タイムズカー（パーク24）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年9月25日、パーク24は、子会社のタイムズモビリティが運営するカーシェア「タイムズカー」の Web システムで不正アクセスを検知し、個人情報が漏えいしたおそれがあると公表しました（パーク24の第1報）。9月28日の第2報で約660万件、9月29日の第3報で本人確認書類の画像約160万件が対象と公表しました。 2026年10月23日、外部の専門機関の調査が終わったとして結果を公表しました（パーク24の2026年10月23日の発表・第5報）。原因は Web システムの脆弱性の悪用と判断したとしています。氏名・住所・生年月日・電話番号・メールアドレス・運転免許の情報6,628,007件に外部送信の痕跡があり、暗号化した本人確認書類の画像は1,464,800件に外部送信の痕跡、891,602件にアクセスの痕跡があったとしています。タイムズクラブの Web システムへの不正アクセスも確かめられ、連携サービス ID 135,436件、タイムズクラブカード番号19,510件などに外部送信の痕跡があったとしています。 カード番号の全部の桁とセキュリティコードは持っていないとしています。

会社の対応

• 検知した9月25日にサーバーを隔離して経路を遮断し、個人情報保護委員会へ報告。9月28日に警察へ相談し、国土交通省へ一報
• 対象の会員・退会した人・法人会員へ順に個別の案内を送った。24時間の電話窓口を設けた
• 本人確認書類の画像を登録の確認後すぐ消すルールに改め、今持っている画像を2026年10月末までに消すとしている
• 画像に外部送信の痕跡がある人に、3,000円相当の現金か金券を渡すとしている
• 侵害された経路への対策を終え、同じ構成のシステムの点検と監視の強化をしたとしている。ダークウェブを含む情報の流通の監視を続けるとしている
• 社外取締役を中心とする調査委員会で内部統制とガバナンスを検証し、セキュリティとガバナンスの強化策を年内をめどに公表するとしている

この事例から中小企業が学べること

• 本人確認書類の画像は、確認が済んだら消す運用にできないか見直す。退会した人の画像を残さない
• 暗号化したデータの鍵を、データと別の場所で管理する
• 会員サイトや申し込みのページの脆弱性の診断を定期的に受ける
• Web サーバーから業務のデータベースへのふだんと違うアクセスに気づける仕組みを置く
• 調査の途中でも、分かったことを続報で出し、件数の訂正もはっきり書く