タイムズカーに不正アクセス、会員情報 約660万件が流出　運転免許証の画像など本人確認書類 約160万件も　同時期に13社が情報漏えい・障害を公表

【何が起きたか】パーク24株式会社と子会社のタイムズモビリティ株式会社は、カーシェアリング「タイムズカー」のWebシステムが外部から不正アクセスを受け、約660万件のアカウント情報が第三者に取得されたと公表した。2026年9月25日9時07分に不正アクセスを検知し、9月26日7時25分までに侵入経路と攻撃元からの通信を遮断した。第1報は9月25日、件数を示した第2報は9月28日、本人確認書類の状況を示した第3報は9月29日に出ている。 【漏えいした情報】対象は、タイムズカー会員と退会済みの人（入会申し込み後に入会が完了していない人を含む）、法人向け「タイムズビジネスサービス」の会員と退会済みの人。項目は氏名、住所、生年月日、電話番号、メールアドレス、法人会員の所属部署名、運転免許情報、本人確認書類情報（運転免許証の画像など）、パスワード（復元できない形式で保管）、連携サービスID（JR西日本グループの「WESTER ID」など計9件）。本人確認書類の画像（運転免許証、現住所確認書類、学生証、家族確認書類）は約160万件とされる。クレジットカード情報は漏えいしていないと説明している。9月28日時点で不正利用は確認されていない。 【原因・攻撃者】侵入の手口、攻撃者、情報の取得が始まった時期は公表されていない。外部の専門機関がフォレンジック調査を進めており、再発防止策は続報で公表するとしている。個人情報保護委員会と警察には報告済み。代表者名での声明は、9月30日時点の発表文には記載がない。 【関連する発表】JR西日本は、タイムズカーと連携しているWESTER IDが漏えいした情報に含まれる可能性があると公表した。JR西日本のシステムへの不正アクセスはなく、WESTERのパスワードは同社が別に管理しているため流出していないと説明している。パーク24の株価は公表後に大きく下落した。 【専門家の指摘】神戸大学の森井昌克名誉教授は9月29日、件数よりも運転免許証画像などの本人確認書類が含まれる点が重大で、本人になりすました詐欺や別サービスへの不正な申請に使われるおそれがあると指摘した。 【同じ時期に公表された他社の事案（9月25日〜29日）】SNSでは「タイムズの公表に合わせて各社が一斉に発表した」という趣旨の投稿が広がった。下記のとおり各社の公表は実際に集中しているが、原因や委託先はそれぞれ別で、共通の攻撃者・共通の脆弱性を示す発表や報道は9月30日時点で確認できていない。公表の時期を合わせたことを示す資料も確認できていない。期間を10月6日まで広げた91件の一覧は、別記事「個人情報流出・不正アクセスの公表が相次ぐ（2026年9〜10月）」にまとめている。 ・TOPPAN（9月29日公表）＝損害保険ジャパンの契約者17万7,426人分のカナ氏名・証券番号などを、別の損保会社1社へ誤送付（9月1日・ドラッグ＆ドロップの操作ミス）。不正アクセスではない。詳細は別記事「TOPPAN」（/incident/18）。 ・セコマ（セイコーマート）（9月29日公表）＝公式アプリのサーバー経由の不正アクセスで、会員約57万アカウントの氏名・住所・電話番号などが閲覧された可能性。詳細は別記事「セイコーマート」（/incident/19）。 ・スターツ出版「オズモール」（9月27日公表）＝海外からの大量の不正アクセスで、会員のメールアドレス最大44万7,610人分が漏えいした可能性。一部は氏名と都道府県も。 ・東京メトロ「メトポ」（9月27日公表）＝メール配信サービスへの不正アクセスで、メールアドレス約5万9,000件が閲覧・取得された可能性。 ・集英社「HAPPY PLUS COMMUNITY」（9月28日公表）＝CMSの設定不備を突かれ、ブロガー2,835人の氏名・住所・電話番号・生年月日などが漏えい。不正アクセスは9月9日。 ・レゴランド・ジャパン・ホテル（9月25日公表）＝外部の予約プラットフォーム（スペインのAmadeus IT Groupが運営）への不正アクセスで、予約1,557件分の氏名・メールアドレス・電話番号が漏えいした可能性。 ・イープラス（9月29日公表）＝電子チケット「スマチケ」の払戻し情報を管理するシステムへの不正アクセスで、1,463件のカナ氏名・口座情報・住所・メールアドレスなどが漏えい。 ・ニッポンレンタカー（9月29日公表）＝アプリへの不正アクセスで、会員41人の氏名・電話番号・利用履歴など（一部は免許証番号・住所・カード番号下4桁）が閲覧されたおそれ。 ・手間いらず「TEMAIRAZU」（9月28日公表）＝宿泊予約サイト管理システムへの不正アクセス（9月21日発生）で、複数の宿泊施設の宿泊者情報の一部が閲覧・取得された可能性。9月21日深夜から、予約者の氏名や宿泊日を知ったうえで確認や支払いを求める不審なメッセージ（WhatsApp・WeChat・メール・SMS）が確認された。原因は過去に提供していたインストール型サービスの機能の一部にあったセキュリティ上の問題で、9月26日に対策完了。影響施設はロイヤルパークホテル倉敷、高松国際ホテル、スーパーホテル、ファーストキャビンなど。件数は未公表。 ・京王グループ（9月26日公表）＝ランサムウェア攻撃。京王ストアの決済、京王プレッソインの新規予約、京王バス定期券売場のカード決済などに影響。情報漏えいは確認されていない。鉄道の運行に支障なし。 ・日本郵便（9月25日公表）＝国際郵便の「調査請求Web受付サービス」のサーバーに不正アクセスの可能性。受付を停止。個人情報の漏えいは確認されていない。 ・ヤマト運輸（9月29日公表・10月2日続報）＝「クロネコ代金後払いサービス」が9月28日に不正アクセスを受け、同日22時28分にサービス停止。10月2日の第2報で、一部利用者の氏名・住所・電話番号・メールアドレス・与信番号・請求金額・債権残高・商品明細、一部加盟店の加盟店名と加盟店コード、担当するヤマト運輸社員の氏名が漏えいした可能性があると公表。クレジットカード情報とパスワードは含まれない。件数と原因は未公表で、復旧時期も未定。宅急便など他のサービスは通常どおり。 ・佐川急便（10月1日公表）＝「お荷物問い合わせサービス」などへの不正アクセスで、過去約100日分の荷物の送り主・届け先の氏名・住所・電話番号、運賃契約者の情報、会員制「スマートクラブ」登録者の氏名・住所・電話番号・メールアドレス・会員IDが流出した可能性。荷物追跡APIなど9サービスを停止。クレジットカード情報とパスワードは含まれない。これで宅配3社（日本郵便・ヤマト・佐川）が6日間で不正アクセスを公表したことになる。 ・りそな銀行（9月28日公表）＝旧協和埼玉銀行・旧あさひ銀行の羽村支店で1992年7月〜2001年3月に口座を解約した顧客約9,000人分を記録したフィルム媒体（コムフィッシュ）を紛失。誤廃棄の可能性が高いと説明。不正アクセスではない。 【日本経済新聞の報道（電子版・10月2日時点）】9月28日「タイムズカー、個人情報最大660万件流出」、同日「パーク24株価、午後場下げ拡大」（前日比89円50銭安の1,924円、4.44％安、6月15日以来およそ3か月ぶりの安値）、9月29日「運転免許証画像など本人確認書類が漏えいしたアカウントは約160万件」（免許証のほか公共料金の請求書などの現住所確認書類、学生証、家族確認書類の画像。対象者へのメール案内を29日に開始、詳細は約2週間以内に案内）、9月30日「タイムズカー免許証画像流出、勝手にクレジット…」（免許証画像の流出としては国内最大級で、本人になりすましたクレジットカードの申し込みなどに悪用されるおそれ）。TOPPANは9月29日「損保ジャパンの顧客情報17万人分誤送付」、セコマは9月29日「57万件情報流出か」と報じた。イープラス・ニッポンレンタカー・手間いらずについては、10月1日時点で日経電子版の記事は確認できていない。10月2日には社説「パーク24の情報管理はずさんすぎる」を掲載し、悪用リスクの高い免許証画像を大量に抱えながらの管理は「あまりにずさん」で、退会者の画像を長期間保持する必然性があったのかも問われるとし、個人情報保護法が不要なデータの消去の努力義務を定めている点を指摘した。同日朝刊は「勝手にクレカ発行の恐れ　悪用防止の登録有効」と、信用情報機関への本人申告の活用を伝えた。日経の記事も、各社の事案の関連には触れていない。 【その後の動き（9月30日〜10月2日）】 ・退会後7年の保存（9月30日・ITmedia）＝退会者や入会未完了者の情報まで漏れた理由について、パーク24は「法人税法に基づく取引記録の保管義務（法人税法126条・施行規則59条、原則7年）」と説明。ただし免許証画像の保存は法人税法に根拠がなく「なりすまし対策や問い合わせ対応のため」、入会未完了者の情報も「なりすまし対策や問い合わせへの備え」として保存していたと説明した。保存方針を見直すかは明らかにしていない。 ・政府（9月30日）＝木原稔官房長官が会見で「適切な対応がとられるよう状況を注視する」「必要に応じた対応をとっていく」と発言。個人情報保護委員会と警察がパーク24から報告を受けている。 ・信用情報機関への申し込み集中（9月30日〜10月1日）＝免許証の悪用を防ぐ「本人申告コメント」の届出がCIC・JICCに殺到し手続きが遅延。JICCは10月1日、スマートフォンアプリからの受付を一時休止した（本人申告の手数料は利用者負担）。 ・運転免許証の再交付に並ぶ人（10月2日・テレビ朝日）＝免許センターに番号変更のため並ぶ人が出た。免許証番号の末尾は再交付回数で、再交付すると数字が増える。警察関係者は「写真・住所・生年月日が流出している時点で、番号を変えることに大きな効果があるとは言えない」としている。 ・集団訴訟の動き＝牧野法律事務所（東京都港区）の牧野裕貴弁護士が9月30日未明に参加希望者の受付サイトを開設。約40時間で2,000人を超え（10月1日18時）、10月1日時点で3,000人弱。牧野弁護士は「企業として謝罪をすれば済むような案件ではない」「被害者救済には集団訴訟しかない」と述べ、過去の判例では1人あたり3,000円〜3万円程度の慰謝料だが免許証の流出は損害額を上げる要素になるとした。提訴時期は未定で、会社の情報管理の実態を見て判断するという。 ・パーク24の対応（10月1日）＝よくある質問（PDF）を公開し、退会者が自分の情報が対象かを確認できる専用フォームを設置。本人確認書類が漏えいした約160万件の対象者へのメール案内を9月29日から開始し、詳細は2週間程度で通知する。補償は外部専門機関の調査結果を踏まえて方針を決めるとしている。原因・攻撃者・再発防止策は10月2日時点で未公表。流出データの公開・売買や不正利用は確認されていない。 ・株価＝10月2日にパーク24株は一時1,771円（前日比3.88％安）と6月4日以来4か月ぶりの安値。 ・法人会員＝法人契約（タイムズビジネスサービス）の利用者からも、氏名・住所・生年月日・免許情報・画像が対象との案内を受けたという投稿がXに複数ある。 【10月15日時点の状況】補償について、10月13日更新のFAQは「外部専門機関による調査の結果を踏まえて、全体方針を決定する予定」としている（免許証の再交付手数料を負担する方針は示されていない）。第3報で「2週間程度をめどに改めて案内」としていたが、10月15日時点で第4報は出ていない。侵入経路は未公表。免許証の悪用を心配して、警視庁管内では9月30日からの10日間で約1,500人が免許証を再交付し、相談は約1,000件あった（TBS）。少なくとも16県が特例で再交付を受け付けている。国土交通省はレンタカー業界団体に対策の点検を要請した。集団訴訟の参加受付は「既に8万人を超え」たと共同通信が10月12日付で報じた（登録は参加の意思表示で、提訴の時期は未定）。パーク24株は10月5日に11か月ぶりの安値と報じられた。