カーセンサーnet・C-MATCHに不正アクセス、最大370万9,551件が漏えいの可能性

事案の概要データ

図解：この事故の構造

何が起きたのか

リクルートは2026年10月17日、中古車情報サイト「カーセンサー」で外部からの不審なアクセスを検知したため、同サイトと関連する中古車事業者向けサービスの利用を一時停止したと発表しました。

停止の対象は、中古車を探すWebサイトだけではありません。スマートフォンアプリと、販売店向けの業務支援サービス「シーマッチ」も含まれます。

10月18日夕方の時点でも利用できない状態が続いており、復旧の見通しは公表されていません。情報漏えいの有無や件数についても、公表時点では明らかにされていません。原因と影響範囲は調査中です。

止まったのは消費者向けだけではない

この事案で見落とされがちなのが、販売店側への影響です。

販売店向けの業務支援サービスが止まると、販売店は自社が掲載している車両情報を確認・編集できなくなります。さらに、サイト経由の問い合わせが店に届かない場合があるとの案内も出ています。

中古車販売店の多くは中小企業です。カーセンサーからの問い合わせが主要な集客経路になっている店舗も少なくありません。つまり、自社には何の落ち度もないのに、集客が止まり、売上機会を失うことになります。

2026年10月は、こうした「自社は攻撃されていないのに事業が止まる」事案が繰り返されました。9月29日のヤマト運輸（クロネコ代金後払いの停止で加盟店が決済手段を失う）、10月13日のライドオンエクスプレス、10月17日の工房（発車オーライネット）も同じ構図です。

集客を1つの経路に頼らない

中小企業にとっての教訓は明確です。集客や受注の経路を1つのサービスに依存していると、そのサービスが止まった瞬間に商売が止まります。

現実的な備えは3つあります。1つ目は、自社のWebサイトや公式SNSなど、自分で管理できる経路を持っておくこと。2つ目は、既存のお客様の連絡先を自社側でも保有しておくこと（プラットフォーム上にしかない状態を避ける）。3つ目は、サービスが止まったときにお客様へ案内する文面を、あらかじめ用意しておくことです。

特に2つ目は重要です。プラットフォーム経由でしか連絡が取れない状態だと、そのプラットフォームが止まった瞬間に、商談中のお客様とも連絡が取れなくなります。

「漏えいの有無は未公表」という段階

現時点で、情報が漏えいしたとも、していないとも公表されていません。調査中の段階です。

同じ10月17日には、ゲオも自社システムへの不正アクセスを受けてゲオオンライン各サービスを停止しており、こちらも漏えいの有無は未公表でした。検知したらまず止めて調べる、という順序は妥当な判断です。

利用者としては、続報を待ちつつ、念のためカーセンサーで使っているパスワードを変更し、同じパスワードを他サービスで使っていればそちらも変更しておくのが安全です。

10月21日、最大370万9,551件と公表

2026年10月21日、最大370万9,551件の個人情報が漏えいした可能性があることが公表されました。10月20日の調査で最大値を把握し、翌日に正式公表された形です。

内訳は、販売店への問い合わせ 3,210,421件、口コミ投稿 5,289件、C-MATCH登録販売店 483,168件、従業員・委託先・販売代理店関係者 10,673件です。

ログインパスワードとクレジットカード等の決済情報は含まれないとされています。

注目すべきは内訳の構成です。約87%が「販売店への問い合わせ」です。中古車を探していた消費者が、気になる車について販売店に問い合わせた、その記録が最も多く流出しました。

問い合わせ内容には、検討している車種、予算、連絡先が含まれます。これは「今、車を買おうとしている人」のリストです。車の買い替えを装った勧誘や、販売店をかたる連絡の材料になりえます。

また、C-MATCH登録販売店 483,168件という数字も大きい。販売店側の情報も対象になっており、2026年10月13日の戸田建設（取引先メール7,200件）と同様、取引先を装ったビジネスメール詐欺の材料になる可能性があります。

時系列で見る経過

• 2026年10月17日外部からの不審なアクセスを検知
• 2026年10月17日カーセンサーのサイト・アプリ・中古車事業者向けサービスの利用を一時停止。事案を公表
• 2026年10月18日 夕方依然として利用できない状態が続く。復旧の見通しは公表されず
• 2026年10月以降原因と影響範囲の調査を継続
• 2026年10月19日依然として停止が続く。原因・影響範囲ともに調査中で、復旧時期も未公表
• 2026年10月20日調査により最大値を把握
• 2026年10月21日最大370万9,551件が漏えいした可能性があると正式公表。ログインパスワード・決済情報は含まないと説明

中小企業が学ぶべきポイント

1. 問い合わせ履歴は「今、買おうとしている人」のリスト。勧誘や詐欺の材料になる。
2. 集客や受注を1つのプラットフォームに依存しない。自分で管理できる経路を持つ。
3. お客様の連絡先を自社側でも保有する。プラットフォーム上にしかない状態を避ける。
4. ログインパスワードと決済情報を持たない設計が、被害の範囲を限定した。
5. BtoC（消費者）だけでなくBtoB（販売店）の情報も対象になる。両方への注意喚起が要る。

出典・参考

• リクルート、カーセンサーの利用を一時停止 外部から不審なアクセス感知で 復旧は未定 - 日刊自動車新聞
• リクルート、カーセンサーの利用を一時停止 外部から不審なアクセス感知で 復旧は未定 - Yahoo!ニュース