リクルート（カーセンサー・C-MATCH）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月17日、リクルートは中古車情報サイト「カーセンサーnet」の関連システムへの外部からの不審なアクセスを見つけ、同日17時ごろから関連サービスを止めました（リクルートの発表）。 10月21日、第三者の不正アクセスで最大370万9551件の個人情報が漏えいしたおそれがあると公表しました。販売店に問い合わせた利用者が321万421件（大半は氏名と住所）、口コミを投稿した利用者が5289件、販売店向けの「C-MATCH」に登録している中古車販売店が48万3168件（代表者・担当者の氏名と電話番号、古物商の許可番号、ログイン ID など。個人事業主は引き落とし口座の情報も）、社員・委託先などの関係者が1万673件です。 決済の情報とログインのパスワードは含まれないとしています。侵入の経路は公表されていません。

会社の対応

• 10月17日17時ごろから、カーセンサーnet・アプリ版のカーセンサー・C-MATCH などを停止。再開の時期は公表されていません
• 個人情報保護委員会への速報
• 対象の人への順次の個別連絡と、問い合わせ窓口の設置
• 10月21日時点で二次被害は確認されていないとしています。原因の究明と対策を進めるとしています

この事例から中小企業が学べること

• 業務で使う外部のサービスには、口座や許可番号など自社の大事な情報も預けている。預けている項目を一覧にしておく
• 同じ ID とパスワードを複数のサービスで使い回さない
• 漏えいした担当者名や電話番号を使う、会社をかたる連絡が来る前提で、社内に確かめ方を伝えておく
• 集客や受け付けを1つのサービスに頼っていると、止まったときに客の受け付けができない。代わりの手段を決めておく