対象：ロート製薬の通信販売（電話での注文・問い合わせを含む）を利用したことがある人。本記事はロート製薬の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
ロート製薬の通信販売（電話での注文・問い合わせを含む）を利用したことがある人。
- 影響が確認された範囲表で見る ↓
- 発覚
- 原因
- 顧客管理システムの情報
さらに5件
- 顧客管理システムの項目
- 顧客管理システムの人数
- 通話音声データ
- カード番号・有効期限
- 外部調査
- 未確認事項
- 顧客管理システムの対象者と通話音声データの対象者の重なり（2,797,545人と9,715人の関係）
- 不正アクセスの具体的な経路（公表されているのは電話システムのアカウント情報の不正利用まで）
- 追加の対応が必要な対象者が見つかった場合の対応
- 今やること手順を見る ↓
- カードの利用明細を確かめる
- 心配なときはカード会社に相談する
- そのカードで払っている定期的な支払いを洗い出す
さらに5件
- 通知の内容を確かめる
- ロート製薬や通販を名乗る電話・メール・SMS・郵便物を疑う
- 不審な連絡は、リンクを開かず、番号に折り返さない
- 念のため、電話でカード番号を伝えていないかを思い出す
- 不安なときは公式の窓口に問い合わせる
- 最終確認日時
- 2026年11月9日時点
発表の続報予定と確認の記録
同社は、今後、追加の対応が必要な方が確認された場合は適切に対応するとしています。2026年11月9日に同社公式サイトのお知らせ一覧を確認した範囲では、11月6日以降の続報は見当たりませんでした。二次被害は、現時点で確認されていないとされています。
注文方法別に、今日やること
まず、自分がどちらに近いかを確かめます。通販の電話で、カード番号を口頭で伝えて注文したことがある人は「電話で注文した人」、ネットなどで注文し、電話でカード番号を伝えたことがない人は「それ以外の人」です。個別の通知が届いている人は、通知に書かれた内容を優先してください。
電話で注文した人（カード番号を電話で伝えた人）
カードの利用明細を確かめる
同社は、対象のカード利用者に、2026年9月以降の利用明細に身に覚えのない請求がないか確認するよう求めています。あれば、カード裏面に記載の会社へ連絡してください。
通話音声データの対象期間は2025年9月10日からです。この期間に電話で注文した人は、カード会社のサイトやアプリで、2025年9月以降の明細も見直しておくと安心です（当サイトの見解）。
心配なときはカード会社に相談する
カード番号と有効期限を取得された可能性があるときは、カード会社に連絡して、状況を伝えます。カード会社が、カード番号の変更（再発行）や利用の監視を案内することがあります。
同社は、対象者のカード再発行費用を利用者が負担しないよう、カード会社に依頼しているとしています。実際の扱いはカード会社ごとに違う可能性があるため、再発行を決める前に、費用を確かめてください。
そのカードで払っている定期的な支払いを洗い出す
カードを再発行すると、そのカードで払っていた定期購入やサブスクリプション、公共料金の支払いが止まることがあります。再発行の連絡を受けたら、新しいカード番号への変更が必要なものを一覧にしておいてください。
通知の内容を確かめる
同社は、対象者に郵送またはメール等で順次個別に案内しているとしています。通知が届いているのに内容が分からないときは、専用ダイヤル 0120-610-654（受付 9:00〜18:00、土・日・祝日を含む）か専用お問い合わせフォームで確認します。
電話番号とフォームのURLは、同社の公式サイトのお知らせにあるものを使い、メールやSMSに書かれたものは使わないでください。
それ以外の人（氏名・住所・電話番号が対象になりうる人）
ロート製薬や通販を名乗る電話・メール・SMS・郵便物を疑う
同社は、不審な電話、メール、SMS、郵便物に注意し、個人情報や暗証番号、パスワードを求められても応じないよう呼びかけています。同社が本件の対応を理由に、暗証番号やパスワードの入力・再提供を求めることはないとしています。
氏名・住所・電話番号がそろうと、宛名や住所を言い当てて信用させる連絡が作りやすくなります。相手が情報を言い当てても、本物の証拠にはなりません（当サイトの見解）。フィッシングとは に見分け方をまとめています。
不審な連絡は、リンクを開かず、番号に折り返さない
メールやSMSのURLを開かず、添付ファイルを開かず、情報を入力しないでください。電話は一度切り、公式サイトに載っている窓口にかけ直します。
カード番号、暗証番号、認証コードを電話やSMSで聞かれても答えないでください。
念のため、電話でカード番号を伝えていないかを思い出す
発表では、カード番号が含まれるのは通話音声データの一部で、9,715人とされています。電話でカード番号を伝えていない人は、通常は該当しないと考えられますが、通知の内容と照らして確認してください（当サイトの見解）。心当たりが少しでもあれば、上の「電話で注文した人」の手順に進みます。
不安なときは公式の窓口に問い合わせる
専用ダイヤル 0120-610-654（受付 9:00〜18:00、土・日・祝日を含む）と、専用お問い合わせフォームが用意されています。
共通：情報を入力した・お金を払ったとき
不審な連絡のリンク先でカード情報を入力した場合は、すぐにカード会社に連絡してください。パスワードを入力した場合は、すぐに変更し、同じパスワードを他のサービスでも使っていればそちらも変えます（パスワードマネージャーの選び方）。警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。
何が起きたのか（ロート製薬の発表より）
ロート製薬は、2026年9月11日、9月15日、11月6日の3回、同社公式サイトのお知らせで本件を公表しました。以下はすべて同社の発表内容です。電話システムのサービス事業者は、本記事では役割で書いています。
2025年9月10日〜2026年9月5日
通話音声データの対象期間。この期間のうち、2025年9月10日〜11月16日、2025年12月9日〜2026年3月22日、2026年8月21日〜9月5日の3つの期間の通話が対象。2026年9月10日
通信販売で使う電話システムのサービス事業者から、不審なアクセスについて報告を受けた。関係アカウントの利用停止やパスワード変更を実施し、外部の専門機関による調査を始めた。9月11日
初報。「当社システムにおける不正アクセスの可能性について」を公表。件数・項目・原因は記載なし。アクセス制限などの措置を実施。9月14日
所轄警察署に被害を申告。9月15日
個人情報保護委員会に報告。続報「調査状況について」を公表し、通話音声データと付随情報、顧客管理システムの情報が取得された可能性があるとした（件数・項目は調査中）。専用ダイヤル 0120-610-654 を案内。10月16日
電話システムに関する外部専門機関の調査が完了。10月22日
専用お問い合わせフォームを開設（9月15日のお知らせへの追記による）。11月6日
調査結果を公表。顧客管理システム2,797,545人分、通話音声データ内のカード番号・有効期限9,715人分と確定。対象者へ個別に案内。
- 原因
- 同社が現時点で確認できている原因として、通信販売で使う電話システムのアカウント情報が第三者に不正利用され、同システムへの不正アクセスが行われた。顧客管理システムの情報も、この電話システムを経由して取得されたと確認された
- 顧客管理システム
- 氏名、住所、電話番号。2,797,545人。対象者やデータによって項目は異なり、一部のみの場合もある
- 通話音声データ
- 通信販売の通話（商品の問い合わせ、注文内容など）。一部にクレジットカード番号と有効期限が含まれ、対象は9,715人
- 含まれないもの
- クレジットカードのセキュリティコード、パスワード等の認証情報（取得・保存していない）
- 再発防止など
- 関係アカウントのパスワードを一斉変更。電話口でのカード番号の聴取を停止し、書面による支払い手続に切り替え。カード会社と連携して対象カードの取引を監視
- 窓口
- 専用ダイヤル 0120-610-654（受付 9:00〜18:00、土・日・祝日を含む）、専用お問い合わせフォーム
分かっていること・分かっていないこと
2026年11月9日時点の、同社の発表（9月11日・15日・11月6日）をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 発覚 | 2026年9月10日に、電話システムのサービス事業者から報告 | 確定（同社） |
| 原因 | 電話システムのアカウント情報が第三者に不正利用された | 確定（同社） |
| 顧客管理システムの情報 | 電話システムを経由して不正に取得されたと確認 | 漏えいを確認（同社） |
| 顧客管理システムの項目 | 氏名、住所、電話番号（人により異なる） | 漏えいを確認（同社） |
| 顧客管理システムの人数 | 2,797,545人 | 確定（同社） |
| 通話音声データ | 通信販売の通話（問い合わせ・注文内容など）。3つの期間の通話が対象 | 漏えいを確認（同社） |
| カード番号・有効期限 | 一部の通話音声データに含まれる。9,715人 | 漏えいを確認（同社） |
| セキュリティコード | 含まれない（取得・保存していない） | 含まれない（同社） |
| パスワード等の認証情報 | 含まれない（取得・保存していない） | 含まれない（同社） |
| メールアドレス | 発表の項目に書かれていない | 記載なし |
| 2,797,545人と9,715人の重なり | 書かれていない | 記載なし |
| 具体的な侵入経路 | アカウント情報の不正利用まで。それ以上は書かれていない | 記載なし |
| 外部調査 | 電話システムに関する調査は2026年10月16日に完了 | 確定（同社） |
| 対象者への連絡 | 郵送またはメール等で順次個別に案内 | 実施（同社） |
| 二次被害 | 本件に起因すると考えられる不正利用は確認されていない | 確認されていない（同社） |
| 警察・規制当局 | 9月14日に警察へ被害申告、9月15日に個人情報保護委員会へ報告 | 実施（同社） |
電話の録音にカード番号が入ると、なぜ注意が必要か
通話音声データは、画面で入力する情報と違い、番号が声のまま残ります。今回、同社は電話口でのカード番号の聴取を止め、書面による支払い手続に切り替えました。カード番号と有効期限があれば、セキュリティコードが不要な支払い方法で使われる恐れがあるため、明細の確認が重要になります。ここに挙げたのは一般的に起こり得ることで、この件で実際に起きたという意味ではありません（当サイトの見解）。
漏えいした情報で起こり得ること
- カード番号と有効期限が使われた、身に覚えのない請求（カード番号を伝えた人）
- 氏名・住所・電話番号を言い当てて信用させる、会社やカード会社を名乗る電話・SMS・郵便物
- 偽のページに誘導して、暗証番号やパスワードを入力させる連絡
漏えいした情報だけではできないこと（当サイトの見解）
- セキュリティコードが必要な支払い（セキュリティコードは取得されていない）
- 公式サイトやブックマークから自分で開いたページを、偽物にすり替えること
- パスワードを入力していない人のアカウントへのログイン（パスワード等は含まれない）
運営者が見直すこと：電話受付のカード番号と、システムのアカウント
原因の詳細は公表されていないため、ここでは公表された事実から言えることだけを書きます。
- 通話音声に、カード番号を残さない：今回、同社は電話口でのカード番号の聴取を止め、書面による支払い手続に切り替えました。電話で受付をする事業者は、カード番号を通話で口頭受付しない設計（決済ページへの案内など）にすると、録音が流出したときに漏れる範囲が小さくなります。
- 電話システムのアカウントを、他のシステムの入口にしない：同社の発表では、電話システムのアカウントが不正利用され、顧客管理システムの情報も電話システムを経由して取得されました。電話システムなどの外部サービスのアカウントと、顧客情報のシステムとの権限のつながりを洗い出し、不要な参照権限を外すことが、被害の範囲を狭めます。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因の詳細や、サービス事業者の名称は推測していません。
- ロート製薬「不正アクセスによるお客様の個人データ漏えいに関するお詫びとお知らせ」（2026年11月6日） — rohto.co.jp
- ロート製薬「当社システムにおける不正アクセスに関する調査状況について」（2026年9月15日、10月22日追記） — rohto.co.jp
- ロート製薬「当社システムにおける不正アクセスの可能性について」（2026年9月11日） — rohto.co.jp
更新履歴
2026-11-09：初版。ロート製薬の11月6日の発表と、9月11日・15日のお知らせにもとづく。同日に同社公式サイトのお知らせ一覧を確認し、11月6日以降の続報は見当たらなかった。
次に読む
- ほかの通販・カード情報の事故：グッドスマイルカンパニー公式ショップの不正アクセス ／ ライザップ・アポリトのカード情報窃取
- 偽の連絡の見分け方：フィッシングとは ／ スマホを安全に使う基本
- パスワード：パスワードマネージャーの選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）