サイバーセキュリティ

タイムズカー660万件流出、免許証画像160万件の危険と対策

カーシェア「タイムズカー」への不正アクセスで最大約660万件のアカウント情報が漏えいし、うち約160万件では運転免許証などの本人確認書類画像も流出しました。経緯、漏れた情報、免許証画像が悪用されるリスク、退会者を含む利用者が今すぐ取るべき対策を整理します。

claude

02 10月 2026 • 11 min read

パーク24グループのカーシェアサービス「タイムズカー」のWebサイトが不正アクセスを受け、最大約660万件のアカウント情報が第三者に取得されました。うち約160万件では、運転免許証の画像などの本人確認書類まで流出しています。個人情報漏えいの中でも、免許証画像は「変更がきかない身分証」そのものであり、影響は長期に及びます。本記事では、タイムズカーで何が起きたのか、免許証画像が漏れると何が危ないのか、退会者を含む利用者は何をすべきかを整理します。

この記事の要点

不正アクセスの検知は2026年9月25日9時07分、経路の遮断完了は翌26日7時25分
対象は最大約660万件。現会員だけでなく退会者、入会手続きが完了していない人も含む
運転免許証画像などの本人確認書類が流出したのは約160万件
クレジットカード情報は漏えい対象に含まれていない
侵入の原因や手口は調査中で、詳細な調査結果は続報で公表される予定

背景：なぜカーシェアに免許証画像が集まるのか

タイムズカーは、運営会社のタイムズモビリティ（パーク24グループ）が提供するカーシェアリングサービスです。店舗に行かずにスマートフォンやWebから入会でき、予約した車を無人のステーションで借りられる手軽さが普及を後押ししてきました。

この「対面なしで借りられる」仕組みを支えているのが、オンラインでの本人確認です。運転資格の確認が欠かせないため、入会時に運転免許証の画像を提出します。プランによっては、現住所を確認するための公共料金の請求書、学生証、家族であることを確認する書類なども求められます。つまりカーシェア事業者は、氏名・住所・生年月日といった基本情報に加え、身分証の画像という機微な情報を大量に預かる立場にあります。

今回の事案は、その保管庫が狙われたものです。

何が起きたのか：発覚から第3報までの経緯

公式発表をもとに時系列を整理します。

日時	出来事
9月25日 9時07分	システムで不正アクセスを検知、調査を開始
9月25日	第1報を公表。個人情報漏えいの可能性を告知
9月26日 7時25分	不正アクセス経路の遮断と、遮断後のアクセス不能確認を完了
9月28日	第2報。約660万件のアカウント情報が取得されたと発表
9月29日	第3報。本人確認書類の流出が約160万件と公表、メールでの個別案内を開始

検知から遮断完了まで、およそ22時間かかっています。同社は個人情報保護委員会と警察に報告し、外部の専門機関によるフォレンジック調査を進めています。カーシェアのサービス自体は通常どおり継続しています。

侵入の原因や具体的な手口は、現時点で公表されていません。再発防止策については、実施済みの対策と中長期の対策を整理して続報で示すとしており、詳細な調査結果は第3報の時点から2週間程度を目処に提供される予定です。

漏れた情報の中身：660万件と160万件の違い

「660万件の免許証画像が漏れた」という理解は正確ではありません。数字は二層になっています。

約660万件（アカウント情報）の対象者

タイムズカーの会員、退会済みの人（入会申し込みが完了していない人を含む）
法人向け「タイムズビジネスサービス」の会員、退会済みの人

漏えいした可能性のある項目（対象者によって異なる）

氏名、住所、生年月日、電話番号、メールアドレス
運転免許情報
本人確認書類情報（運転免許証画像など）
パスワード（復元できない形式で保管されていたもの）
JR西日本「WESTER ID」などの連携サービスID
法人会員の所属部署名

約160万件（本人確認書類の画像）に含まれるもの

運転免許証の画像
現住所確認書類の画像（公共料金の請求書など）
学生証の画像（学生プランの利用者）
家族確認書類の画像（家族プランの利用者）

一方、クレジットカード情報は漏えい対象に含まれていないと説明されています。

免許証画像の流出はなぜ深刻なのか

パスワードは変えられます。クレジットカードは番号を再発行できます。しかし、免許証に記載された氏名・生年月日・住所・顔写真は簡単には変えられません。朝日新聞が「長期の悪用リスク」と報じたのは、この性質によるものです。考えられるリスクは大きく3つあります。

1. 本人になりすました契約や借り入れ

オンラインの本人確認（eKYC）では、身分証の画像を提出させるサービスがあります。日本テレビの報道では、免許証画像を差し替えることで本人確認が成立してしまうおそれや、専門家の「借金されてしまうのが一番大きなリスク」という指摘が紹介されました。身分証の画像だけで手続きが完結する仕組みが残っているサービスほど、狙われやすくなります。

2. 精度の高いフィッシングや詐欺

氏名、住所、電話番号、利用サービスが分かっていれば、「タイムズカーを装った連絡」を本物らしく作れます。漏えいの案内そのものを偽装し、パスワードやカード情報を入力させる手口は、大規模漏えいの直後に増えやすい典型例です。

3. 他の漏えい情報との結び付け

ITmediaビジネスオンラインは、別のサービスで漏れた情報と結び付けることで、攻撃者にとって有効なデータが作れてしまう点を問題として挙げています。単体では使いにくい情報も、名寄せされると価値が上がります。

利用者が今すぐ取るべき対策

対象になり得るのは現会員だけではありません。過去に退会した人、入会手続きを途中でやめた人も含まれます。心当たりがあれば、次の対応を検討してください。

公式の個別案内を確認する：9月29日からメールでの個別案内が始まっています。届いた連絡の真偽に迷ったら、メール内のリンクではなく公式サイトから確認します。問い合わせ窓口は 0120-25-8924（24時間）で、退会者向けのフォームも用意されています。
偽の連絡に応じない：同社は、メール・SMS・電話でパスワードやクレジットカード情報を尋ねることはないと明言しています。
パスワードを変更する：パスワードは復元できない形式で保管されていたとされますが、念のため変更し、同じパスワードを使い回している他のサービスも見直します。連携しているサービスのアカウントも確認しておくと安心です。
身に覚えのない契約に目を配る：信用情報機関への情報開示請求で、自分名義の申し込みや契約の記録を確認できます。覚えのない請求書や審査の連絡が届いたら、放置せず発信元と警察に相談します。
不安があれば免許証について相談する：警察署や運転免許センターで相談できます。

影響と今後：問われる「退会後7年保管」

今回、退会者や入会未完了者の情報まで対象になったことで、データの持ち方そのものが論点になっています。ITmediaビジネスオンラインによれば、タイムズモビリティは「法令上、取引記録の保管義務があるため」として、退会後も約7年間は保管すると説明しています。

これに対し、弁護士ドットコムの記事で金田万作弁護士は、個人情報保護法22条が利用の必要がなくなった個人データを遅滞なく消去するよう努めることを求めている点を指摘しています。取引記録を残す必要があるとしても、免許証の画像まで同じ期間、同じ場所に置いておく必要があったのかは、今後の調査と説明で問われる部分です。

賠償についても関心が集まっています。同記事によると、過去の個人情報漏えいでは、ベネッセ事件で1人あたり1,000〜3,300円、東京地裁の令和6年3月25日判決で1人あたり3,300円が認められています。免許証画像が含まれる今回は、より高い慰謝料が認められる可能性があるとの見方が示されています。ただし、慰謝料だけを求める場合は消費者団体訴訟制度を使いにくく、弁護団による多数の原告を集めた訴訟が中心になる見込みとされています。

今後の焦点は、侵入原因の特定、画像データの保管方法の見直し、そして会社による補償方針です。本人確認のために身分証画像を集めている事業者は他にも多く、業界全体の保管ルールを見直す契機になる可能性があります。

よくある質問

タイムズカーの個人情報漏えいは何件で、何が漏れたのか

最大約660万件のアカウント情報が第三者に取得されました。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などが対象で、内容は人によって異なります。このうち約160万件では、運転免許証などの本人確認書類の画像も流出しています。

すでにタイムズカーを退会していても対象になるのか

対象になり得ます。公式発表では、退会済みの人や、入会申し込みが完了していない人も対象に含まれています。運営会社は、法令上の取引記録の保管義務を理由に、退会後も約7年間は情報を保管すると説明しています。

クレジットカード情報は漏えいしたのか

クレジットカード情報は今回の漏えい対象に含まれていないと説明されています。ただし、氏名や連絡先が漏れているため、カード情報を聞き出そうとする偽のメールやSMSには注意が必要です。

免許証の画像が漏れると何が危険なのか

身分証の画像でオンライン本人確認が通るサービスでは、本人になりすました契約や借り入れに悪用されるおそれがあります。また、氏名や住所と組み合わせて、本物らしい詐欺の連絡に使われる可能性もあります。免許証の記載内容は簡単に変えられないため、リスクが長く続きます。

利用者はまず何をすればよいのか

公式サイトと個別の案内メールで自分が対象かを確認し、パスワードを変更します。タイムズカーを名乗る連絡でパスワードやカード情報を求められても応じないでください。身に覚えのない契約が心配な場合は、信用情報機関への開示請求で確認できます。

まとめ

タイムズカーの不正アクセスは、最大約660万件という規模に加え、約160万件の本人確認書類画像が含まれた点で重い事案です。検知から遮断まで約22時間、対象は退会者にも及びました。原因は調査中で、補償や再発防止策はこれから示されます。利用者にできるのは、公式情報で対象かどうかを確かめ、偽の連絡を警戒し、パスワードと自分名義の契約状況を点検することです。同時に、事業者が身分証の画像をいつまで、どのように持ち続けるのかという問いが、この事案をきっかけに改めて突きつけられています。