タイムズカーで不正アクセス 「退会済み」含む約660万件の情報が流出：免許証画像も漏えい

タイムズカーは、Webシステムへの不正アクセスについての調査結果を発表した。退会者を含む約660万件のアカウント情報が第三者に取得され、運転免許証画像などが流出したという。漏えい情報を悪用した二次被害についても注意が必要だ。

[＠IT]

　カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティは2026年9月28日、Webシステムへの不正アクセスについての調査結果と今後の対応（第2報）を公表した。

　退会者や入会未完了者を含む約660万件のアカウント情報が第三者に取得され、運転免許証画像などの本人確認書類情報が流出したことを確認した。

　同社は2026年9月25日に個人情報漏えいの可能性についての第1報を発表していたが、その後の外部専門機関による調査によってデータ流出の事実が判明した。クレジットカード情報については流出していないという。

運転免許情報も漏えい　退会済みや申し込み未完了者を含む約660万件が対象

　タイムズモビリティの発表によると、不正アクセスの検知から初動対応までの時系列は以下の通りだ。

　2026年9月25日9時07分、タイムズカーWebシステムに対する外部からの不正アクセスを検知した。検知後直ちに調査および対応を開始し、外部専門機関の協力の下で調査を進めた結果、第三者による不正アクセスを確認した。

　2026年9月26日7時25分までに、不正アクセス経路の遮断や攻撃元との通信遮断、遮断後のアクセス不能確認を完了した。システムへの侵入経路を断った後も継続して監視をしているが、現時点で新たな不正アクセスは確認されていない。

　また、今回の事象によるカーシェアリングなどのサービス提供への影響は確認されておらず、各種サービスは通常通り継続して稼働している。

　調査の結果、不正アクセスを受けたシステムに保存されていた会員情報の一部が、第三者に取得されたことが確認された。漏えいしたアカウント数は約660万件に上る。

　今回の情報流出の対象となる範囲には、現在サービスを利用している会員だけでなく、過去に利用していたユーザーや手続き途中のユーザーも含まれている。対象者の区分は以下の通りだ。

• タイムズカー会員および退会済みの利用者（入会を申し込んだが、何らかの事由により入会が完了していなかった申込者も含む）
• 法人向けサービス「タイムズビジネスサービス」の会員および退会済みの利用者

運転免許証画像や連携サービスIDなど漏えい情報の内訳

　流出した情報は対象者によって異なるが、氏名や連絡先だけでなく、運転免許証の画像データまで広範囲に及んでいる。確認された漏えい項目は以下の通りだ。

• 氏名
• 法人会員の所属部署名
• 住所
• 生年月日
• 電話番号
• メールアドレス
• 運転免許情報
• 本人確認書類情報（運転免許証画像など）
• パスワード
• 連携サービスID

　流出項目に含まれる連携サービスIDは、「JR西日本グループの会員サービスWESTER ID」など計9件となる。

　一方、流出したパスワードについて同社は、復元できない形式（不可逆なハッシュ化など）で保管していたと説明している。そのため、現時点でパスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されておらず、流出した当該情報を用いて顧客アカウントが不正にログインされたり、悪用されたりする恐れはないとしている。

クレジットカード情報の流出は否定、二次被害への注意を喚起

　決済関連の情報について同社は、クレジットカード情報の漏えいは発生していないことを確認したとしている。

　また、現時点において取得された情報がインターネット上などの不特定多数に公開された事実は確認されておらず、本件に起因する個人情報の不正利用といった被害も確認されていないという。

　ただし、氏名やメールアドレス、電話番号などの個人情報が流出していることから、同社は会員で同社を装った不審な連絡への警戒を呼びかけている。具体的には、タイムズカーや関係者を装ったメール、SMS、電話に十分注意し、身に覚えのない連絡に記載されたリンクや添付ファイルを開かないよう求めている。

　同社がメールやSMS、電話などで会員のパスワード、認証コード、クレジットカード情報を尋ねることはないとしており、それらの情報を偽のWebサイトなどに入力しないよう注意を促している。

フォレンジック調査の継続と今後の再発防止策

　原因の究明と影響範囲の特定に向けて、同社は現在、外部専門機関によるフォレンジック調査を進めている。並行して、個人情報保護委員会および警察などの関係機関への報告を行っており、法的な手順に沿った対応を進めている。

　対象となる会員や関係者には、順次個別の案内を実施する。今後の調査によって新たな事実や影響が確認された場合には、速やかに対象者へ連絡するとともに、公式Webサイトなどを通じて公表するとしている。

　再発防止策について同社は、実施済みの対策に加え、今後実施する中長期的なセキュリティ対策とその実施予定時期を整理した上で、続報として公表する予定としている。