タイムズカー約660万件の情報漏えい→免許証画像を即時削除へ SNSでは「証拠隠滅」の声も：保有ルール変更で波紋

カーシェアリングサービス「タイムズカー」で約660万件のアカウント情報が漏えいした問題を受け、運営元のパーク２４は画像の保有ルールを変更する方針を発表した。今後は会員登録完了後に画像を保有せず、既存の画像も2026年10月末までに削除するという。SNSではこうした動きに対して批判の声も上がっている。

[＠IT]

　パーク２４は2026年10月16日、カーシェアリングサービス「タイムズカー」のWebシステムへの不正アクセスによる個人情報漏えいを受け、本人確認書類の画像保有ルールを変更すると発表した。

　今後は会員登録完了後に免許証画像を保有しない運用に改める。現在保有している画像も、本人からの申し出の有無にかかわらず、2026年10月末までに削除するという。

本人からの申し出によらず「免許証画像は全消し」　一体なぜか？

　従来、同社は会員登録時に提出された運転免許証などの本人確認書類の画像を会員期間中および退会後7年間保有していた。会員登録時の本人確認に加え、不正利用が疑われる事案への対応、問い合わせ対応、各種本人確認業務に利用するためだったとされている。なお、免許証画像は社内ルールに基づいて保管・管理していたという。

　しかし今回の不正アクセスを受け、同社は本人確認書類の画像を保有することに伴うリスクと管理の在り方を検討。会員登録完了後は画像を保有しないルールに変更する。従来は、保有不要となった画像や本人から削除請求があった画像を削除していたが、今後は現在保有している画像も一括して削除する。

　同社は2026年9月25日、タイムズカーのWebシステムへの不正アクセスを検知し、調査を開始した。翌26日までに侵入経路への対策と攻撃元からの通信遮断を実施した。

　2026年9月28日の第2報では、第三者による会員情報の取得を確認したと発表。漏えいしたアカウント数は約660万件に上った。対象にはタイムズカーの現会員や退会者、入会未完了の申込者の他、タイムズビジネスサービスの現会員や退会者が含まれた。

　漏えいした情報は対象者によって異なり、氏名や住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報、法人会員の所属部署名、パスワード、連携サービスIDなどだ。

　同社は、クレジットカード情報の漏えいは確認されていないと説明している。パスワードについても、復元できない形式で保存しており、第三者がパスワードそのものを認識できる状態で漏えいした事実はないという。第2報の時点では、情報の不特定多数への公開や不正利用、新たな不正アクセスは確認されておらず、サービスも通常通り提供しているとしていた。

　2026年9月29日の第3報では、運転免許証画像などの本人確認書類情報が漏えいしたアカウント数が約160万件と公表した。対象となる画像には運転免許証の他、現住所を確認するための公共料金の請求書、学生プランの学生証、家族プランの家族確認書類などが含まれる。同社は同日から該当する会員への個別メール案内を開始した。

画像削除で“証拠隠滅”？　二次被害の調査はどうなるのか

　同社は第3報で、外部専門機関による調査結果を踏まえ、会員ごとの漏えい情報の詳細を約2週間後をめどに案内するとしていた。しかし、第4報では調査に時間を要しているとして、案内日を2026年10月23日に変更した。予定を延期することについて、同社は謝罪している。

　外部専門機関による不正アクセスの原因や影響範囲の調査は継続中だ。同社は個人情報保護委員会や警察にも報告しており、引き続き必要な対応を進めるとしている。

　同社は会員に対し、タイムズカーを装ったメールやSMS、電話などへの注意も呼び掛けている。身に覚えのない連絡に記載されたリンクや添付ファイルを開かず、パスワードや認証コード、クレジットカード情報などを入力しないよう求めた。同社がメールやSMS、電話でパスワードやクレジットカード情報を尋ねることはないという。

　今回の対応を巡っては、本人確認書類の画像を削除することで、免許証画像などが今後悪用された際に、漏えい元や被害との関連性を確認しにくくなるのではないかという懸念もある。SNSでは、被害者の救済や事実関係の究明に必要な情報まで削除することになれば、結果として企業の責任を追及しにくくなるのではないかとの批判も見られる。

　確かに本人確認書類の画像は、二次被害が発生した場合に、流出した情報との照合や悪用の背景を調べるための手掛かりになり得る。画像を削除した後に被害が判明すれば、同社が保有する原本との照合は難しくなる可能性がある。ただし、画像の削除によって調査が必ず不可能になるわけではない。アクセスログや操作履歴、インシデント対応記録など、他の証拠をどの程度保持しているかによっても、調査できる範囲は変わる。

　一方、本人確認が完了した後も画像を長期間保有し続ければ、将来の不正アクセスなどで情報が流出するリスクも残る。今回の運用変更は、業務上の必要性がなくなった画像を保有し続けるリスクを減らすという点では合理性がある。重要なのは、画像を削除するかどうかだけではなく、削除後も二次被害の調査や被害者への説明に必要な記録を確保できるかどうかだ。

　パーク２４は今回、画像保有のリスクと管理方法を検討したと説明している。ただし公表内容からは、画像削除後に二次被害の調査や被害者救済に必要な証拠をどのように確保するのか、具体的な運用までは公表されていない。情報を保有しないことで将来の漏えいリスクを減らす一方、既に発生したインシデントの影響をどこまで追跡できるのか。同社には、画像削除の方針だけでなく、削除後の調査体制や被害者対応についても説明が求められる。