問い合わせの電話で流れる「録音させていただきます」という案内は、いまでは珍しくありません。ロート製薬は9月15日、通販のお客様対応に使うシステムから、その通話音声が第三者に取得された可能性を公表しました。翌16日に公表されたGyazoの流出は利用者がアップロードした画像にまつわるものでしたが、今回は企業の側に残されていた声です。
ロート製薬株式会社は2026年9月15日、通信販売で利用するシステムへの不正アクセスについて、調査状況を公表した。通販のお客様対応に使うシステムに保存された顧客との通話音声データと、それに付随する情報が、第三者に不正に取得された可能性がある。同社が利用する顧客管理システムでも、情報が取得された可能性があるという。
事象の確認は9月10日で、翌11日に第一報を出していた。取得された可能性がある情報の範囲や件数、対象となる顧客は、外部の専門機関等の協力を得て調査中である。同社は個人情報保護委員会へ報告し、警察と連携して対応を進める。主要な業務への影響は、現時点で確認されていない。
From: 
当社システムにおける不正アクセスに関する調査状況について
【編集部解説】
問い合わせの電話で「このお電話は録音させていただきます」という案内を聞くことは、いまではめずらしくありません。ロート製薬の通販サイトでも、電話での会話を応対品質の向上のために録音することがある、と個人情報の取り扱いの中で説明されています。
今回、第三者に取得された可能性があるとされたのは、お客様対応に使うシステムに保存されていた通話音声データです。
この第二報の翌日、9月16日に公表されたGyazoの事案は、利用者がGyazoにアップロードした画像にまつわる流出でした。今回の通話音声は、少し性格が違います。利用者が自ら保存の操作をしたものではなく、応対のために企業側のシステムに保存されていた記録です。電話で話した自分の声が、その後もデータとして残っていることは、利用者の側からは意識しにくいものです。
録音そのものは、責められる実務ではありません。言った・言わないの行き違いから客を守る記録にもなり、窓口の応対を良くしていく材料にもなります。だからこそ多くの企業が続けてきました。
声は、法律の上でどう扱われているか
個人情報保護委員会のガイドラインは、本人の氏名が含まれるなどして特定の個人を識別できる音声録音情報を、個人情報の事例に挙げています。これとは別に、音声から声帯の振動や声道の形状などの特徴を取り出し、話者認識システムなどで本人を認証できるようにしたデータは、「個人識別符号」と定められています。つまり制度は、個人を識別できる録音と、本人認証に使える形へ変換された声の特徴とを、別々の定義で位置づけているわけです。
その一方で、短い参照音声から声を似せる合成技術は、オープンソースとして一般に入手できるところまで広がりました。今回の通話音声がそうした用途に使われたという事実は公表されていません。ただ、声が「聞かれる記録」であると同時に「写し取られうる素材」にもなったことは、録音を持つすべての窓口に共通する変化です。
第二報で具体的になった注意喚起
9月10日の確認から翌日に第一報、確認から5日後の15日に第二報という流れの中で、利用者への呼びかけは目に見えて具体的になりました。
第一報では、同社を装う電話・メール・SMSへの注意が中心でした。第二報では郵便物が加わり、再決済、本人確認、返金、アカウント確認といった口実が名指しされています。そして同社は、本件への対応を理由として、クレジットカード情報や暗証番号、パスワードの再入力や改めての申告を求めることはない、と明言しました。
この一文は、利用者にとって大きな手がかりになります。過去に電話したことや、その時の用件を知っているかのような連絡が届いても、本件の対応を理由にカード情報やパスワードの入力を求めてきたら、同社が案内している連絡ではないと判断できるからです。
利用者として、いまできること
通販に電話したことがある方が、今日からできることは多くありません。けれど、効き目のある習慣があります。
届いた連絡に書かれた電話番号やURLは使わず、自分で調べた窓口にかけ直すこと。「先日のお電話の件で」と切り出されても、相手が用件を知っていることを本人確認の代わりにしないこと。本件の専用窓口は0120-610-654で、受付は9時から18時、土日祝日も開いています。
取得された可能性がある情報の範囲、件数、対象となる顧客は、外部の専門機関の協力を得て調べている段階です。顧客管理システムへの影響も含め、全体像は続報で定まっていきます。同社はすでに個人情報保護委員会へ報告しており、制度上、不正の目的をもって行われたおそれがある行為による個人データの漏えい等では、確報を事態を知った日から60日以内に出すことになっています。
残す価値が高まるほど、問われるもの
通話の記録は、これから価値が増していくデータです。音声をリアルタイムに文字にし、用件ごとに整理して分析する仕組みは、コンタクトセンターの現場に入り始めています。記録が役に立つほど、企業はより多くを、より長く残したくなります。
どの通話を、どれだけの期間、どこに置き、誰が触れられるのか。声を預かる側の作法は、いま整えられていく途中にあります。今回の事案は、電話の向こうで録音を続けてきた窓口に、その問いを静かに差し出しています。
【関連記事】
Gyazoに不正アクセス、ユーザー情報約2,362万件と画像メタデータ約4.9億件が流出
9月16日公表の事案。利用者がアップロードした画像のメタデータとOCRテキストが、件数の手前で何を意味するかを読み解いた記事。
VoxCPM2登場、OpenBMBの無料TTSが30言語・48kHz・商用可で音声合成を変える
短い音声から声を複製できるオープンソースの音声合成モデルを紹介し、なりすましへの懸念と商用ライセンスの意味を整理した記事。
commubo「コンテキスト化機能」リリース― 通話をリアルタイムで構造化データに変換する
通話内容をリアルタイムに項目ごとのデータへ変換する機能を紹介。コンタクトセンターで通話記録の価値が高まる流れがわかる記事。
Android、AIで偽装した「家族の声」の通話を検出――業界初のフェイク通話検出機能がグローバル展開
声で相手を信じる習慣を突くAI音声詐欺に対し、端末どうしの確認でフェイク通話を見抜くGoogleの仕組みを解説した記事。
【編集部後記】
VoxCPM2の公式モデルカードには、なりすましや詐欺、偽情報への利用を厳しく禁じ、生成した音声にはAIによるものだと明示するよう求める一文があります。道具を作る側は、使い方の線をきちんと引いています。
ただ、その線を守るのは、規約を読んで使う人たちです。声を守る最後の線は、道具の側ではなく、録音を預かる場所の側に引かれていることになります。
最後に企業の窓口へ電話したのはいつだったでしょうか。その時の声は、いまどこに残っているでしょうか。
【用語解説】
個人識別符号
特定の個人を識別できるものとして政令で定められた符号。声については、音声から抽出した特徴情報を、話者認識システム等で本人を認証できるようにしたものが該当する。
話者認識システム
声の特徴をもとに、話している人物を識別したり、本人かどうかを確かめたりする仕組み。
参照音声
音声合成で、似せたい声の手本として入力する短い音声。VoxCPM2は短いクリップからの声の複製に対応する。
顧客管理システム
顧客の氏名や連絡先、購入履歴、問い合わせ履歴などをまとめて管理する業務システム。
確報
個人情報保護法に基づく漏えい等報告のうち、速報に続いて、原則として全ての報告事項を出す報告。不正の目的をもって行われたおそれがある行為による漏えい等では、事態を知った日から60日以内が期限である。
コンタクトセンター
電話やメール、チャットなどで顧客からの問い合わせに対応する窓口部門。電話中心のものはコールセンターとも呼ばれる。
【参考リンク】
ロート製薬株式会社（外部）
目薬やスキンケア、医薬品などを手がける製薬会社の企業サイト。本件の第一報と第二報を、ニュースの「お知らせ」一覧に掲載している。
ロート製薬オンライン【公式】（外部）
ロート製薬の公式通販サイト。今回の対象となった通信販売事業の窓口で、新着情報とトップページに本件の第一報と第二報を掲載している。
当社システムにおける不正アクセスの可能性について（外部）
9月11日の第一報。9月10日に事象を確認し、アクセス制限を含む措置を実施したことと、同社を装う不審な連絡への注意を伝えている。
個人情報の取り扱いについて｜ロート製薬オンライン（外部）
通販サイトでの個人情報の扱いを定めたページ。お客様との電話での会話を、応対品質の向上のため録音することがあると記している。
個人情報保護委員会（外部）
個人情報保護法を所管する行政委員会の公式サイト。ロート製薬は本件について、個人情報保護を担うこの委員会へ報告したと公表している。
【参考記事】
個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会（外部）
特定の個人を識別できる音声録音情報を個人情報の事例に挙げ、声の特徴による個人識別符号と確報の期限を定めている公式の指針。
漏えい等の対応とお役立ち資料｜個人情報保護委員会（外部）
漏えい等報告の速報と確報の期限、報告の様式や入力フォームを掲載する。不正な目的で行われたおそれがある場合の確報は60日以内と示す。
openbmb/VoxCPM2 · Hugging Face（外部）
短い音声から声を複製できる音声合成モデルの公式ページ。Apache-2.0で公開され、なりすましや詐欺への利用を厳しく禁じている。
「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（外部）
Helpfeelによる9月16日の発表。ユーザー情報約2,362万件と、アップロード画像のメタデータ約4.9億件の流出を伝える。
