「タイムズカー」に不正アクセス、退会者含む660万件はなぜ流出したのか。パーク24の発表を確かめる

まず初めに

カーシェアという「鍵を持たずに車に乗れる」便利さを支えているのは、運転免許証の画像まで含めた個人情報の山だ。今回それが最大660万件、退会者の分まで漏れた可能性があるというのだから、ただ事ではない。しかも対象にはJR西日本グループの連携サービスIDまで含まれるというから、漏れた情報は一社の中だけで収まらない。カーシェアを何年も前にやめた人まで巻き込まれるとなると、「退会すれば関係ない」というこれまでの安心感自体が崩れる話だ。※個人の感想です

何が起きているのか

パーク24は2026年9月28日、カーシェアサービス「タイムズカー」のWebシステムへの不正アクセスに関する調査結果を第2報として発表しました。発表によると、2026年9月25日9時07分に不正アクセスを検知し、翌26日7時25分までに不正アクセス経路の遮断を完了したとしています。

調査の結果、タイムズカー会員および法人向け「タイムズビジネスサービス」会員のうち、退会済みの利用者や入会手続きが完了していない申込者も含め、最大約660万件のアカウントで個人情報が漏えいした可能性があることが分かりました。漏えいの可能性がある情報は、氏名・住所・生年月日・電話番号・メールアドレス・会員番号・運転免許情報に加え、本人確認書類として提出された運転免許証や学生証などの画像も含まれます。さらに、JR西日本グループの会員サービスなど外部連携サービス9件のIDも対象になっているとしています。

一方で、クレジットカード情報はシステムに保存されておらず、漏えいの対象外です。パスワードについても第三者が読み取れない形式で保存されているとして、不正ログインなどの不正利用につながる恐れは低いと説明しています。発表時点では、漏えいした情報が実際に不正利用された事実は確認されておらず、タイムズカーのサービス提供自体は継続しています。

なぜ重要なのか

タイムズカーは全国に多数のステーションを持つ、国内最大級のカーシェアサービスの一つです。利用にあたって運転免許証などの本人確認書類の画像登録が必須となっているため、今回の漏えいは単なる連絡先情報の流出にとどまらず、なりすましの材料になりうる本人確認書類の画像まで対象に含む点が深刻です。

また、対象が現在の会員だけでなく退会済みの利用者や入会手続きが未完了の申込者にまで及んでいる点も見逃せません。サービスを既にやめた、あるいは登録だけして使わなかった人にとっても、自分の情報が対象に含まれているかどうかを確認する必要が生じます。JR西日本グループなど外部サービスとの連携IDが含まれていることも、被害の範囲が一つの企業内にとどまらない可能性を示しています。

私たちへの影響

タイムズカーやタイムズビジネスサービスを現在利用している、あるいは過去に利用したことがある人は、パーク24からの通知や公式発表を確認し、自分のアカウントが対象に含まれているかを確かめる必要があります。特に運転免許証などの本人確認書類の画像が対象になっている場合、その画像を悪用したなりすまし申込みなどに注意が必要です。

また、外部連携サービスのIDも対象に含まれるため、JR西日本グループなど連携先のサービスを利用している場合は、そちらのアカウントについても不審なログイン履歴がないか確認することが望ましいといえます。パーク24やタイムズカーをかたる不審なメール・SMS・電話にも、今後注意が必要になる可能性があります。

初心者が知っておくべきこと

不正アクセスふせいあくせすとは、本来アクセスする権限を持たない第三者が、システムの脆弱性を突くなどの方法でサーバーやアカウントに侵入する行為のことです。侵入によって内部に保存されていた個人情報が閲覧・取得され、漏えいにつながるケースがあります。

本人確認書類の画像が漏えいした場合、その画像だけで別のサービスへの不正な本人確認(なりすまし)に使われる可能性があるため、通常の個人情報漏えいよりも注意が必要とされています。心当たりのない契約やローンの案内が届いた場合は、身に覚えがないことをすぐに相手先に伝え、必要であれば警察や消費生活センターに相談することが勧められます。

よくある質問

Q. 自分のアカウントが対象に含まれているか、どうすれば分かりますか。 A. パーク24・タイムズカーの公式発表では、対象となる利用者への個別の通知を行うとしています。現時点で確認できた出典の範囲では、確認専用の窓口やページの詳細までは明らかになっていません。会員登録しているメールアドレス宛の通知や、公式サイトの発表を確認することが基本になります。

Q. クレジットカード情報も漏れたのですか。 A. パーク24の発表によると、クレジットカード情報はシステムに保存されておらず、今回の漏えい対象には含まれていません。

IT Postの見方――「退会すれば関係ない」が通用しない時代

IT Postでは、不正アクセスを検知してから1日足らずで通信を遮断した初動対応自体は迅速だったと考えます。ただし、退会済みの利用者の情報まで長期間保持され続け、今回の漏えい対象に含まれていた点には疑問が残るとIT Postでは考えます。サービスを使わなくなった後も本人確認書類の画像まで保管し続ける必要が本当にあったのか、保有期間の見直しを含めた説明を利用者は求めてよいはずです。カーシェアに限らず、退会後もデータを持たれ続ける前提でサービスを使う時代になっている以上、利用者側も「退会=安心」ではないことを頭の片隅に置く必要があるとIT Postでは考えます。※個人の感想です

今後どうなりそうか

パーク24は、対象となる利用者への個別連絡や再発防止策について、今後さらに発表を行う見通しです。現時点で確認できた出典の範囲では、監督官庁への報告状況や原因となった脆弱性の詳細は明らかになっていません。IT Postでは、続報があれば改めて取り上げます。