タイムズカーに不正アクセス｜約663万件流出、免許証画像146万件に送信の痕跡

パーク24株式会社は2026年10月23日、子会社のタイムズモビリティが運営するカーシェア「タイムズカー」の Web システムへの不正アクセスについて、外部の専門機関の調査が終わったとして結果を公表しました（パーク24の2026年10月23日の発表・第5報）。 氏名・住所・運転免許の情報などが外部に送られた痕跡は6,628,007件、暗号化して保管していた運転免許証などの本人確認書類の画像は1,464,800件に外部送信の痕跡があったとしています。 タイムズカーの会員・退会した人・申し込み途中の人と、「カンタン入会」でタイムズビジネスサービスに入った人などに関係します。

公表された内容

• 原因：Web システムにあった脆弱性が悪用されたと判断したとしています。攻撃者は侵入後にシステムの中の情報を探し、得た情報を使ってデータベースとファイルの置き場所に入ったとしています。手口の詳しいことは公表しないとしています
• タイムズカーの Web システム（2026年10月23日の発表）
  • 氏名・住所・生年月日・電話番号・メールアドレス・運転免許の情報：6,628,007件
  • 法人会員の所属部署名3,677件、タイムズビジネスカード番号113件、会員番号8件、連携サービス ID 4件（第2報の9件から訂正）
  • ハッシュ化したパスワード：4件
  • 本人確認書類の画像（暗号化済み）：外部送信の痕跡1,464,800件、アクセスの痕跡だけ891,602件、計2,356,402件。第3報の「約160万件」は、送信の痕跡があるもので約146万件と分かったとしています
• タイムズクラブの Web システム：こちらへの不正アクセスも確かめられ、氏名・住所などの5件、タイムズクラブカード番号19,510件、連携サービス ID 135,436件、カード番号の下4桁28件などに外部送信の痕跡があったとしています
• カードの情報：カード番号の全部の桁とセキュリティコードは持っていないとしています
• 二次被害：売買や公開の事実は確認されていないとしています
• お見舞い：本人確認書類の画像に外部送信の痕跡がある人に、3,000円相当の現金か金券を渡すとしています（中身と渡し方は検討中）
• 画像の扱いの変更：これまで会員の間と退会後7年間保管していた本人確認書類の画像を、登録の確認が済んだらすぐ消すルールに改め、今持っている画像は2026年10月末までに消すとしています
• 業績：対応の費用などで、2026年10月期の通期の業績予想を修正したとしています

経緯

• 2026年9月25日：9時07分に不正アクセスを検知。サーバーを隔離して経路を遮断し、個人情報保護委員会へ報告。第1報を公表
• 2026年9月26日：侵害された環境と関連する環境の切り離しを終えた（7時25分までに遮断などを完了）
• 2026年9月28日：第2報。約660万件の流出と、本人確認書類の画像などが対象と公表。警察へ相談し、国土交通省へ一報
• 2026年9月29日：第3報。本人確認書類の画像の対象を約160万件と公表し、対象の会員へメールで案内を始めた
• 2026年10月16日：第4報。本人確認書類の画像を持たないルールに改め、10月末までに消すと公表
• 2026年10月23日：調査を終え、第5報と調査結果を公表。件数の確定・原因・お見舞い・再発防止の方針を発表

中小企業が今日からできること

• 本人確認書類の画像をいつまで持つかを決め直す：免許証などの画像を「確認が済んだら消す」にできないか検討する。退会した人の画像が残っていないかを今日確かめる
• 暗号化した鍵の置き場所を確かめる：データを暗号化していても、鍵が同じサーバーにあると一緒に取られる。鍵を別の場所で管理しているかを委託先に聞く
• Web システムの脆弱性の診断を受ける：会員サイトや申し込みのページは、年1回以上と大きな改修のあとに脆弱性の診断を受け、見つかった点を直す
• 侵入されたあとの動きに気づけるようにする：Web サーバーから業務のデータベースやファイルの置き場所へ、ふだんと違う量のアクセスがあったら知らせる設定を入れる
• 免許証の情報を使った詐欺に注意を呼びかける：社員がタイムズカーを使っていれば、会社名や免許の情報を使った、それらしいメール・電話に注意するよう社内に伝える