カーシェア「タイムズカー」のWebシステムへの不正アクセスについて、運営するタイムズモビリティが10月23日に第5報を公表しました。外部専門機関によるフォレンジック調査が終わり、最終的な件数と原因が示されています。運転免許証などの本人確認書類の画像は、外部送信の痕跡が確認されたものが1,464,800件でした。
あわせて、対象者へのお見舞い（3,000円相当）、本人確認書類の画像を10月末までに全件削除すること、マイページで自分の漏えい情報を確認できるようにしたことも発表されています。第4報までの経緯はこちらの記事にまとめています。
第5報のポイント
- フォレンジック調査が10月23日に終了し、最終件数が確定
- 氏名・住所などの外部送信が確認されたのは6,628,007件
- 本人確認書類の画像は、外部送信の痕跡ありが1,464,800件、アクセスのみが891,602件
- 別システム「タイムズクラブWebシステム」への不正アクセスも判明
- 原因はWebシステムの脆弱性。攻撃手法の詳細は非公表
- 画像の外部送信が確認された人に3,000円相当のお見舞い
- 本人確認書類の画像は10月末までに全件削除し、今後は登録確認後すぐに削除
- 10月23日17時から、マイページで自分の漏えい情報を確認できる
漏えいが確認された情報と件数
タイムズカーWebシステム
| 区分 | 情報 | 件数 |
|---|---|---|
| ①基本情報（外部送信の痕跡あり） | 氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報 | 6,628,007件 |
| ②属性・識別情報（①の内数） | 法人会員の所属部署名 | 3,677件 |
| タイムズビジネスカード番号 | 113件 | |
| タイムズカー会員番号（IC管理番号） | 8件 | |
| 連携サービスID | 4件 | |
| ③認証情報（①の内数） | ハッシュ化されたパスワード | 4件 |
| ④本人確認書類の画像（外部送信の痕跡あり） | 暗号化された画像 | 1,464,800件 |
| ⑤本人確認書類の画像（アクセスのみ） | 暗号化された画像 | 891,602件 |
①には、タイムズビジネスサービスに「カンタン入会」で入会し、駐車場だけ（クレジットカード払い）を契約している人の情報も含まれます。連携サービスIDは、第2報の「9件」から「4件」に訂正され、JR西日本の「WESTER ID」は0件でした。
本人確認書類の画像は、これまで「約160万件で漏えいのおそれ」とされていました。詳細調査の結果、実際に外部送信の痕跡があったのは約146万件で、ほかに約89万件はアクセスされたものの送信の痕跡は見つかりませんでした。画像は暗号化して保管されていたため、送信されてもすぐに中身を見られるわけではありません。ただし、同社は将来復号される可能性を完全には否定できないとしています。
タイムズクラブWebシステム（新たに判明）
調査の過程で、駐車場などの会員サービス「タイムズクラブ」のWebシステムへの不正アクセスも確認されました。
| 情報 | 件数 |
|---|---|
| 連携サービスID（他社提携サービスと連携するための識別番号） | 135,436件 |
| タイムズクラブカード番号 | 19,510件 |
| クレジットカード番号の下4桁 | 28件 |
| タイムズビジネスカード番号 | 12件 |
| 氏名、住所、生年月日、運転免許情報 | 5件 |
タイムズモビリティは決済情報を持たない運用をしており、カード番号の全桁とセキュリティコードは保持していません。このため、カードが不正に使われるおそれはないとしています。最終件数は上記のとおりで、現時点で追加の対象範囲は確認されていません。
原因はWebシステムの脆弱性
フォレンジック調査の結果、Webシステムに存在した脆弱性が悪用されたと判断されました。攻撃者は脆弱性を使ってシステムに侵入したあと、システム内の情報を探索し、そこで得た情報を使ってデータベースやファイルの保存領域にアクセスしていたことが確認されています。
攻撃手法の詳細やシステム構成は、二次被害を防ぐため公表しないとしています。確認された侵入経路への対策は完了しており、同じ構成のシステムの点検、脆弱性対策、監視・検知の強化も実施したとしています。
お見舞いと、本人確認書類の画像の扱い
3,000円相当のお見舞い
暗号化された本人確認書類の画像にアクセスされ、外部送信の痕跡が確認された人（④の1,464,800件）に、お見舞いとして3,000円相当の現金または金券を渡すとしています。内容と渡し方は検討中で、決まり次第、対象者に案内される予定です。アクセスのみで送信の痕跡がなかった人（⑤）は、発表の文面上は対象に含まれていません。
画像は10月末までに全件削除
タイムズカーはこれまで、会員登録時に提出された運転免許証などの画像を、暗号化して会員期間中と退会後7年間保有していました。今回、この運用を改め、登録確認が終わった時点で画像をすぐに削除するルールに変えました。
| 対象 | これまで | 変更後 |
|---|---|---|
| 現会員 | 会員期間中は保有 | 登録確認の完了後、すぐに削除 |
| 退会した会員 | 退会後7年間保有 | （保有しない） |
現在保有している画像は、本人の申し出の有無にかかわらず、2026年10月末までに削除されます。ただし、将来の問い合わせ対応のため、保存していた画像と同じものかを確認するための情報は残すとしています。
利用者がやるべきこと
1. マイページで自分の漏えい情報を確認する
10月23日17時から、タイムズカーのWebサイトのマイページに、利用者ごとの漏えいが確認された情報が掲載されています。ログインして確認してください。退会済みの人は、専用の問い合わせフォームから確認を依頼できます。
2. なりすましや詐欺に注意する
タイムズモビリティは、想定されるリスクとして、フィッシングメールやフィッシングサイトによる詐欺、なりすましによる各種の申し込みや問い合わせ、不正な勧誘、個人情報の悪用を挙げています。お見舞いの案内を装った連絡も考えられるため、メールやSMSのリンクは開かず、マイページや公式サイトから確認するのが安全です（この点は筆者の考えです）。
3. 問い合わせ先
- 電話：0120-25-8924（24時間）
- 問い合わせフォーム：https://share.timescar.jp/inquiry.html#contact
今後の対応
同社は、社外取締役を中心に外部専門家を加えた調査委員会で、グループの内部統制とガバナンスの観点から検証するとしています。具体的な情報セキュリティ強化策とガバナンス強化策は、年内をめどに公表する予定です。ダークウェブを含む情報の流通状況の監視も続けるとしています。
公表内容から読み取れること（考察）
ここからは、公式発表をもとにした筆者の考察で、推測を含みます。
今回の第5報でいちばん大きな変化は、本人確認書類の画像の扱いです。退会後7年間も画像を持ち続けていたことが、被害を大きくした要因の一つでした。登録確認が終われば画像そのものは不要という判断は、ほかの事業者にとっても参考になると考えます。
一方で、「暗号化していたので直ちに閲覧可能になったわけではない」という説明には注意が必要です。攻撃者はシステム内の情報を探索してからデータベースやファイル領域に入ったとされており、その過程で復号に使える情報まで得ていたかどうかは公表されていません。お見舞いの対象を外部送信の痕跡がある人に絞ったのも、この不確実性を踏まえた判断とみられます。
また、駐車場のみの契約者やタイムズクラブの会員にも影響が広がったことから、パーク24グループ内でシステムやデータがつながっていたことがうかがえます。年内に公表される強化策で、グループ全体の構成がどう見直されるかが注目されます。
関連記事
【約660万件】タイムズカー不正アクセス、免許証画像など本人確認書類も漏えい｜第4報まで
2026年9月〜10月の情報漏洩まとめ
まとめ
タイムズカーの第5報で、フォレンジック調査が終わり、最終件数が確定しました。氏名・住所などは6,628,007件、本人確認書類の画像は1,464,800件で外部送信の痕跡が確認され、別システムのタイムズクラブでも漏えいがありました。原因はWebシステムの脆弱性です。
対象者には3,000円相当のお見舞いが予定され、本人確認書類の画像は10月末までに削除されます。会員・元会員の人は、マイページで自分の漏えい情報を確認し、なりすましや詐欺に注意してください。
出典
出典：タイムズモビリティ「「タイムズカーWebシステム」への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」（2026年10月23日）
元記事URL：https://share.timescar.jp/news/2026/1023/1825.html
コメント