タイムズカーの不正アクセス(2026年9月公表)

概要

公表日

2026年9月25日

検知・発覚

2026年9月25日

最新の公表

2026年10月23日

組織・業種

タイムズモビリティ(パーク24グループ)「タイムズカー」(カーシェア / 交通・鉄道・航空・モビリティ)

漏えいした情報・件数

氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報にアクセスされ外部送信の痕跡が確認されたもの 6,628,007件(当初は約660万アカウントと発表。退会者・手続き未完了の申込者・タイムズビジネスサービス会員を含む。重複を含み実人数ではない(日経クロステック))。暗号化された本人確認書類の画像は、外部送信の痕跡あり 1,464,800件、アクセスのみ 891,602件(計2,356,402件。当初は約160万件に漏えいのおそれと発表)。ハッシュ化されたパスワード4件、連携サービスID 4件(当初は9件と発表)。関連してタイムズクラブWebシステムでも、カード番号19,510件・連携サービスID 135,436件・クレジットカード番号の下4桁28件などに外部送信の痕跡。カード番号の全桁とセキュリティコードは保有していない(第5報)

業務への影響

サービス提供への影響は確認されておらず、各種サービスは通常どおり継続。公表直後に会員数の推移に一定の影響が見られたが、1日あたりの売上高は事案前の水準を維持(2026-10-23の適時開示)

業績への影響

見舞金と諸対応費用で特別損失55億円を計上する見込み。2026年10月期の親会社株主に帰属する当期純利益の予想を440億円から385億円に下方修正(2026-10-23の適時開示)

犯行グループ(企業・当局の認定)

なし(攻撃者は公表されていない)

行政の対応

2026-09-25に個人情報保護委員会へ報告、09-29に警察への相談を始め国土交通省へ一報(2026-10-23の適時開示の経緯)。警察庁にも相談(FAQ、2026-10-06追加)。行政の処分などは2026-10-30時点で公表なし

手口

Webサービス・アプリ経由

何から手を付けるか迷ったら、無料で初動相談ができます →

経緯

1. 2026年9月25日

   9時07分、システムで不正アクセスを検知し調査を開始。同日、個人情報漏えいの可能性を第1報として公表 [1]

2. 2026年9月26日

   7時25分までに不正アクセスの経路と攻撃元の通信を遮断し、遮断後にアクセスできないことを確認(第1報に追記) [1]

3. 2026年9月28日

   第2報。約660万アカウントの会員情報が取得されたことを確認したと公表 [2]

4. 2026年9月29日

   第3報。本人確認書類が漏えいしたのは約160万アカウントと公表し、対象者へのメールでの個別案内を開始 [3]

5. 2026年9月29日

   警察への相談を始め、国土交通省に一報を入れた(10月23日の適時開示の経緯表による) [13]

6. 2026年10月1日

   第1〜3報に追記し、会員からの質問と回答(FAQ)を公開。退会者への個別案内を順次始め、退会者専用の問い合わせフォームを設けた [7]

7. 2026年10月6日

   FAQを更新。運転免許証画像が流出した場合の本人確認制度の説明と、警察庁に相談したうえでの詐欺への注意喚起を追加 [7]

8. 2026年10月9日

   金融庁が金融機関等に、非対面の本人確認で書類画像・顔画像の確認の徹底と、画像送信方式の廃止(2027年4月1日施行)の前倒しを要請。文書は個別の事案を挙げていない。ITmedia NEWSは、免許証画像の漏えいが相次ぐ例としてタイムズカーの約160万件に触れて報道 [9]

9. 2026年10月13日

   FAQを更新。金融機関などの本人確認で、書類の画像以外に使われる追加の手続きの説明と、参考にした法令・行政機関の公表資料を追記した [7]

10. 2026年10月16日

    第4報。本人確認書類の画像を、登録確認の完了後すぐに削除する社内ルールに変更。保有中の画像は本人の申し出の有無にかかわらず10月末までに削除するとした。第3報で約2週間後としていた調査結果を踏まえた案内は、10月23日に延期 [11]

11. 2026年10月16日

    FAQにQ11・Q12を追加。調査に時間を要していると説明し、画像の削除後も不正利用対策は緩めないとした(対策の詳細は防犯上の理由から回答を控える) [7]

12. 2026年10月23日

    第5報。外部専門機関のフォレンジック調査が完了し、Webシステムの脆弱性が悪用されたと判断。外部送信の痕跡がある本人確認書類の画像は1,464,800件(当初は約160万件と発表)。痕跡が確認された会員に見舞いとして3,000円相当を渡すと発表 [12]

13. 2026年10月23日

    見舞金と対応費用として特別損失55億円を計上する見込みと発表し、2026年10月期の純利益の予想を下方修正 [14]

14. 2026年10月23日

    FAQを更新。17時からマイページに会員ごとに漏えいが確認された情報を掲載したとし、見舞金の対象の考え方などを追加 [7]

侵入経路と原因

パーク24によると、2026年9月25日9時07分にタイムズカーのWebシステムで不正アクセスを検知しました。外部の専門機関と調べた結果、第三者による不正アクセスがあったことを確認しています。

10月23日の第5報で、会社は外部専門機関のフォレンジック調査が完了したと公表しました。原因は、Webシステムに存在した脆弱性(ソフトウェアの弱点)が悪用されたことだと判断しています。攻撃者は脆弱性を使って侵入した後、システム内の情報を探り、取得した情報を使ってデータベースとファイル領域にアクセスしていたとしています。

攻撃手法の詳細とシステム構成は、二次被害を防ぐため公表を控えるとしています。どのソフトウェアの、どんな脆弱性だったかは公表されていません。調査では、関連してタイムズクラブのWebシステムへの不正アクセスも確認されました。

2026年9月下旬から10月上旬には、会員向けのWebサービスやアプリへの不正アクセスの公表が相次ぎました。ただし、共通の原因や同じ攻撃者によるものだという公式の発表はありません。

影響

第1報では件数を示さず、3日後の第2報で、会員情報約660万アカウント分が取得されたと公表しました。10月23日の第5報の最終件数では、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報にアクセスされ、外部送信の痕跡が確認されたのは6,628,007件です。対象はタイムズカーの会員と退会者で、入会の手続きが完了しなかった人も含みます。タイムズビジネスサービスの会員と退会者も対象です。

この件数はアカウントの数で、人数ではありません。日経クロステックによると、パーク24は、個人と法人の両方で登録している場合や、複数回入会した場合の重複を含むと説明しています。

第5報では、ほかの項目の件数も示しました。法人会員の所属部署名が3,677件、タイムズビジネスカード番号が113件、ハッシュ化されたパスワードが4件です。連携サービスIDの漏えいは、第2報で9件としていましたが、第5報で4件に訂正しました。第2報で対象としていたJR西日本グループの「WESTER ID」は0件でした。

本人確認書類の画像(運転免許証、現住所を確認する書類、学生証、家族確認書類など)は、暗号化して保管されていました。第5報では、外部送信の痕跡が確認された画像は1,464,800件、アクセスされたが外部送信の痕跡がない画像は891,602件(計2,356,402件)としています。当初は約160万件に漏えいのおそれがあると発表していました。会社は、暗号化されているため直ちに中身が見られる状態になったわけではないが、将来の復号の可能性は完全には否定できないとしています。

関連して、タイムズクラブのWebシステムでも外部送信の痕跡が見つかりました。氏名・住所・生年月日・運転免許情報が5件、タイムズクラブカード番号が19,510件、他社提携サービスと連携するための識別番号が135,436件、クレジットカード番号の下4桁が28件などです。会社はカード番号の全桁とセキュリティコードを保有しておらず、不正に使われるおそれはないとしています。

退会者の情報が残っていた理由について、会社はFAQで説明しています。氏名、住所、生年月日は税法などに基づき7年間保管しています。運転免許情報と画像は、なりすまし対策と問い合わせ対応のため7年間保管していました。本人確認書類の画像は、暗号化したうえで、現会員は会員期間中、退会者は退会後7年間保有するルールでした。

本人確認書類の画像の漏えいについては、行政の動きもあります。金融庁は2026年10月9日、金融機関等に対し、非対面の本人確認で書類の画像や顧客の顔の画像に不自然な点がないかを改めて確かめるよう求めました。あわせて、2027年4月1日に施行される画像送信方式の廃止(ICチップの読み取りへの原則一本化)を待たず、できるだけ早く対応するよう要請しています。

金融庁の文書は、個別の事案の名前を挙げていません。不正アクセスによる顧客情報の漏えいが相次いでいることに触れているだけです。この要請を報じたITmedia NEWSは、免許証画像の漏えいが相次ぐ例として、タイムズカーの約160万件に触れています。

漏えいした情報が売買・公開された事実は、10月23日時点で確認されていないとしています。会社は、フィッシング、なりすましによる申込みや問い合わせ、不正な勧誘などのリスクがあるとし、ダークウェブを含む情報の流通の監視を続けています。サービスは通常どおり続いています。

業績の面では、見舞金と対応費用として特別損失55億円を計上する見込みです。2026年10月期の親会社株主に帰属する当期純利益の予想を、440億円から385億円に下げました。公表直後に会員数の推移に一定の影響が見られた一方、1日あたりの売上高は事案前の水準を保っているとしています。

会社の対応と再発防止策

会社は9月26日7時25分までに不正アクセスの経路と攻撃元の通信を遮断しました。検知からおよそ22時間後です。外部の専門機関によるフォレンジック調査を行い、9月25日に個人情報保護委員会に報告しました。10月23日の適時開示によると、9月29日に警察への相談を始め、国土交通省にも一報を入れています。

本人確認書類が漏えいした会員には、9月29日からメールで個別に案内しています。第5報と同じ10月23日の17時からは、タイムズカーのWebサイトのマイページに、会員ごとに漏えいが確認された情報を載せています(FAQ)。

退会者には、10月1日から順次個別に案内しています。登録された連絡先が今も使えるとは限らないため、会社は退会者と入会しなかった人に、専用の問い合わせフォームから連絡するよう求めています。記入から2週間程度を目処に、順次案内するとしています(FAQ)。

会員には、会社を装ったメール、SMS、電話に注意し、身に覚えのない連絡のリンクや添付ファイルを開かないよう呼びかけています。会社がSMSの認証コードやパスワードを尋ねることはないとしています。24時間対応の電話窓口(0120-25-8924)と問い合わせフォームを設けています。

10月6日には、運転免許証画像が流出した場合についての説明をFAQに加えました。会社は、金融機関などの非対面の本人確認では、書類の画像に加えて本人の顔の画像との照合などの追加の手続きが使われると説明しています。一方で、なりすましなどの不正の可能性を完全には否定できないとしています。警察庁に相談したうえで、警察を名乗る詐欺電話への注意を呼びかけ、詐欺対策のアプリを紹介しています。

10月13日にもFAQを更新しました。追加の手続きの例として、ICチップ情報の読み取り、公的個人認証、本人名義の口座による確認を挙げています。あわせて、説明の根拠にした法令(犯罪収益移転防止法など)と、金融庁・総務省の公表資料を示しました。

本人確認書類の画像の保有ルールも見直しました。これまでは登録時の本人確認、不正利用が疑われる事案への対応、問い合わせ対応のために画像を保有していましたが、会員登録が完了したら保有しない社内ルールに変えました(10月16日の第4報、10月23日の第5報)。いま保有している画像は、本人の申し出の有無にかかわらず、2026年10月末までに削除するとしています。問い合わせに備え、保存していた画像との同一性を確かめるための情報は残すとしています。

見舞いについて、会社は10月23日の第5報で、暗号化された本人確認書類の画像へのアクセスと外部送信の痕跡が確認された会員に、3,000円相当の現金または金券を渡すと発表しました。内容と渡し方は検討中で、決まり次第案内するとしています。FAQでは、外部送信の痕跡がない画像は閲覧・取得された可能性が低いと考え、対象を分けたと説明しています。

再発防止では、確認された侵害経路への対策は完了し、同じ構成のシステムの点検と脆弱性対策、監視・検知の強化を行ったとしています。社外取締役を中心に外部専門家を加えた調査委員会で、内部統制とガバナンスの観点から検証します。具体的な情報セキュリティ強化策とガバナンス強化策は、年内をめどに公表するとしています(2026年10月30日時点)。

第3報は、調査結果を踏まえた改めての案内を「2週間程度を目処」としていました。第4報で案内の日を10月23日に変え、同日に第5報として調査結果を公表しました。続報が出たら、このページを更新します。

この事案から学べること

• 退会者や手続きが完了しなかった申込者の情報も、システムに残っていれば漏えいの対象になります。会社は退会後7年間保管していたと説明しています。持っている情報の範囲が、そのまま被害の範囲になります。
• 運転免許証などの本人確認書類の画像は、変更できない情報です。パスワードと違い、漏えいした後に利用者が打てる手が限られます。
• パスワードを復元できない形式で、本人確認書類の画像を暗号化して保管していたことで、取られたデータがそのまま使われる危険は下がります。会社も、画像は直ちに見られる状態ではないと説明しています。保存の仕方で被害の広がりが変わります。
• 退会者の連絡先は古くなっていることがあり、通知そのものに手間がかかります。保管を続ける情報は、事故のときに知らせる手段まで含めて考える必要があります。

自社で確認すること

1. 1 退会した顧客や、申し込みを途中でやめた人の情報を、いつ消すか決めていますか?
2. 2 本人確認書類の画像を、確認が終わった後も保存し続けていませんか?
3. 3 会員向けWebサービスのパスワードを、復元できない形式で保管していますか?

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2026年10月5日 ・ 焼肉きんぐ 会員管理システムから、登録者のほぼ全員の約1,079万件
• 2026年9月16日 ・ Gyazo アップロードサーバの脆弱性で、ユーザー関連データ約2,362万件
• 2026年7月24日 ・ ムラウチドットコム Webシステムの脆弱性を突かれ、約772万件が持ち出し
• 2026年9月29日 ・ セイコーマート アプリのサーバに不正アクセス。57万4,647人分

よくあるご質問

タイムズカーを退会していても、情報は漏れていますか?

対象には退会済みの会員も含まれると公表されています。入会を申し込んだが手続きが完了しなかった人も対象です。会社は退会者に2026年10月1日から順次個別に案内しています。連絡先が変わっている場合に備えて、退会者専用の問い合わせフォームから退会時の登録情報を送るよう求めています。会員ごとに漏えいが確認された情報は、2026年10月23日17時からマイページに掲載されています。

なぜ退会者の情報が残っていたのですか?

会社はFAQで、氏名・住所・生年月日は税法などに基づき、運転免許情報と画像はなりすまし対策と問い合わせ対応のため、退会後7年間保管していると説明しています。2026年10月16日の第4報と10月23日の第5報で、本人確認書類の画像は会員登録の完了後は保有しないルールに変え、保有中の画像は10月末までに削除するとしました。

補償はありますか?

会社は2026年10月23日の第5報で、暗号化された本人確認書類の画像へのアクセスと外部送信の痕跡が確認された会員に、見舞いとして3,000円相当の現金または金券を渡すと発表しました。内容と渡し方は検討中で、決まり次第案内するとしています(2026年10月30日時点)。

運転免許証の画像が漏れると、口座開設などに悪用されますか?

会社はFAQで、金融機関などの非対面の本人確認では顔の画像との照合などの手続きも使われると説明しつつ、なりすましの可能性を完全には否定できないとしています。金融庁は2026年10月9日、金融機関等に書類画像・顔画像の確認の徹底と、画像送信方式の廃止(2027年4月1日施行)を待たない早期の対応を求めました。金融庁の文書はタイムズカーを名指ししていません。

会員は何をすればよいですか?

会社は、会社を装ったメール、SMS、電話に注意し、身に覚えのない連絡のリンクや添付ファイルを開かないよう呼びかけています。警察を名乗る詐欺電話にも注意を促しています。パスワードは復元できない形式で保管されていました。第5報では、ハッシュ化されたパスワード4件に外部送信の痕跡があったとしています。自分の漏えい内容は、マイページで確認できます。

出典

1. 「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について(第1報) ↗ (パーク24株式会社、2026-09-25)
2. タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について(第2報) ↗ (パーク24株式会社、2026-09-28)
3. タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について(第3報) ↗ (パーク24株式会社、2026-09-29)
4. タイムズカー、個人情報最大660万件流出 不正アクセスで免許証画像も ↗ (日本経済新聞)
5. タイムズカー 不正アクセス ↗ (@IT、2026-09-30)
6. 本人確認書類の画像流出、対象アカウントは約160万件 - タイムズカー ↗ (Security NEXT)
7. タイムズカーWebサイトへの不正アクセスに関するご質問と回答(2026年10月1日公開、10月23日最終更新) ↗ (タイムズモビリティ株式会社、2026-10-23)
8. タイムズカー、退会者にも漏洩状況を個別通知 確認から案内まで約2週間 ↗ (日経クロステック、2026-10-02)
9. 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について ↗ (金融庁、2026-10-09)
10. 金融庁、本人確認の「ICチップ一本化」へ早期移行を要請 免許証画像の漏えい相次ぎ ↗ (ITmedia NEWS、2026-10-09)
11. 「タイムズカーWebシステム」への不正アクセスに関する対応について(第4報) ↗ (タイムズモビリティ株式会社、2026-10-16)
12. タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について(第5報) ↗ (パーク24株式会社、2026-10-23)
13. 不正アクセスに関する調査結果および今後の対応に関するお知らせ(適時開示) ↗ (パーク24株式会社、2026-10-23)
14. 特別損失の計上および通期連結業績予想の修正に関するお知らせ(適時開示) ↗ (パーク24株式会社、2026-10-23)
15. 「タイムズカー」への不正アクセス、本人確認書類画像データが漏えいした顧客に 3,000円相当を見舞いとして支払い ↗ (ScanNetSecurity、2026-10-27)