この2週間、不正アクセスとランサムウェアによる被害が国内の大手サービスで相次ぎました。1本目はカーシェア「タイムズカー」で、運転免許証などの本人確認書類を含む会員情報が大量に流出したおそれがある事案。2本目は京王電鉄グループがランサムウェア攻撃を受け、一部グループ会社の営業システムに障害が出た件（鉄道運行への影響はなし）。3本目は東京メトロやセイコーマートなど、会員向けサービスへの不正アクセスが続発している状況です。中小企業も「本人確認書類・会員情報の管理」「バックアップと復旧」「多要素認証」の3点を今すぐ点検すべき局面です。
NEWS 01
タイムズモビリティ公表（各社報道）｜ 2026年9月25日
カーシェア「タイムズカー」に不正アクセス、運転免許証など本人確認書類を含む会員情報が流出のおそれ
パーク24グループでカーシェアリング「タイムズカー」を運営するタイムズモビリティ株式会社は2026年9月25日、同社のシステムが外部から不正アクセスを受け、会員の個人情報が流出した可能性があると公表しました。同社の発表によると、漏えいの可能性がある情報には、氏名、住所、生年月日、電話番号、メールアドレス、会員番号、免許情報、本人確認書類、法人会員情報、連携サービスIDなどが含まれるとしています。原因や侵入経路については、外部専門機関の協力のもとで調査を進めているとし、これは第一報にあたります。
報道によると、流出したおそれのある会員情報は約660万アカウントにのぼり、このうち運転免許証の画像などの本人確認書類は約160万件に及ぶとされています。カーシェアは運転免許証の確認が必須のサービスであるため、氏名・住所・生年月日といった基本情報に加えて、本人確認書類そのものの画像を大量に保管していた点が被害を深刻にしています。同社は新たに公表すべき内容が判明した場合は速やかに知らせるとしており、利用者に対しては今後の続報や不審な連絡への注意を呼びかけています。
▌中小企業への影響
運転免許証などの本人確認書類は、他人になりすました不正な口座開設・契約・ローン申込みに悪用されやすく、金銭被害に直結します。カーシェアに限らず、会員登録・与信・レンタル・宿泊・古物取引などで本人確認書類の画像を預かっている中小企業は少なくありません。自社で保管している場合はもちろん、本人確認をクラウドサービスや外部委託先に任せている場合も、そこが侵害されれば同じ被害が起こり得ます。「登録時に取ったまま消していない免許証画像」が社内やクラウドに大量に眠っていないか、点検が必要です。
▌推奨対応
- 自社が保管する本人確認書類（免許証・マイナンバーカード等の画像）を棚卸しし、「何を・どこに・誰がアクセスできるか」を把握する
- 保管期限を定め、不要になった本人確認書類は確実に削除する運用に切り替える
- 本人確認書類の保管領域はアクセス権限を最小化し、可能な範囲で暗号化する
- 本人確認を外部サービス・委託先に任せている場合は、その事業者の管理体制と漏えい時の連絡フローを確認する
- 従業員・顧客に、免許証の悪用を狙う偽の本人確認依頼やフィッシングに注意するよう周知する
NEWS 02
京王電鉄公表（各社報道）｜ 2026年9月26日
京王電鉄グループにランサムウェア攻撃、一部グループ会社の営業システムに障害（鉄道運行への影響なし）
京王電鉄は2026年9月26日、同社グループがランサムウェアによるサイバー攻撃を受け、一部グループ会社の営業システムに障害が発生したと公表しました。攻撃は同日未明に確認され、鉄道の運行には支障はないとしています。ランサムウェアの種類、攻撃者、侵入経路などの詳細は公表されておらず、同社は警察へ通報したうえで、外部の専門家の協力を得ながら侵入経路と被害範囲の調査を進めているとしています。
第一報の時点では個人情報などの流出は確認されていませんが、データが持ち出された可能性を含めて調査は継続中です。基幹となる鉄道運行システムに影響が及ばなかった点は、運行を担う制御系と事務・営業を担う情報系のネットワークが分離されていたことが働いた可能性があります。ランサムウェアは業務システムを暗号化して使えなくし、復旧と引き換えに金銭を要求する攻撃で、近年は企業規模を問わず被害が広がっています。
▌中小企業への影響
ランサムウェアは大企業だけを狙うものではなく、対策が手薄な中小企業ほど標的になりやすいのが実情です。基幹業務システムが暗号化されて止まれば、受発注・請求・出荷といった事業そのものが停止します。さらに、バックアップまで一緒に暗号化されてしまうと復旧手段を失い、事業継続が危うくなります。今回のように「止まってはいけない系統」を他のネットワークから分離しておくことは、被害範囲を限定するうえで中小企業にも有効な考え方です。
▌推奨対応
- バックアップはネットワークから切り離したオフライン、または別媒体でも保持し、実際に復旧できるか定期的にテストする
- 基幹業務システムと一般の事務系ネットワークを分離し、社内の横移動（ラテラルムーブメント）を防ぐアクセス制御を設ける
- VPN機器や外部公開サーバーのパッチを最新に保ち、管理者アカウントに多要素認証を設定する
- インシデント発生時の初動（該当端末の隔離・警察への通報・外部専門家への連絡）を手順書化しておく
- システム停止時に取引先へ影響を伝える連絡体制と、手作業での業務継続手段を準備する
NEWS 03
各社公表（マイナビニュース・国内インシデント週報の集計）｜ 2026年9月下旬
会員向けサービスへの不正アクセスが続発、東京メトロ約5.9万件・セイコーマート約57万件などで会員情報が流出のおそれ
2026年9月下旬は、会員向けサービスへの不正アクセスによる情報流出の公表が相次ぎました。東京メトロのポイントサービス「メトポ」では、約5万9千件のメールアドレスが第三者に閲覧または取得された可能性があると9月27日に公表されました。セイコーマートでは、スマートフォンアプリのサーバーを経由して会員情報サーバーへ不正アクセスされ、約57万アカウント分の会員情報が閲覧された可能性があるとされています。さらにスターツ出版が運営する「OZmall」では、海外からの大量の不正アクセスにより、最大で約44万7,610人分のメールアドレスが流出した可能性があると発表されています。
これらに共通するのは、ID・メールアドレス・パスワードといった「会員基盤」そのものが狙われている点です。攻撃者は、他社から流出したIDとパスワードの組み合わせを使い回して次々にログインを試す「パスワードリスト攻撃」や、アプリ・APIといった正面のログイン画面以外の経路からの侵入を多用します。メールアドレスの流出は、それ自体が直ちに金銭被害になるとは限りませんが、精巧なフィッシングメールを送りつけるための「宛先リスト」として悪用され、次の被害の起点になります。
▌中小企業への影響
会員登録機能・ログイン・ポイント・アプリを持つサービスは、規模の大小にかかわらず同じ手口で狙われます。中小企業のECサイトや会員サイトも、パスワードリスト攻撃やアプリ・API経由の侵入の対象です。特に、ログイン画面だけを守っていても、返金処理や管理画面、外部連携APIといった「周辺の入口」が手薄だと、そこから会員情報にたどり着かれます。自社が預かっているメールアドレスや会員情報が流出すれば、顧客がフィッシングの標的になり、信用の失墜にもつながります。
▌推奨対応
- 会員ログインに多要素認証を導入し、連続ログイン失敗のロックや地理的に不自然なアクセスの検知を設定する
- 会員基盤に不要な個人情報を保持せず、保持する情報には保管期限を設ける
- アプリ・APIの認証・認可を点検し、管理画面や返金処理など「ログイン画面以外の入口」も対象に含める
- 流出が疑われた際に、対象者へ速やかに通知し注意喚起できる体制を整えておく
- 顧客・従業員に、複数サービスでのパスワード使い回しをやめるよう繰り返し周知する
編集部まとめ
今回の3件に共通するのは、盗まれるのが「本人確認書類・会員情報・認証情報」という悪用しやすいデータだという点です。中小企業がまず着手すべきは、①保有する個人情報・本人確認書類の棚卸しと不要データの削除、②重要アカウントへの多要素認証、③オフラインを含むバックアップと復旧テストの3つです。大手の事案は、規模を問わず同じ手口が自社にも向くという前提で読み解いてください。来週号もお読みください。
参考情報
- タイムズモビリティ「弊社への不正アクセスによるお客様情報流出の可能性に関するお知らせ」（第1報・2026年9月25日）／タイムズカーシェア お知らせ
- 京王電鉄「ランサムウェア攻撃によるシステム障害に関するお知らせ」（2026年9月26日）／京王電鉄 ニュースリリース
- 「2026年9月のサイバー攻撃・不正アクセスまとめ、タイムズカーや京王、東京メトロなど」マイナビニュース／「国内セキュリティインシデント週報（2026年9月23日〜29日）」Zenn
