タイムズカー 不正アクセスで6,628,007件の個人情報が漏えい

タイムズモビリティ株式会社は2026年9月25日、運営するカーシェアリングサービス「タイムズカー」への不正アクセスを公表しました。10月23日の第5報と親会社パーク２４株式会社の開示で、外部専門機関によるフォレンジック調査の終了と最終件数を明らかにしています。

何が起きたか

2026年9月25日9時07分に不正アクセスを検知し、9月28日の第2報で一部の会員情報が第三者に取得されたことを確認したと公表しました。調査の結果、タイムズクラブWebシステムへの不正アクセスも確認されています。

第3報で約160万件としていた本人確認書類の画像は、詳細調査で外部送信の痕跡があるものが約146万件と判明しました。画像は暗号化して保管されており、直ちに閲覧可能になったことを意味しないと同社は説明しています。一方で、将来的な復号の可能性を完全には否定できないとしています。

漏えいした情報

本人確認書類の画像には、第3報によると運転免許証、現住所確認書類（公共料金の請求書等）、学生証（学生プランの場合）、家族確認書類（家族プランの場合）の画像が含まれます。会員管理とシステム運用のための識別情報にも、外部送信された痕跡がありました。

第2報で9件としていた連携サービスIDは、調査の結果4件に訂正されました。同社はクレジットカード番号の全桁とセキュリティコードを保持しておらず、不正に利用されるおそれはないとしています。売買・公開を示す事実は、現時点で同社が把握している範囲では確認されていません。

原因と経緯

攻撃者はWebシステムの脆弱性を悪用して侵入し、システム内を探索したうえで、取得した情報を使ってデータベースとファイル領域へアクセスしていました。攻撃手法の詳細は、二次被害防止の観点から公表を差し控えるとしています。

本人確認書類の画像は、暗号化して会員期間中と退会後7年間保有されていました。今後は登録確認の完了後に即時削除するルールに改め、保有中の画像は2026年10月末までに削除するとしています。情報セキュリティとガバナンスの強化策は、年内を目処に公表する予定です。

利用者がやること

同社はフィッシングによる詐欺、なりすましによる各種申込みや問い合わせ、不正勧誘、個人情報の悪用をリスクとして挙げています。

1. マイページで自分の情報を確認する

   10月23日17時から、マイページに利用者ごとの漏えいが確認された情報が掲載されています。退会済みの人は、退会者専用のお問い合わせフォームで確認を依頼できます。

2. タイムズカーを装う連絡に注意する

   身に覚えのない連絡のリンクや添付ファイルを開かず、パスワード、認証コード、クレジットカード情報などを入力しないよう求められています。

3. 見舞いの案内を待つ

   外部送信の痕跡が確認された対象者には、3,000円相当の現金または金券が渡されます。内容と渡し方は検討中で、決定後に対象者へ案内されます。

4. 不明点は専用窓口に問い合わせる

   問い合わせ先は0120-25-8924（24時間）とお問い合わせフォームです。かけ間違いに注意してください。

出典

• 第1報（2026年9月25日）
• 第2報（2026年9月28日）
• 第3報（2026年9月29日）
• 第4報（2026年10月16日）
• 第5報（2026年10月23日）
• パーク２４株式会社 不正アクセスに関する調査結果および今後の対応に関するお知らせ（2026年10月23日）