タイムズカー不正アクセスの経過 免許証画像は登録確認後すぐ削除に

カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティ(パーク24グループ)は、2026年9月25日にWebシステムへの不正アクセスを公表しました。その後の調査で、約660万件のアカウントの情報が第三者に取得されたと分かりました。運転免許証の画像などの本人確認書類は、約160万件です。

10月16日の第4報では、本人確認書類の画像を、会員登録の確認が済んだらすぐ消す決まりに変えたと発表しました。この記事では、第1報から第4報までの経過を記録します。本人がすぐできる自衛策は、免許証の画像が流出したら?タイムズカー漏えいで今すぐできる自衛策にまとめています。

第1報から第4報までの経過

第2報では、外部の専門機関によるフォレンジック調査を進め、個人情報保護委員会と警察へ報告したとしています。第2報の時点で、サービスは通常どおり続いているとしています。

取得された情報

第2報によると、対象はタイムズカーの会員と退会した人です。入会を申し込んで完了しなかった人と、法人向けの「タイムズビジネスサービス」の会員と退会した人も含みます。

取得された情報は人によって違い、次のものが挙げられています。

• 氏名、住所、生年月日、電話番号、メールアドレス
• 法人会員の所属部署名
• 運転免許の情報と、本人確認書類の情報(運転免許証の画像など)
• パスワード(復元できない形で保管)
• 連携サービスのID(JR西日本グループの「WESTER ID」など9件)

第3報では、本人確認書類の画像の種類を、運転免許証、公共料金の請求書などの住所の確認書類、学生証(学生プラン)、家族の確認書類(家族プラン)としています。クレジットカードの情報は漏えいしていないとしています。

画像の保有の決まりを変えた(第4報)

第4報で、同社は本人確認書類の画像の保有の決まりを次のように変えました。

保有していた目的は、登録時の本人確認、不正利用が疑われるときの対応、問い合わせの対応、本人確認の業務だったと説明しています。画像は社内の決まりに沿って管理し、保有の期間も決めた基準で運用していたとしています。

今回、画像を持つことのリスクと管理のあり方を考え直し、登録が済んだら画像を持たない決まりにしました。今持っている画像は、本人の申し出の有無にかかわらず、2026年10月末までに消します。

第3報では、調査の結果を2週間ほどで改めて案内するとしていました。第4報では、調査に時間がかかっているとして、案内を10月23日(金)に延ばしました。原因、侵入の経路、再発防止策は、10月20日時点でまだ公表されていません。

影響する人・会社、しない人・会社

• 影響する人: タイムズカーの会員と、退会した人、入会の申し込みが完了しなかった人です。本人確認書類の画像が漏えいした人には、9月29日からメールでの案内が順次送られています。
• 影響する会社: 法人向けのタイムズビジネスサービスを契約している会社です。社員の氏名や連絡先に加え、所属部署名も対象に挙がっています。
• 影響する会社: 社員がタイムズカーの個人会員になり、社用で使っている会社です。社員の情報が対象かは、本人への案内で分かります。
• 影響しない人・会社: タイムズカーとタイムズビジネスサービスを、一度も申し込んだことがない人と会社です。

会社・情シスが今日やること

1. 法人会員の契約を確かめます。 総務や経理の契約の台帳で、タイムズビジネスサービスの契約と、登録している社員の範囲を確かめます。退会した社員も対象に入ります。
2. 社員に注意を呼びかけます。 氏名と所属部署名がそろうと、取引先や社内を名乗る偽のメールの材料になります。タイムズカーや社内の部署を名乗る連絡のリンクを開かないよう伝えます。
3. 本人確認書類が漏えいした社員の相談先を決めます。 免許証の画像が漏えいした社員には、本人がとる手続きを案内します。手順は自衛策の記事にあります。
4. 自社で預かる本人確認書類の画像を見直します。 採用や契約で預かった免許証などの画像を、いつまで、何のために持っているかを一覧にします。確認が済んだら消せるものは、消す手順と期限を決めます。
5. 10月23日の案内を確かめます。 原因や詳しい対象が分かる予定です。法人会員として追加で対応が要るかを、その時点で判断します。