# タイムズカー 不正アクセスで6,628,007件の個人情報が漏えい

タイムズモビリティは、タイムズカーのWebシステムへの不正アクセスの調査結果を公表しました。氏名や運転免許情報など6,628,007件で外部送信の痕跡を確認し、暗号化された本人確認書類の画像も1,464,800件で外部送信の痕跡が確認されています。

タイムズモビリティ株式会社は2026年9月25日、運営するカーシェアリングサービス「タイムズカー」への不正アクセスを公表しました。10月23日の第5報と親会社パーク２４株式会社の開示で、外部専門機関によるフォレンジック調査の終了と最終件数を明らかにしています。

<Points>

- タイムズカーWebシステムでは6,628,007件で、氏名や運転免許情報などに外部送信された痕跡が確認された
- 暗号化された本人確認書類の画像は計2,356,402件にアクセスの痕跡があり、うち1,464,800件で外部送信の痕跡が確認された
- 原因はWebシステムの脆弱性の悪用。外部送信の痕跡が確認された画像の対象者には3,000円相当の見舞いが予定されている

</Points>

## 何が起きたか

2026年9月25日9時07分に不正アクセスを検知し、9月28日の第2報で一部の会員情報が第三者に取得されたことを確認したと公表しました。調査の結果、タイムズクラブWebシステムへの不正アクセスも確認されています。

第3報で約160万件としていた本人確認書類の画像は、詳細調査で外部送信の痕跡があるものが約146万件と判明しました。画像は暗号化して保管されており、直ちに閲覧可能になったことを意味しないと同社は説明しています。一方で、将来的な復号の可能性を完全には否定できないとしています。

<Stats source="タイムズモビリティ株式会社 第5報（2026年10月23日）">
<Stat value="6,628,007件" label="アクセスされ、外部送信された痕跡が確認されたもの" />
<Stat value="1,464,800件" label="暗号化された本人確認書類の画像（外部送信の痕跡あり）" />
<Stat value="891,602件" label="暗号化された本人確認書類の画像（アクセスされたが外部送信の痕跡は確認されず）" />
</Stats>

## 漏えいした情報

| システム | 情報 | 件数 |
| --- | --- | --- |
| タイムズカー | 氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報 | 6,628,007件 |
| タイムズカー | 法人会員様の所属部署名 | 3,677件 |
| タイムズカー | タイムズカー会員番号（IC管理番号） | 8件 |
| タイムズカー | タイムズビジネスカード番号 | 113件 |
| タイムズカー | 連携サービスID | 4件 |
| タイムズカー | パスワード（ハッシュ化） | 4件 |
| タイムズカー | 本人確認書類の画像（暗号化、外部送信の痕跡あり） | 1,464,800件 |
| タイムズカー | 本人確認書類の画像（暗号化、アクセスされたが外部送信の痕跡は確認されず） | 891,602件 |
| タイムズクラブ | 氏名、住所、生年月日、運転免許情報 | 5件 |
| タイムズクラブ | タイムズクラブカード番号 | 19,510件 |
| タイムズクラブ | タイムズビジネスカード番号 | 12件 |
| タイムズクラブ | 連携サービスID | 135,436件 |
| タイムズクラブ | クレジットカード番号の下4桁 | 28件 |

本人確認書類の画像には、第3報によると運転免許証、現住所確認書類（公共料金の請求書等）、学生証（学生プランの場合）、家族確認書類（家族プランの場合）の画像が含まれます。会員管理とシステム運用のための識別情報にも、外部送信された痕跡がありました。

第2報で9件としていた連携サービスIDは、調査の結果4件に訂正されました。同社はクレジットカード番号の全桁とセキュリティコードを保持しておらず、不正に利用されるおそれはないとしています。売買・公開を示す事実は、現時点で同社が把握している範囲では確認されていません。

## 原因と経緯

攻撃者はWebシステムの脆弱性を悪用して侵入し、システム内を探索したうえで、取得した情報を使ってデータベースとファイル領域へアクセスしていました。攻撃手法の詳細は、二次被害防止の観点から公表を差し控えるとしています。

<Flow
  title="検知から調査終了まで"
  steps={[
    { label: "9月25日", note: "9時07分に検知。サーバーを隔離し、個人情報保護委員会へ報告。第1報" },
    { label: "9月26日", note: "7時25分までに経路の遮断と遮断後のアクセス不能確認を完了" },
    { label: "9月28日", note: "第2報で漏えいアカウント数を約660万件と公表" },
    { label: "9月29日", note: "第3報で本人確認書類の漏えいを約160万件と公表" },
    { label: "10月16日", note: "第4報で画像の保有ルール見直しを公表" },
    { label: "10月23日", note: "フォレンジック調査を終了。第5報で最終件数を公表" },
  ]}
/>

本人確認書類の画像は、暗号化して会員期間中と退会後7年間保有されていました。今後は登録確認の完了後に即時削除するルールに改め、保有中の画像は2026年10月末までに削除するとしています。情報セキュリティとガバナンスの強化策は、年内を目処に公表する予定です。

## 利用者がやること

同社はフィッシングによる詐欺、なりすましによる各種申込みや問い合わせ、不正勧誘、個人情報の悪用をリスクとして挙げています。

<Steps>
<Step title="マイページで自分の情報を確認する">

10月23日17時から、マイページに利用者ごとの漏えいが確認された情報が掲載されています。退会済みの人は、退会者専用のお問い合わせフォームで確認を依頼できます。

</Step>
<Step title="タイムズカーを装う連絡に注意する">

身に覚えのない連絡のリンクや添付ファイルを開かず、パスワード、認証コード、クレジットカード情報などを入力しないよう求められています。

</Step>
<Step title="見舞いの案内を待つ">

外部送信の痕跡が確認された対象者には、3,000円相当の現金または金券が渡されます。内容と渡し方は検討中で、決定後に対象者へ案内されます。

</Step>
<Step title="不明点は専用窓口に問い合わせる">

問い合わせ先は0120-25-8924（24時間）とお問い合わせフォームです。かけ間違いに注意してください。

</Step>
</Steps>

## 出典

- [第1報（2026年9月25日）](https://share.timescar.jp/news/2026/0925/1814.html)
- [第2報（2026年9月28日）](https://share.timescar.jp/news/2026/0928/1815.html)
- [第3報（2026年9月29日）](https://share.timescar.jp/news/2026/0929/1816.html)
- [第4報（2026年10月16日）](https://share.timescar.jp/news/2026/1016/1826.html)
- [第5報（2026年10月23日）](https://share.timescar.jp/news/2026/1023/1825.html)
- [パーク２４株式会社 不正アクセスに関する調査結果および今後の対応に関するお知らせ（2026年10月23日）](https://www.park24.co.jp/news/pdf/20261023_02.pdf)