ロート製薬株式会社は2026年9月11日、同社の通信販売で利用しているシステムにおいて、第三者による不正アクセスの可能性がある事象を確認したと公表しました。
同社が事象を確認したのは9月10日です。確認後、影響拡大を防ぐため、当該システムへのアクセス制限を含む必要な措置を実施しています。
9月14日時点で、ロート製薬は関係システムの確認と影響範囲の調査を継続しており、不正アクセスが実際に成立したか、顧客情報へアクセスされたか、情報流出が発生したかについては公表していません。
同社は、主要な業務への影響は現時点で確認していないとしています。
一方、ロート製薬や同社の通信販売を装う不審な電話、メール、SMSが発生する可能性があるとして、利用者へ注意を呼びかけています。
ロート製薬の不正アクセス事案のサマリー
確認できている内容：
- ロート製薬は2026年9月10日、通信販売で利用するシステムにおいて第三者による不正アクセスの可能性がある事象を確認しました。
- 9月11日に公式サイトで初報を公表しました。
- 影響拡大防止のため、対象システムへのアクセス制限を含む措置を実施しています。
- 関係システムの確認と影響範囲の調査を継続しています。
- 9月11日時点で、主要な業務への影響は確認されていません。
- ロート製薬や通信販売を装った電話、メール、SMSに注意するよう利用者へ案内しています。
- 9月14日時点で、ロート製薬公式サイト上に本件の続報は確認できませんでした。
現時点で未確定・未公表の内容：
- 第三者による不正アクセスが実際に成立したか
- 不正アクセスの開始日時
- 侵入経路
- 悪用された脆弱性の有無
- 認証情報窃取の有無
- 攻撃者
- 顧客情報へのアクセスの有無
- 個人情報流出の有無
- 影響を受けた顧客数
- クレジットカード情報など決済情報への影響
- ランサムウェアやマルウェア利用の有無
- 対象となった具体的なシステム・サービス範囲
| 項目 | 内容 |
|---|---|
| 確認日 | 2026年9月10日 |
| 公表日 | 2026年9月11日 |
| 対象組織 | ロート製薬株式会社 |
| 対象 | 通信販売で利用しているシステム |
| インシデント | 第三者による不正アクセスの可能性 |
| 初動対応 | 対象システムへのアクセス制限など |
| 主要業務への影響 | 9月11日時点で確認されず |
| 顧客情報へのアクセス | 公表されていません |
| 個人情報流出 | 公表されていません |
| 侵入経路 | 公表されていません |
| 攻撃者 | 公表されていません |
| 調査状況 | 継続中 |
9月10日に通信販売システムで異常を確認
ロート製薬によると、2026年9月10日、通信販売で利用しているシステムにおいて、第三者による不正アクセスの可能性がある事象を確認しました。
同社は翌11日に初報を公表しています。
公式発表では「不正アクセスを確認した」ではなく、「不正アクセスの可能性がある事象を確認した」としています。
このため現時点では、
「ロート製薬が不正アクセスを受けた」
と断定するより、
「通信販売システムで第三者による不正アクセスの可能性がある事象を確認した」
と表現する方が、公式発表に沿っています。
対象システムへのアクセスを制限
ロート製薬は事象確認後、影響拡大を防ぐため、対象システムへのアクセス制限を含む必要な措置を実施しました。
ただし、
- システムを完全停止したのか
- 一部機能だけを制限したのか
- 社外からのアクセスだけを遮断したのか
- 顧客向けオンラインショップの利用へ影響があったのか
など、具体的な制限内容は公表されていません。
同社の公式通販サイト「ロート製薬オンライン」は9月14日時点でも閲覧可能で、ログイン画面や商品ページも確認できます。
ただし、Webサイトが表示できることだけでは、本件の対象システムと無関係であることまでは判断できません。
主要な業務への影響は確認されず
9月11日の発表時点で、ロート製薬は今回の事象による主要な業務への影響は確認していないとしています。
これは、
- 生産停止
- 全社的なシステム停止
- 物流停止
- 主要事業の継続困難
などの重大な業務影響を確認していないという意味です。
一方、通信販売システムの一部機能に制限や影響があったかどうかは公表されていません。
ロート製薬を装う電話・メール・SMSに注意喚起
ロート製薬は利用者へ、本件に関連して同社や通信販売を装う不審な連絡が行われる可能性があると注意喚起しています。
想定される連絡手段として、
- 電話
- メール
- SMS
を挙げています。
不審な連絡を受けた場合には、
- 記載された電話番号へ連絡しない
- メールやSMS内のURLを開かない
- 個人情報や認証情報を入力しない
よう案内しています。
今回、顧客情報が実際に流出したかは確認されていません。
それでも、企業のインシデント公表直後には、その企業を装うフィッシングや便乗詐欺が発生する場合があります。
利用者側では、メールやSMS内のリンクからではなく、ブックマークや検索など別経路で公式サイトへアクセスする方法が有効です。
逆に、システム障害が発生していなくても、正規アカウントを悪用してデータだけ取得される場合もあります。
情報システム部門が初報段階で確認したいポイント
今回のように影響範囲が確定していない初報では、企業の情報システム部門は次の点を優先できます。
- インターネット公開システムのログを保全する
- 侵害が疑われるアカウントのセッションを失効する
- 管理者パスワードやAPIキーを必要に応じて変更する
- 不審な通信先を遮断する
- EDR、WAF、クラウド監査ログを横断的に確認する
- 顧客データの大量取得・エクスポート履歴を調べる
- バックアップの健全性を確認する
- 顧客向け告知文と問い合わせ窓口を準備する
- 個人情報保護委員会への報告要否を検討する
- 委託先や決済事業者への影響確認を行う
- 続報で「確認済み」と「未確認」を分けて公表する
初報で全容が把握できていないこと自体は珍しくありません。
一方、調査中の項目を推測で埋めず、その後のフォレンジック調査で影響範囲を確定していくことが必要です。
今後の続報で確認したい内容
ロート製薬は、調査で判明した事実を速やかに公式サイトなどで公表するとしています。
今後の続報では、少なくとも次の点が確認対象になります。
- 不正アクセスが実際に確認されたか
- 攻撃開始日時・継続期間
- 侵入経路
- 対象となった具体的なシステム
- 顧客情報へのアクセスの有無
- 情報流出の有無
- 対象人数・件数
- 決済情報への影響
- マルウェア・ランサムウェア利用の有無
- 攻撃者の帰属
- 個人情報保護委員会への報告
- 再発防止策
- 通信販売サービスの利用影響
現段階では「第三者による不正アクセスの可能性」を確認した初報です。
情報流出や被害規模が確定したとの公表ではないため、続報が出るまでは公式表現を維持して整理する必要があります。
出典
関連記事
ファイブフォックス、不正アクセスで個人情報 最大7万3,185件 漏洩の可能性 顧客・従業員情報が対象
浪速警察署をかたる国際電話による詐欺が全国で多発中-すでに500件以上の相談、被害も確認
世界最大の海賊版アニメサイトHiAnime運営者7人をベトナムで逮捕-2020年から26,000本超を無断配信、広告収入約20.8億円
Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト
サイバー攻撃集団 ロックビット(LockBit)とは？
I-SOON 中国政府へサイバー攻撃 ツールを提供していた企業から内部リーク
Hugging FaceでAIのバックドア 付き 機械学習モデルを確認
ChatGPTやGeminiなどの文章生成AIで拡散するマルウェア Morris II を研究者が発表
AIや生成AIの悪用事例や事件を解説
