タイムズカーに不正アクセス、約660万アカウントが漏えい 免許証画像160万件も対象

事案の概要データ

図解：この事故の構造

何が起きたのか

パーク24は2026年9月28日、連結子会社のタイムズモビリティが運営するカーシェアリングサービス「タイムズカー」のWebシステムが不正アクセスを受け、個人情報が外部に漏えいしたと発表しました。漏えいの可能性があるアカウントは最大約660万件にのぼります。

さらに9月29日の第3報で、運転免許証画像などの本人確認書類が漏えいしたアカウントが約160万件あることが明らかになりました。

漏えいした項目は、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類の画像、パスワード、連携サービスのIDなどです。クレジットカード情報は含まれていないとされています。

本人確認書類の画像という重さ

この事案を他と分けているのは、運転免許証などの画像が約160万件流出した点です。

免許証の画像には、氏名・住所・生年月日・免許証番号・顔写真がすべて写っています。これは「本人確認を突破するための一式」が揃っている状態です。携帯電話の契約、口座の開設、各種の申込——本人確認書類の画像提出で済む手続きは数多くあります。

しかも、パスワードは変更できますが、免許証番号や顔写真は変更できません。免許証を再発行しても顔は変わりません。つまり、この流出のリスクは長期にわたって残り続けます。

実際、公表後には信用情報機関への問い合わせが殺到し、警視庁への相談も9月30日から10月1日の2日間で約190件に達したと報じられています。

初動は速かった

対応そのものは迅速でした。9月25日9時07分に不正アクセスを検知し、同日中に第1報を公表。翌26日7時25分までに不正アクセス経路の遮断、攻撃元との通信遮断、遮断後にアクセスできないことの確認まで完了しています。検知から約22時間です。

その後も、9月28日に第2報（660万件）、29日に第3報（本人確認書類160万件）と、判明した内容を段階的に公表しました。10月1日からは対象者への個別案内を開始しています。

外部専門機関によるフォレンジック調査を実施し、個人情報保護委員会と警察への報告も行われました。

集団訴訟という新しい展開

一方で、この事案は国内のセキュリティ事故としては新しい段階に進みました。集団訴訟の準備サイトへの登録が、10月2日までに1万人を超えたと報じられています。

これまで日本では、情報漏えいが直ちに大規模な訴訟につながることは多くありませんでした。しかし、本人確認書類の画像という「変更できない情報」が大量に流出したことで、被害者側の行動が従来とは異なる規模になっています。

中小企業にとっての示唆は、情報漏えいのコストが「お詫びと再発防止策」では終わらなくなりつつある、ということです。特に本人確認書類の画像を預かる事業——不動産、人材、金融、レンタル、シェアリングなど——は、その保管方法を今のうちに見直す価値があります。

時系列で見る経過

• 2026年9月25日 9時07分タイムズカーWebシステムへの外部からの不正アクセスを検知し、調査・対応を開始
• 2026年9月25日第1報を公表。個人情報漏えいの可能性を発表
• 2026年9月26日 7時25分不正アクセス経路の遮断、攻撃元との通信遮断、遮断後のアクセス不能確認を完了
• 2026年9月28日第2報を公表。最大約660万アカウントの漏えいを確認
• 2026年9月29日第3報を公表。本人確認書類（運転免許証画像など）約160万件が対象と発表
• 2026年9月30日〜10月1日警視庁への相談が約190件に達したと報じられる
• 2026年10月1日対象者への個別案内を開始
• 2026年10月2日集団訴訟の準備サイトへの登録が1万人を超えたと報じられる

中小企業が学ぶべきポイント

1. 本人確認書類の画像は「変更できない情報」。預かるなら暗号化し、保存期間を厳格に区切る。
2. 退会した会員の本人確認書類を持ち続けない。保持する理由がなければ削除する。
3. 検知から約22時間での遮断は速い。しかし、それでも660万件は守れなかった。入口対策が先。
4. 第1報・第2報・第3報と段階的に出す体制を、平時のうちに作っておく。
5. 情報漏えいのコストは、お詫びと対策費だけでは済まなくなりつつある。

出典・参考

• タイムズカーWebサイトへの不正アクセスについてまとめてみた - piyolog
• タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報） - パーク24
• タイムズカー、最大660万件の個人情報が漏洩 免許証に加え学生証も対象 - 日経BP