タイムズカー情報漏えい、約146万件の本人確認書類画像に外部送信の痕跡　利用者が確認すべきこと

今回のニュース

2026年10月23日、パーク24とタイムズモビリティは、タイムズカーなどのWebシステムへの不正アクセスについて外部専門機関による調査結果を公表しました。9月25日に異常なアクセスを検知して以降、システムの隔離やアクセス経路の遮断、フォレンジック調査を進めていた事案の第5報です。

今回の調査で、これまで約160万件に漏えいのおそれがあるとしていた運転免許証などの本人確認書類画像について、約146万件に外部送信の痕跡が確認されました。画像は暗号化された状態で保管されており、外部送信されたことが直ちに画像内容を閲覧できたことを意味するわけではありません。ただし会社は、将来的な復号の可能性を完全には否定できないと説明しています。

また、Webシステムに存在した脆弱性が悪用され、侵入後にデータベースやファイル領域へアクセスされたことが原因と判断されています。

要点

今回の続報で重要なのは、本人確認書類画像について単なる『漏えいの可能性』から一歩進み、約146万件で外部送信の痕跡が確認されたことです。対象となる画像には運転免許証などが含まれます。

一方で、暗号化された画像がそのまま第三者に閲覧されたと確認されたわけではありません。現時点で会社が把握する範囲では、漏えい情報が売買・公開された事実も確認されていません。『画像が外部送信された』ことと『画像内容が実際に悪用された』ことは分けて考える必要があります。

会社は、漏えいした情報を利用したフィッシング、なりすましによる申込みや問い合わせ、不正勧誘、個人情報の悪用を想定リスクとして挙げています。対象者には個別通知を行い、本人確認書類画像へのアクセスと外部送信の痕跡が確認された顧客には3,000円相当の現金または金券を渡す方針です。方法は今後案内するとしています。

10月23日の第5報で何が分かったのか

これまでの発表では、タイムズカーの会員情報が第三者に取得されたことや、本人確認書類画像にも漏えいのおそれがあることが公表されていました。10月23日の第5報では、外部専門機関による調査を踏まえて影響範囲と原因がさらに具体化しました。

本人確認書類画像については、約146万件で外部送信の痕跡が確認されました。また、外部送信の痕跡までは確認されなかったものの、攻撃者がアクセスした痕跡のある暗号化データも存在します。

会社は従来、本人確認書類画像を会員期間中と退会後7年間保有していましたが、今回の事案を受けて運用を変更しました。今後は会員登録完了後に画像を保有しないルールとし、現在保有している本人確認書類画像も、利用者からの申し出の有無にかかわらず2026年10月末までに削除するとしています。

クレジットカード番号全桁とセキュリティコードについては、会社が非保持化しており、本事案による不正利用のおそれはないと説明しています。

対象者が今から確認したいこと

まず、タイムズカーから届く個別通知を確認してください。ただし、今回の事案そのものを悪用した便乗フィッシングが起きる可能性も考え、メールやSMS内のリンクから慌てて手続きするのではなく、普段使っている公式アプリ、保存済みの公式ブックマーク、または自分で確認した公式サイトからアクセスする方が安全です。

次に、タイムズカーと同じパスワードを他サービスでも使っている場合は、使い回しをやめ、それぞれ異なるパスワードへ変更してください。パスワード変更を求める偽メールが届く可能性もあるため、変更操作は公式サイトや公式アプリから行います。

氏名、住所、電話番号、メールアドレス、本人確認情報などを知っている相手から連絡が来ても、それだけで本物とは判断しないでください。漏えいした情報を組み合わせると、本人しか知らないように見える内容を含んだ詐欺連絡を作れる場合があります。料金支払い、本人確認、口座変更、認証コード入力などを求められた場合は、連絡に記載された窓口ではなく公式窓口を別経路で確認してください。

本人確認書類画像へのアクセス・外部送信の痕跡が確認された対象者には、3,000円相当のお見舞いについて今後案内されます。現時点では受け取り方法が未決定なので、『補償金を受け取るためカード情報を入力してください』などと先回りする連絡には特に注意が必要です。

免許証画像が含まれる場合に長めに警戒したい理由

パスワードは変更できますが、氏名、生年月日、住所、免許証に記載された情報などは簡単には変更できません。そのため、今回のように本人確認書類が影響範囲に含まれる事案では、直後だけでなく時間がたってからのなりすましや詐欺にも注意する必要があります。

ただし、今回外部送信された画像は暗号化されており、会社は直ちに内容が閲覧可能になったことを意味しないと説明しています。免許証画像がすでに犯罪に使われたと断定することもできません。必要以上に不安をあおるのではなく、今後の不審な申込み通知、身に覚えのない本人確認連絡、金融機関や通信会社などを名乗る連絡を普段より慎重に確認することが現実的です。

身に覚えのない契約や金銭被害など具体的な異常が見つかった場合は、そのサービスの公式窓口や金融機関、必要に応じて警察などの公的相談窓口へ早めに相談してください。

まとめ

タイムズカーの不正アクセスでは、10月23日の調査結果で、運転免許証などの本人確認書類画像約146万件に外部送信の痕跡が確認されました。画像は暗号化されていたため、外部送信イコール内容の閲覧・悪用と断定することはできませんが、会社自身も将来的な復号可能性を完全には否定していません。

利用者側で重要なのは、公式の個別通知を確認すること、便乗フィッシングに注意すること、パスワードを使い回している場合は公式経路から変更すること、そして本人確認情報を知っている相手からの連絡でも無条件に信用しないことです。

今回の補償方法はまだ決まっていません。補償や本人確認を口実にした偽メール・SMSが届いても、そこから直接手続きせず、タイムズカーの公式サイトや公式窓口で情報を確認してください。