タイムズカー不正アクセス｜免許証画像146万件に流出痕跡、対象者がやることと保存の教訓

01この記事でわかること

先に3行でまとめます。

• 本人確認書類の画像のうち、外部に送られた痕跡があるのは1,464,800件。アクセスの痕跡だけのものを含めると、計2,356,402件です。
• 画像は暗号化して保存されていました。それでも会社は、将来の復号（暗号を解いて元に戻すこと）の可能性を「完全に否定できるものではありません」としています。
• 会社は、外部送信の痕跡があった人に3,000円相当のお見舞いを渡す予定です。画像を持つルールを改め、今ある画像は2026年10月末までに削除するとしています。

そのうえで、次の順に説明します。

• 第1報から第5報までの発表の流れと、件数の変わり方
• 漏れた情報の内訳と、数字の読み方
• 免許証の画像が漏れると何が起きうるか、個人が今できること
• 本人確認書類を預かる中小企業が見直すこと

使った資料は、パーク24の公式発表（第1報〜第5報）、東京証券取引所に出した適時開示2件、静岡県警察のお知らせ、個人情報保護委員会の資料です。報道やSNSの情報は使っていません。

02何が起きたのか（全体像）

パーク24の発表によると、2026年9月25日9時07分に、タイムズカーのWebシステムで不正なアクセスを検知しました。翌26日の7時25分までに、侵入された経路と攻撃元との通信を遮断しています。

その後の外部の専門機関によるフォレンジック調査で、次のことが分かりました。フォレンジック調査とは、機器や記録を調べて、何が起きたかを証拠として明らかにする調査です（用語集：フォレンジック）。

• 原因は、Webシステムにあった脆弱性（ぜいじゃくせい：プログラムの弱点）を悪用されたことです（用語集：脆弱性）。
• 攻撃者は侵入後にシステムの中を探り、そこで得た情報を使ってデータベースとファイルの置き場所にアクセスしました。
• 調べるうちに、別の「タイムズクラブWebシステム」への不正アクセスも確認されました。

攻撃の手口の詳細や、システムの構成は公表されていません。会社は「二次被害防止の観点から公表を差し控えます」としています。

対象になったのは、タイムズカーの会員と退会した人です。入会の手続きを終えなかった申込者も含まれます。法人向けのタイムズビジネスサービスの会員と退会した人も対象です。さらに、タイムズビジネスサービスに「カンタン入会」で入った人の契約情報もタイムズカーのシステムで管理していました。そのため、駐車場だけを使う人（クレジットカード払い）の氏名・電話番号・メールアドレスも含まれています。

パーク24は10月23日の適時開示で、お見舞金と諸対応の費用として55億円の特別損失を計上する見込みだと発表しました。適時開示とは、上場企業が株価に影響しうる出来事を、取引所のルールに沿ってすぐに公表することです。

03発表の時系列（第1報〜第5報）

件数は、調査が進むにつれて変わってきました。第5報にある経緯の表と、各報の内容を並べます。

1. 9月25日
   不正アクセスを検知。サーバーを隔離し、経路を遮断。フォレンジック調査を開始。個人情報保護委員会へ報告。問い合わせ窓口を開設

   第1報。「個人情報漏えいの可能性」を公表。件数は書かれていない

2. 9月26日
   侵害された環境と関連する環境の切り離しを完了

   第1報に追記（7時25分までに遮断）

3. 9月28日
   警察への相談を開始。国土交通省へ一報。既存会員への案内を開始

   第2報。漏えいしたアカウントは約660万件。クレジットカード情報は漏えいしていないと確認

4. 9月29日
   個人会員への案内を開始

   第3報。本人確認書類が漏えいしたアカウントは約160万件

5. 10月1日
   退会した人への案内を開始

   —

6. 10月2日
   法人会員への案内を開始

   —

7. 10月16日
   本人確認書類の画像を持つルールを見直し

   第4報。画像は10月末までに削除。詳細の案内は10月23日に変更

8. 10月23日
   フォレンジック調査を終了

   第5報と適時開示。外部送信の痕跡がある画像は約146万件。お見舞い3,000円相当。特別損失55億円の見込み

第3報の「約160万件」は、漏えいのおそれがあるとして示された数字です。第5報では、詳しい調査で外部送信の痕跡が確かめられたものが約146万件だったと修正しています。また第2報で9件としていた「連携サービスID」は、調査の結果4件でした。第2報で対象に挙げていたJR西日本グループの「WESTER ID」は0件だったとしています。

04何が漏れたのか（件数の読み方）

第5報の表は、「アクセスされ、外部に送信された痕跡があるもの」と「アクセスされたが、外部送信の痕跡はないもの」を分けて数えています。ここが数字を読むうえでの大事な点です。

タイムズカーのWebシステムから

ハッシュ化とは、パスワードを元に戻せない形の文字列に変えて保存することです。第2報でも、パスワードは「復元できない形式で保管」していたとしています。

タイムズクラブのWebシステムから

このほか、会員管理やシステム運用のための識別情報にもアクセスされ、外部送信の痕跡があったとしています。クレジットカードについては、番号の全桁とセキュリティコードを持っていない（決済情報の非保持化）ため、「不正に利用されるおそれはございません」としています。会社は、調査に基づく最終件数は上記のとおりで、現時点で追加の対象範囲は確認されていないとしています。

本人確認書類の画像とは何か

第3報は、漏えいが確認された書類として次の4つを挙げています。

• 運転免許証の画像
• 現住所を確認する書類の画像（公共料金の請求書など）
• 学生証の画像（学生プランの場合）
• 家族であることを確認する書類の画像（家族プランの場合）

なお、件数は「画像データ」や「アカウント」の数で示されています。何人分にあたるのか、書類の種類ごとに何件なのかは公表されていません。

05免許証の画像が漏れると何が起きるのか

パーク24は、売買や公開を示す事実は「確認されておりません」としたうえで、想定されるリスクとして次の4つを挙げています。

• フィッシングメールやフィッシングサイトによる詐欺
• なりすましによる各種の申し込みや問い合わせ
• 不正な勧誘
• 個人情報の悪用

フィッシングとは、本物そっくりのメールや偽サイトで、パスワードやカード番号を入力させてだまし取る手口です（用語集：フィッシング）。今回のように氏名・住所・電話番号・メールアドレスがそろって漏れると、「タイムズカーからのお詫び」「お見舞金の受け取り手続き」などを装った連絡が届くおそれがあります。SMSを使う手口はスミッシングと呼ばれます。

なりすましとは、他人のふりをして手続きをすることです。免許証は、多くのサービスで本人確認に使われます。そのため画像が出回ると、他人がその人の名前で申し込みをしようとする材料になりえます。

一方で、画像は暗号化されていました。会社は、外部送信の痕跡があっても「直ちに画像内容が閲覧可能な状態になったことを意味するものではありません」と説明しています。同時に、送信された暗号化データは「将来的な復号の可能性を完全に否定できるものではありません」とも書いています。つまり、今すぐ中身が見られたとは限らない、しかし安心とも言い切れない、という状態です。暗号化の考え方は用語集：暗号化で説明しています。

06自分が対象か確かめる方法

会社は、影響を受けた人に個別の通知をしています。案内は、9月28日に既存会員、29日に個人会員、10月1日に退会した人、10月2日に法人会員へと始まりました。第3報によると、本人確認書類の漏えいが確認された会員への案内はメールで始めています。

確かめる手順は次のとおりです。

1. タイムズカーを使ったことがあるか、退会したことがあるか、入会の申し込みだけしたことがあるかを思い出す
2. タイムズビジネスサービスに「カンタン入会」で入り、駐車場を使っているかを確かめる
3. 登録していたメールアドレスに、会社からの案内が届いていないかを確かめる
4. 分からなければ、会社の窓口に問い合わせる（電話0120-25-8924、24時間。問い合わせフォームはshare.timescar.jp/inquiry.html）

注意してほしいのは、案内を探すときです。届いたメールのリンクから手続きを進めるのではなく、自分で公式サイトを開くか、上の番号に自分でかけて確かめてください。会社は、メール・SMS・電話でパスワードやクレジットカード情報を尋ねることはないとしています。

07今すぐやること（個人・会社の立場別）

会員だった人・退会した人

• タイムズを名乗る連絡を疑う。リンクや添付ファイルを開かず、パスワードや認証コード、カード番号を入力しない。これは会社が第1報から呼びかけていることです。
• 同じパスワードを使い回していたら変える。パスワードの漏えいは4件とされていますが、使い回しをやめるのは基本の対策です。パスワード管理ソフトを使うと楽になります。
• 大事なサービスには二段階認証を設定する。パスワードのほかに、スマホに届くコードなどで本人かどうかを確かめる仕組みです（用語集：多要素認証）。
• 身に覚えのない契約や請求がないか見る。心配なら、信用情報機関に自分の情報を開示してもらう方法があります。たとえばCICは、インターネットでの開示を手数料500円で受け付けています。
• 名義の悪用が心配なら「本人申告」も考える。CICには、免許証の紛失・盗難や名義が悪用されるおそれがあるときに申告を登録できる制度があります。登録されると、加盟会社はクレジットやローンの審査で申告を確かめ、より慎重に判断するとしています。ただしCICは、効力を保証するものではないとしています。

運転免許証の再交付

パーク24の発表には、運転免許証の再交付についての記載はありません。ただ、警察の側で受け付けている例があります。静岡県警察は、「タイムズカーWebサイト」への不正アクセスで免許証の画像などが漏えいした人は、再交付を申請できると案内しています（2026年10月16日更新）。手数料は、従来の免許証が2,600円、マイナ免許証が1,500円、両方を持つ場合が2,700円です。窓口は運転免許センターか、住所地を管轄する警察署で、平日のみの受付です。

再交付を受け付けるかどうか、必要なものや手数料は、都道府県（公安委員会）ごとに違う場合があります。住所のある都道府県の警察の公式サイトで確かめてください。また、再交付で新しいカードになっても、氏名・住所・生年月日はそのままです。メールや電話による詐欺への注意は、再交付のあとも続ける必要があります。

会社として社員の情報が含まれるかもしれない場合

法人会員の所属部署名も3,677件が対象です。社用でタイムズカーを使っていた会社は、担当者に会社からの案内が届いていないかを確かめましょう。社員には、タイムズを装った連絡に注意するよう一言伝えておくと安心です。

08パーク24の対応とお見舞い

第5報と適時開示で示された会社の対応は、次のとおりです。

• お見舞い：暗号化された本人確認書類の画像に、アクセスと外部送信の痕跡が確認された人に、3,000円相当の現金または金券を渡します。中身と渡し方は検討中で、決まりしだい対象者に案内するとしています。
• 個別通知と専用窓口：影響を受けた人に個別に通知し、専用の窓口で相談を受け付けています。
• 監視：外部の専門機関と組んで、ダークウェブ（普通の検索では出てこない、匿名性の高いネット上の場所）を含めて、情報が流通していないかを監視しています。
• システムの対策：確認した侵入経路への対策は完了したとしています。同じ構成のシステムも点検し、監視と検知を強めました。
• 検証：社外取締役を中心に、外部の専門家を加えた調査委員会で、内部統制とガバナンス（会社の管理の仕組み）の面から検証します。
• 今後の公表：情報セキュリティとガバナンスの強化策は、年内をめどに公表するとしています。

業績への影響として、2026年10月期の親会社株主に帰属する当期純利益の予想を、440億円から385億円に下方修正しました。売上高と営業利益の予想は変えていません。開示では、公表直後にモビリティ事業で会員数の推移に「一定の影響」があったとも書いています。

お見舞いの対象は、外部送信の痕跡がある画像（④の区分）の人です。アクセスの痕跡だけの画像（⑤の区分）の人や、氏名などだけが対象の人には、発表の文面上は当たりません。対象の人数も公表されていません。

09退会後7年の保存と「10月末までに削除」

今回、多くの人が驚いたのは、退会した人の書類画像まで残っていたことです。第4報と第5報によると、会社は会員登録のときに出してもらった免許証などの画像を、暗号化したうえで「会員期間中および退会後7年間」持っていました。目的は、登録時の本人確認のほか、不正利用が疑われるときの対応、問い合わせ対応、各種の本人確認業務だったとしています。

会社はこの事案を受けて、ルールを次のように変えました。

今持っている画像は、本人からの申し出があるかどうかに関係なく、2026年10月末までに削除するとしています。これまでは、社内ルールで不要になったものと、本人から請求があったものを削除していました。なお会社は、画像を消したあとも、将来の問い合わせなどに備えて、保存していた画像と同じものかを確かめるための情報は「適切に保全」しているとしています。その情報が具体的に何かは書かれていません。

「必要がなくなった個人データは消す」は、法律にも書かれています。個人情報保護法の第22条は、利用する必要がなくなったときは「遅滞なく消去するよう努めなければならない」と定めています。個人情報保護委員会は10月7日、大規模な漏えいを踏まえた注意喚起の中で、この条文を改めて示しました。そこでは、消去が徹底されず「漏えい等事案がより深刻化するといった事例にも接しています」と書いています。この注意喚起は特定の会社を名指ししたものではありません。それでも、使い終わったデータを持ち続けると、漏れたときの被害が大きくなるという点は、今回の件とも重なります。

10まだ分かっていないこと

2026年10月29日時点で、次のことは公表されていません。

• 悪用された脆弱性が何か、攻撃の手口（二次被害を防ぐためとして非公表）
• 攻撃者が誰か、目的は何か
• 何人分の情報か。件数はアカウント数や画像データの数で示されています
• 本人確認書類の種類ごとの件数（免許証が何件、学生証が何件など）
• お見舞いの対象人数、渡し方、時期
• 暗号化された画像が、実際に復号されたかどうか
• 画像を消したあとに残す「同一性を確認するための情報」の中身
• 警察の捜査の状況、個人情報保護委員会の判断

会社は、漏えいした情報が売買・公開された事実は確認されていないとしています。ただし、確認されていないことと、起きていないことは同じではありません。監視は続いています。

11本人確認書類を何年、どう持つか（中小企業向け）

中小企業でも、免許証や保険証のコピー、住所を確かめる書類を預かることは珍しくありません。レンタルや貸し出し、会員登録、採用、取引先の登録などです。今回の件から学べるのは、「持っていないものは漏れない」という単純なことです。お金をかけずにできる順に並べます。

1. どこに、何年分あるかを書き出す

受付の共有フォルダ、メールの添付、スマホで撮った写真、クラウドのフォーム、紙のファイル。本人確認書類がどこにあるかを一覧にします。何年前のものまで残っているかも書きます。

2. 「何のために、いつまで」を決める

確認が終わったら画像は要らないのか、それとも法律で保存が決まっているのかを確かめます。個人情報保護委員会は、保管しているデータが必要かどうかを「その法令等の根拠とともに」確かめるよう求めています。根拠がないのに「念のため」で残しているものは、消す候補です。

3. 確認したら消す、退会したら消す

タイムズカーが変えた新しいルールは「登録の確認が終わったらすぐ削除」でした。同じ考え方は小さな会社でも使えます。確認した日と確認した人を記録に残し、画像そのものは消す。退会や取引終了のときに消す手順を決めておく。クラウドに置いたデータを消すときは、元に戻せない方法を使います。委員会の見直し案も、クラウド上の個人データを消すときは、事業者が用意した方法や暗号化消去など、容易に戻せない手段を挙げています。

4. 残すものは、入れる人と入り口を絞る

どうしても残すものは、見られる人を最小限にし、Webから入れる場所に置かないようにします。個人情報保護委員会が10月7日に示した技術的な対策の見直し案では、中小規模の事業者の例として次を挙げています。

• 個人データを扱える機器と、扱う人をはっきりさせる
• 機器の基本ソフトを最新に保つ
• セキュリティ対策ソフトを入れ、自動更新で最新にする
• 個人データの入ったファイルをメールで送るときはパスワードを付ける
• アクセスの記録（ログ）を一定期間残す

5. Webで受け付けているなら弱点を見てもらう

今回の原因は、Webシステムの脆弱性でした。会員登録や申込フォームで書類の画像を受け付けているなら、脆弱性診断で弱点がないかを定期的に見てもらうと安心です。漏えいの対策全般は情報漏えいを防ぐのページにまとめています。漏えいが起きたときは、条件によって個人情報保護委員会への報告が必要になります（用語集：個人情報保護委員会）。

12よくある質問

13今後の予定と更新方針

公表されている今後の予定は次の3つです。

• 2026年10月末まで：保有している本人確認書類の画像をすべて削除
• 決まりしだい：お見舞いの中身と渡し方を対象者に案内
• 年内をめど：情報セキュリティとガバナンスの強化策を公表

この記事は、パーク24の新しい発表や、警察・個人情報保護委員会の公式発表が出たら更新します。推測やうわさは書きません。ほかの漏えい事件の一覧は被害事例のまとめで見られます。