カーシェアリングサービス「タイムズカー」のWebシステムが不正アクセスを受け、会員情報が第三者に取得されました。運営するタイムズモビリティの親会社パーク２４は、2026年9月25日の第1報から10月16日の第4報まで続報を出しています。漏えいしたアカウントは約660万件で、このうち約160万件では運転免許証画像などの本人確認書類も漏えいしました。退会済みの人や、入会を申し込んで完了しなかった人も対象です。
この記事では、第1報から第4報までの公式発表をもとに、経緯、漏えいした情報、パーク２４の対応、会員がとるべき対応を整理します。会員ごとの漏えい内容の案内は、2026年10月23日（金）に予定されています。
経緯：9月25日に検知し、翌朝までに侵入経路を遮断
パーク２４の発表による経緯は次のとおりです。第1報の時点では「漏えいした可能性」でしたが、第2報で第三者による取得が確認され、件数が公表されました。
| 日時 | 内容 |
|---|---|
| 2026年9月25日 9時07分 | タイムズカーWebシステムへの外部からの不正アクセスを検知し、調査を開始 |
| 2026年9月25日 | 第1報。会員の個人情報が外部に漏えいした可能性があると公表 |
| 2026年9月26日 7時25分まで | 不正アクセス経路の遮断、攻撃元との通信遮断、遮断後のアクセス不能確認を完了 |
| 2026年9月28日 | 第2報と適時開示。一部の会員情報が第三者に取得されたことを確認し、漏えいしたアカウント数を約660万件と公表 |
| 2026年9月29日 | 第3報。本人確認書類が漏えいしたアカウント数を約160万件と公表。本人確認書類の漏えいが確認された会員へ、メールでの個別案内を開始 |
| 2026年10月16日 | 第4報。本人確認書類の画像を保有しない社内ルールへの変更と、保有画像の10月末までの削除を公表。個別の詳細案内を10月23日に変更 |
第2報では、不正アクセス経路の遮断後も監視を続けており、新たな不正アクセスは確認されていないと説明しています。外部専門機関によるフォレンジック調査を実施し、個人情報保護委員会と警察へも報告しています。
漏えいした情報：約660万件、うち約160万件は免許証画像などの本人確認書類も
対象となる人
- タイムズカー会員と、退会済みのタイムズカー会員（入会を申し込んだものの、何らかの事由で入会が完了していない人を含む）
- タイムズビジネスサービス会員と、退会済みのタイムズビジネスサービス会員
漏えいした情報（約660万件）
第2報によると、漏えいした情報は対象者により異なり、次の項目です。
- 氏名
- 法人会員の所属部署名
- 住所
- 生年月日
- 電話番号
- メールアドレス
- 運転免許情報
- 本人確認書類情報（運転免許証画像など）
- パスワード（復元できない形式で保管）
- 連携サービスID（JR西日本グループの会員サービス「WESTER ID」など計9件）
本人確認書類が漏えいしたアカウント（約160万件）
第3報では、本人確認書類が漏えいしたアカウント数を約160万件と確認しました。漏えいが確認されている書類画像は次の4種類です。
- 運転免許証画像
- 現住所確認書類画像（公共料金の請求書など）
- 学生証画像（学生プランの場合）
- 家族確認書類画像（家族プランの場合）
クレジットカード情報は漏えいしていない
パーク２４は、クレジットカード情報は漏えいしていないことを確認したと発表しています。パスワードは復元できない形式で保管しており、パスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されていません。発表時点で、情報が不特定多数に公開された事実や、本件に起因する個人情報の不正利用も確認されていないとしています。
パーク２４の対応：本人確認書類の画像は10月末までに削除
第4報では、本人確認書類の画像の扱いを見直しました。これまでタイムズカーは、会員登録時に提出された運転免許証などの画像を、会員期間中と退会後7年間保有していました。登録時の本人確認に加え、不正利用が疑われる事案への対応、問い合わせ対応、各種の本人確認業務に使う目的だったと説明しています。
今回の件を受けて、会員登録の完了後は画像を保有しない社内ルールに変更します。現在保有している本人確認書類の画像は、本人からの申し出の有無にかかわらず、2026年10月末までに削除するとしています。
第2報では、対象となる人に順次個別に案内するとしていました。第3報の2026年9月29日からは、本人確認書類の漏えいが確認された会員にメールで個別の案内を始めました。会員ごとの漏えいの詳細は、外部専門機関の調査結果を踏まえて当初「2週間程度を目処」に案内するとしていましたが、調査に時間を要しているとして、2026年10月23日（金）の案内に変更されました。再発防止策は、実施済みの対策と中長期の対策、その実施予定時期を整理して続報で公表する予定です。
タイムズカー会員がとるべき対応
タイムズカーを装うメール・SMS・電話に注意する（公式のお願い）
パーク２４は、各報で次の点を会員に呼びかけています。
- 当社を装ったメール、SMS、電話などに十分注意する
- 身に覚えのない連絡に記載されたリンクや添付ファイルを開かない
- パスワード、認証コード、クレジットカード情報などを入力しない
- パーク２４がメール、SMS、電話などでパスワードやクレジットカード情報を尋ねることはない
10月23日の個別案内は、公式サイトの窓口とあわせて確かめる（筆者の見解）
公式発表には記載がありませんが、筆者としては、10月23日以降に届く案内メールの内容は、メール内のリンクではなく、公式サイトやアプリ、下記の問い合わせ窓口から確かめることをすすめます。漏えいした情報には氏名・住所・電話番号・メールアドレスが含まれるため、正規の案内に似せた連絡が届いても、文面だけでは見分けにくいためです。
問い合わせ先
- 会員様問い合わせ窓口：0120-25-8924（24時間）
- 問い合わせフォーム：https://share.timescar.jp/inquiry.html
まとめ
- タイムズカーWebシステムへの不正アクセスで、約660万アカウントの情報が漏えい。項目は対象者により異なり、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報などが含まれる。退会者や入会未完了者、タイムズビジネスサービス会員も対象
- 約160万件では、運転免許証画像などの本人確認書類の画像も漏えい
- クレジットカード情報は漏えいしていないと確認。パスワードは復元できない形式で保管
- 本人確認書類の画像は、会員登録完了後は保有しないルールに変え、保有分は2026年10月末までに削除
- 会員ごとの漏えいの詳細は2026年10月23日（金）に案内予定
10月23日の案内や再発防止策の公表で内容が更新される可能性があります。最新情報はパーク２４の公式発表で確認してください。
関連記事
出典：パーク２４「タイムズカーWebシステムへの不正アクセスに関する対応について（タイムズカーWebシステムへの不正アクセスによる情報漏えい関連・第4報）」（2026年10月16日）
元記事URL：https://www.park24.co.jp/news/2026/10/20261016-1.html
出典：パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」（2026年9月29日）
元記事URL：https://www.park24.co.jp/news/2026/09/20260929-1.html
出典：パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日）
元記事URL：https://www.park24.co.jp/news/2026/09/20260928-1.html
出典：パーク２４「連結子会社における不正アクセスの発生および個人情報漏えいに関するお知らせ」（2026年9月28日）
元記事URL：https://ssl4.eir-parts.net/doc/4666/tdnet/2887793/00.pdf
出典：パーク２４「「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）※追記あり」（2026年9月25日）
元記事URL：https://www.park24.co.jp/news/2026/09/web1.html
コメント