カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティで、大規模な個人情報漏えいが発生しました。
パーク24は2026年9月28日、タイムズカーのWebシステムが不正アクセスを受け、保存されていた会員情報の一部が第三者に取得されたことを発表しました。
漏えいしたアカウントは約660万件に上り、現在利用している会員だけでなく、退会済みの人や入会手続きを完了していない人も対象となっています。さらに、運転免許証画像などの本人確認書類情報も含まれていたことが明らかになりました。
タイムズカーで何の情報が漏えいした？
今回漏えいした情報は対象者によって異なりますが、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報、パスワード、連携サービスIDなどが含まれています。
法人向けの「タイムズビジネスサービス」では、所属部署名も対象となっています。また、連携サービスIDについては、JR西日本グループの「WESTER ID」など9件のサービスが含まれています。
特に注意したいのが、運転免許証画像などの本人確認書類情報です。メールアドレスや電話番号とは異なり、運転免許証などの本人確認書類は簡単に変更できる情報ではありません。
一方、パーク24はクレジットカード情報は漏えいしていないことを確認したとしています。
退会した人や入会できなかった人も対象
今回の対象は、現在タイムズカーを利用している会員だけではありません。タイムズカーの退会済み会員に加え、入会を申し込んだものの、何らかの理由で入会手続きを完了していない人も含まれています。
さらに、タイムズビジネスサービスの現会員と退会済み会員も対象です。そのため、現在タイムズカーを利用していない人でも、過去に登録した情報が今回の漏えい対象になっている可能性があります。
パスワードは復元できない形式で保管
漏えいした情報にはパスワードも含まれています。ただし、パーク24は、パスワードを復元できない形式で保管していたと説明しています。
そのため、現時点では漏えいしたパスワード情報を使ってアカウントを不正利用される恐れはないとしています。ただし、氏名や住所、メールアドレスなどの情報が漏えいしている可能性があるため、今後、タイムズカーを装ったメールやSMSなどが届く可能性には注意が必要です。
9月25日に不正アクセスを検知
今回の不正アクセスは、9月25日午前9時7分に検知されました。その後、外部専門機関の協力を得ながら調査を進めた結果、第三者がシステムにアクセスしていたことを確認しました。
9月26日午前7時25分までに、不正アクセス経路の遮断、攻撃元との通信遮断、遮断後にアクセスできないことの確認を完了しています。現在も監視を続けており、現時点では新たな不正アクセスは確認されていないということです。
9月25日の第1報では「個人情報が漏えいした可能性」とされていましたが、その後の調査によって、実際に一部の会員情報が第三者に取得されたことが確認されたという点が今回の発表の重要なポイントです。
利用者はフィッシング詐欺などに注意
現時点で、漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていません。また、タイムズカーのサービスは通常通り提供されています。
ただし、今後は今回流出した可能性のある情報を悪用したフィッシング詐欺やなりすましに注意する必要があります。
パーク24は、タイムズカーを装ったメール、SMS、電話などに注意し、身に覚えのない連絡に記載されたリンクや添付ファイルを開かないよう呼びかけています。
また、パスワードや認証コード、クレジットカード情報などを入力しないよう注意喚起しています。同社がメールやSMS、電話でパスワードやクレジットカード情報を尋ねることはないとしています。
今後は不正アクセスの原因や再発防止策に注目
今回の情報漏えいでは、約660万件という規模だけでなく、運転免許証画像など本人確認書類の情報が含まれていることが大きな特徴です。
パーク24は現在、外部専門機関によるフォレンジック調査を進めており、個人情報保護委員会と警察にも報告しています。対象者には順次、個別に案内するとしています。
今後は、不正アクセスの原因や具体的な侵入経路、どの情報が第三者に取得されたのか、そして再発防止策がどのような内容になるのかが注目されます。
タイムズカーを現在利用している人だけでなく、過去に利用していた人や入会手続きをしたものの完了しなかった人も対象となっているため、今後届く案内を確認し、不審なメールやSMSなどには十分注意することが重要です。
タイムズカーWEBサイト https://share.timescar.jp/
