「タイムズカー」不正アクセスの「第3報」、免許証画像など160万件はなぜ後から判明したのか。追加被害の中身を整理する

まず初めに

「情報は660万件漏れました」の次に「そのうち160万件は免許証の画像でした」と後出しで来られると、もう驚く体力すら残っていない。小出しの悪い知らせほど疲れるものはなく、続報を追いかけるこちらの気力も試されている。個人情報の中でも身分証画像は上澄みも上澄み、最上級の機微情報だという自覚を持ってもらいたいところだ。※個人の感想です

何が起きているのか

パーク24が運営するカーシェアリングサービス「タイムズカー」のウェブサイトは、2026年9月25日に不正アクセスを検知し、9月26日に遮断を完了したと発表していました。この時点で、退会者や入会手続きが未完了の人を含む最大約660万件のアカウントについて、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報・本人確認書類の画像・外部連携サービスIDなどが漏えいした可能性があるとされていました。

今回、続報として発表されたのが、この660万件のうち、運転免許証画像などの本人確認書類そのものが漏えいした可能性のあるアカウント数です。調査の結果、約160万件のアカウントで本人確認書類の画像が対象になっていることが確認されました。漏えいが確認された書類の種類は、運転免許証画像、公共料金の請求書などの現住所確認書類画像、学生プラン利用者の学生証画像、家族プラン利用者の家族確認書類画像です。

パーク24は、本人確認書類の漏えいが確認された会員に対してメールで個別に案内するとともに、外部の専門機関による調査結果を踏まえ、2週間程度をめどに漏えいした情報の詳細を連絡するとしています。クレジットカード情報は引き続き対象外です。

なぜ重要なのか

タイムズカーは国内最大級のカーシェアリング事業者の一つで、会員登録時に運転免許証などの本人確認書類を画像でアップロードする仕組みが広く使われています。今回明らかになったのは、氏名やメールアドレスといった基本情報だけでなく、身分証明書そのものの画像が160万件規模で流出した可能性があるという点です。

運転免許証の画像は、氏名・住所・生年月日・免許証番号・顔写真がひとつの画像に集約された、いわば「なりすましの材料一式」です。メールアドレスや氏名が漏れる場合と比べて、悪用された場合の被害の深刻度は一段上がります。今回の発表は、660万件という当初の数字の中に、そうした機微性の高い情報がどれだけ含まれていたかを具体的に示した点で重要です。

私たちへの影響

タイムズカーの会員である人、特に過去に運転免許証や学生証などの本人確認書類をアップロードしたことがある人は、パーク24からの個別のメール案内を確認する必要があります。本人確認書類の画像が漏えいした可能性がある場合、その情報を使ったなりすまし申し込みや、金融機関・携帯電話会社などを装った不審な本人確認要求に注意が必要です。

免許証番号自体の悪用を直接防ぐことは難しいですが、身に覚えのない契約や登録の通知が届いた場合は、契約先の窓口や警察相談窓口(#9110)に相談することをおすすめします。今後2週間程度をめどに詳細な案内があるとされているため、パーク24およびタイムズカーの公式発表を継続して確認しておくとよいでしょう。

初心者が知っておくべきこと

本人確認書類ほんにんかくにんしょるいとは、運転免許証やパスポート、学生証のように、本人であることを証明するために提出する書類のことです。オンラインサービスの会員登録時に、なりすまし防止のため画像でのアップロードを求められることがあります。

なりすましとは、他人の個人情報を使って本人であるかのように装い、契約や手続きを行う行為のことです。運転免許証の画像のように氏名・住所・生年月日・顔写真がまとまった情報は、なりすましの材料として悪用されるリスクが特に高いとされています。

IT Postの見方――「小出しの続報」こそ、実は一番不親切だ

IT Postでは、被害の全体像を一度に説明できないほど調査が複雑だったという事情は理解できるとしても、「660万件漏れました」→「そのうち160万件は免許証画像でした」という小出しの発表の仕方は、利用者の不安をいたずらに長引かせるだけだと考えます。特に免許証画像のような機微情報については、全体件数の発表と同時に「このうちどれだけが身分証画像を含むか」まで踏み込んで説明する余地はあったはずです。カーシェアという、そもそも運転免許証の提出が必須のサービスだからこそ、身分証まわりの情報管理には他業種以上の緊張感を持ってほしいとIT Postでは考えます。※個人の感想です

今後どうなりそうか

パーク24は、外部専門機関による調査結果を踏まえ、2週間程度をめどに漏えいした情報の詳細を対象会員へ連絡するとしています。現時点で確認できた出典の範囲では、個人情報保護委員会への報告状況や、警察への相談状況は明らかになっていません。IT Postでは、続報があれば改めて取り上げます。