ロート製薬の通信販売システムへの不正アクセス（顧客対応の通話音声データ・顧客管理システム情報の取得のおそれ、件数調査中・攻撃者は約4TBを主張）
公表日
ロート製薬の通信販売で使うシステムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、お客様対応の通話の録音データと、顧客管理システムの情報が取得されたおそれがあります。件数や対象のお客様は調査中です。
対象者は？
ロート製薬の通信販売のお客様です。お客様対応で録音された通話の音声とそれに付随する情報、顧客管理システムの情報が取得されたおそれがあります。どの範囲のお客様が対象か、何件かは調査中です。決済情報に影響があるかどうかは公表されていません。
本件専用の問い合わせ窓口（0120-610-654）が設けられています。対象のお客様の範囲は、まだ発表されていません。
いますぐできること
- ロート製薬や通販を名乗り、「再決済」「本人確認」「返金」「アカウント確認」などを求める電話・メール・SMS・郵便には応じない。公式サイトの窓口に自分から確認する
- 過去にお客様窓口で話した注文や相談の内容を知っているような連絡でも、すぐに信用しない。通話の録音も対象に含まれているため
何が起きたのか
2026年9月10日、ロート製薬は、通信販売で使うシステムに第三者が不正にアクセスした可能性がある出来事を確認し、そのシステムへのアクセスを制限しました。翌9月11日に第1報を公表しました。9月15日の続報では、お客様対応の通話の録音データとそれに付随する情報、顧客管理システムの情報が取得されたおそれがあると説明しました。会社は個人情報保護委員会に報告し、警察とも連携しています。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。9月14日、海外の犯罪者向けの掲示板で関与を名乗る人物が、顧客情報約395万件や通話の録音約85万件などを含む約4TBのデータを手に入れたと主張しました。この主張の中身は確認されておらず、会社もこの主張について説明していません。
いまの状況2026-09-15 時点続報待ち
会社は外部の専門機関の協力を得て調査を続けており、主要な業務への影響は確認されていないとしています。取得されたおそれのある情報の件数、対象のお客様の範囲、侵入の経路は、まだ発表されていません。
企業として考えたいこと
自社のコールセンターでは、通話の録音をどこに、いつまで保存しているでしょうか。録音にはお客様が話した相談の内容まで残っていることを、管理のルールに反映できているでしょうか。
技術的な要約
ロート製薬は2026年9月10日、通信販売で利用するシステムに第三者による不正アクセスの可能性がある事象を確認し、アクセス制限などの措置を講じたうえで9月11日に第1報を公表した。9月15日の続報で、通信販売のお客様対応に利用しているシステムに保存された通話音声データと付随情報、および同社が利用する顧客管理システムの情報が第三者に取得された可能性があると説明し、個人情報保護委員会への報告と警察との連携を明らかにした。範囲・件数・対象顧客は調査中で、2026-10-10時点で第3報は出ていない。一方、9月14日に海外のサイバー犯罪フォーラムで関与を名乗る人物が約4TB（Salesforce顧客情報約395万件、通話録音約85万件・約3.5TBなど）の取得を主張し、セキュリティ対策Labは公開サンプル1,000件がSalesforce REST APIのAccountオブジェクト構造と整合すると報じたが、主張の全量や侵害経路は確認されていない。同社は主要業務への影響は確認されていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「第三者による不正アクセス」とのみ説明し、侵入経路・手口・悪用された脆弱性や認証情報の有無は非公表（9/15時点）。影響を受けたのは『通信販売のお客様対応に利用しているシステム』（通話音声データを保存）と『当社が利用する顧客管理システム』の2系統。顧客管理システムの製品名は公式には示されていないが、攻撃者が公開したサンプルがSalesforce REST APIのAccountオブジェクト構造と整合すると報道されている（Salesforce自体の侵害や、正規アカウント・連携トークンの悪用かどうかは不明で、報道も断定していない）。
- 脆弱性
- CVE 非公表不明非公表（通信販売のお客様対応システム／顧客管理システム）公式発表に脆弱性・製品名・CVEの記載はない。攻撃者主張にはSalesforce顧客情報・SharePoint文書・Outlookメッセージ等が含まれるが、どのSaaS/オンプレ製品が侵害点だったか、脆弱性悪用か認証情報悪用かは確認できない（2026-10-10時点）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 9/10の確認後、当該システムへのアクセス制限など影響拡大防止の措置を実施。9/11・9/15時点で『当社の主要業務への影響は確認されていない』と説明。通販サイトの停止期間などの公表はない。
- データ
- 調査中上限 —確定 —その他（顧客対応の通話音声データと付随情報）その他（顧客管理システムの情報・項目非公表）公式（9/15）は、お客様対応システムに保存された通話音声データとそれに付随する情報、顧客管理システムの情報が『取得された可能性』とし、範囲・件数・対象顧客・個別の影響は調査中。お客様情報以外の保有情報や関係システムへの影響も確認中。決済情報への影響の有無は公表されていない。攻撃者主張（未確認）はSalesforce顧客情報約395万件・通話録音約85万件（約3.5TB）を含む約4TB。通話録音は非構造化データで、会話内容次第で健康状態の相談など要配慮情報を含みうる点を報道が指摘しているが、公式は言及していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 公式発表では委託先・SaaS事業者の関与は示されていない。攻撃者サンプルがSalesforce REST APIの構造と整合すると報じられているが、同社が利用するSaaSテナント内のデータが取得されたことを示すにとどまり、SaaS事業者側の侵害を示す情報はない。
時系列
- 2026-09-10通信販売で利用するシステムで第三者による不正アクセスの可能性がある事象を確認。当該システムへのアクセス制限など影響拡大防止の措置を実施1
- 2026-09-11第1報「当社システムにおける不正アクセスの可能性について」を公表。影響範囲は調査中、主要業務への影響は確認されていないと説明し、同社や通販を装う電話・メール・SMSへの注意を呼びかけ1
- 2026-09-14
- 2026-09-15続報「当社システムにおける不正アクセスに関する調査状況について」を公表。お客様対応システムの通話音声データと付随情報、顧客管理システムの情報が取得された可能性を説明。個人情報保護委員会へ報告済み、警察・関係機関と連携、外部専門機関の協力で調査中。本件専用窓口（0120-610-654）を開設し、再決済・本人確認・返金・アカウント確認を装う連絡や郵便物への注意を呼びかけ2
- 2026-09-16セキュリティ対策Labが攻撃者の公開サンプルを確認し、顧客データ1,000件がSalesforce REST APIのAccountオブジェクト構造と整合すると報道（全量・取得経路は未確認と明記）4
- 2026-09-17innovaTopiaが通話音声の取得可能性について報道（件数は調査中、攻撃者・手口の特定はなしと整理）5
- 2026-09-23セキュリティ対策Labが第1報記事を9/15続報の内容で更新。侵入経路・攻撃者・開始時期・件数・決済情報への影響が未公表であると整理3
- 2026-09-24ScanNetSecurityが通信販売システムへの不正アクセスとして報道（件数・攻撃者主張の記載なし）6
- 2026-10-01セキュリティ対策Labの9月事例まとめで、攻撃者主張と公式発表の差（4TB流出は未確定）が改めて整理される7
- 2026-10-10調査時点で同社お知らせ一覧に9/15以降の続報なし（件数・対象顧客は未公表のまま）8
技術解説
公表内容の整理：侵害対象は『通販のコールセンター』と『CRM』 事実
公式発表から読み取れる侵害対象は2系統で、通信販売のお客様対応システム（通話録音と付随情報）と、同社が利用する顧客管理システムである。第1報（9/11）では『通信販売で利用するシステム』とだけ説明し、9/15の続報で初めて通話音声データが対象と明かされた。いずれも『取得された可能性』の表現で、確定ではない。個人情報保護委員会への報告（個人情報保護法の漏えい等報告を想定）と警察連携は9/15時点で済んでいる。侵入経路、侵害期間、件数、決済情報への影響、顧客管理システムの製品名は非公表で、2026-10-10時点で第3報はない。主要業務への影響はないとされ、ランサムウェアによる暗号化や業務停止の説明もない。
攻撃者主張との差と、Salesforce構造の意味 解釈
9/14に海外フォーラムで約4TBの取得が主張され、内訳にはSalesforce顧客情報約395万件、通話録音約85万件・約3.5TB、SharePoint文書約439GBなど、公式発表が触れていない社内文書や共同研究データまで含まれる。セキュリティ対策Labは顧客データ1,000件がSalesforce REST APIのAccountオブジェクト構造と整合することを確認したが、これは『Salesforceに格納されていたデータの形をしている』ことを示すだけで、Salesforce基盤の侵害を意味しない。正規ユーザーの認証情報やOAuth連携トークンでAPIからエクスポートされた場合も同じ形になる。主張の内訳がSharePoint・Outlookなど複数のSaaSにまたがる点は、個別製品の脆弱性よりもID基盤側の侵害（共通のSSOアカウントやトークン）を疑わせるが、これは推測で、公式・報道とも確認していない。
通話録音という非構造化データのリスク 解釈
通販のお客様対応の録音には、氏名・住所・電話番号の確認やりとりに加え、症状や服用中の薬、肌トラブルなど健康に関する相談が含まれうる。製薬・ヘルスケア通販の録音は、構造化されたCRMレコードよりも要配慮個人情報を含む可能性が高い一方、項目単位の件数把握が難しく、何人分の何が漏れたかを確定させにくい。攻撃者主張の約85万件・約3.5TBが事実なら、録音1件あたり平均約4MBで、数分規模の通話が大量に保存されていたことになる（主張値からの単純計算）。保存期間の上限が設けられていたか、録音とCRMレコードがどう紐づいていたかは非公表である。
深さ判定：⑥dの根拠 解釈
公表件数はなく、①〜⑤は判定できない。ただし公式が認めた対象は通販の顧客管理システムそのものであり、攻撃者主張は顧客情報約395万件、公開サンプルの構造は主張と整合している。公式発表で件数が出れば①（100万以上）に達する見込みが高いとみて、CRITERIA.mdの⑥d（調査中だが①到達の見込みが高い）でAとした。通話録音に健康情報が含まれていたと公表された場合は④の検討も必要になる。件数確定後に depth_reason を確定値で書き直す。
対応
- 封じ込め
- 9/10の確認後に当該システムへのアクセス制限など影響拡大防止措置。関係システムの確認と外部専門機関による調査を継続。具体的な遮断・認証情報リセット・SaaSトークン失効などの技術的措置は非公表。
- 公表の仕方
- 9/11第1報（不正アクセスの可能性、範囲調査中）、9/15続報（通話音声データ・顧客管理システム情報の取得可能性、PPC報告・警察連携、専用窓口設置、便乗詐欺への注意喚起）。件数・対象者・経路は未公表で、攻撃者主張への言及もない（2026-10-10時点）。
- 当局対応
- 個人情報保護委員会：報告済み（9/15公表）
- 警察：連携（9/15公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 通話録音が長期・大量に保存され、CRMと同じ攻撃面にあった | コールセンター録音に保存期間（例：品質確認用は90日）を設けて自動削除し、長期保存が必要なものはテキスト要約のみ残す。録音ストレージは閲覧権限をSV・QA担当に限定し、一括ダウンロードを禁止、エクスポートAPIは件数・帯域で上限を設定する |
| CRMデータの大量取得が検知・阻止されなかった可能性 | Salesforce等のCRMではEvent Monitoring（API/Report Export/Bulk APIイベント）を有効化してSIEMに送り、単一ユーザー・単一Connected Appからの短時間大量取得をアラート化。Transaction Security Policyでレポートエクスポート件数を制限する |
| SaaS横断で大量データを持ち出された主張がある（ID基盤・連携トークンのリスク） | Connected App／OAuth連携を棚卸しし、不要な連携を削除、残すものはIP制限・最小スコープ・リフレッシュトークン有効期限を設定。管理者・連携用アカウントにはフィッシング耐性MFA（FIDO2）を必須とし、IdPのサインインログで新規ASN・不可能移動を監視する |
| 通販顧客を狙う便乗詐欺（再決済・返金を装う連絡）の二次被害 | 公表時点で『当社が電話・SMSでカード番号や暗証番号を聞くことはない』と明記し、正規の連絡元番号・送信ドメインを公開。SMS送信元のブランド登録（RCS/SMS認証済み送信者）とDMARC p=rejectを整える |
| 件数・項目が長期間不明のままだと顧客が取るべき行動を判断できない | 平時にデータ台帳（どのシステムに何の項目が何件、保存期間）を整備し、侵害時に『最大でどの範囲か』を数日で示せるようにする。調査中でも対象システムごとの項目と最大件数を先行公表するテンプレートを用意する |
自組織などでの確認項目
- 自社のコールセンターやサポート窓口の通話録音は、何年分・何件が・どこに保存され、誰が一括で取り出せるか把握しているか。
- CRM（Salesforce等）から全件を API でエクスポートされた場合、何分以内に気づける設計になっているか。どのログを誰が見ているか。
- 攻撃者がリークフォーラムで公式発表を大きく上回る件数を主張したとき、自社はどの時点で何をどこまで公表するか。
- 顧客を装った便乗詐欺が起きたとき、顧客が本物の連絡かどうかを見分ける手段を事前に用意しているか。
未解明点
- 侵入経路（認証情報の窃取・流用、SaaS連携トークン、脆弱性悪用など）と侵害期間
- 顧客管理システムの製品名と、攻撃者主張のSalesforce・SharePoint・Outlookデータの真偽
- 取得された可能性のある通話録音の件数・期間・対象顧客数、録音に含まれる情報の種類（健康相談など要配慮個人情報の有無）
- 決済情報への影響の有無
- 攻撃者主張の約4TB（社内文書・共同研究データを含む）に対する同社の見解
出典
- 1ロート製薬2026-09-11公式本文確認済
- 2ロート製薬2026-09-15公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-09-14報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-09-16報道本文確認済
- 5innovaTopia2026-09-17報道本文確認済
- 6ScanNetSecurity2026-09-24報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済
- 8ロート製薬2026-10-10公式本文確認済