タイムズカー情報漏えい事件とは？原因・被害と企業の対策

2026年9月、カーシェアリングサービス「タイムズカー」のWebシステムで第三者による不正アクセスが確認されました。その後の調査では、タイムズクラブのWebシステムへの不正アクセスも判明し、多数の会員情報が影響を受けたことが公表されています。

10月23日には運営グループのパーク24が調査結果を公表し、本人確認書類画像データ約146万件について外部送信の痕跡を確認したことや、対象者への3,000円相当の見舞金を発表しました。一方、画像データは暗号化されており、外部送信の痕跡が確認されたことと、画像内容が閲覧されたことは同じではありません。

この記事では、公式発表で確認できる事実を中心に、事件の経緯、漏えいした情報、原因、企業の対応を整理します。最後に、中小企業の経営者が自社の情報管理を見直すための具体的な確認事項を紹介します。

1．タイムズカー情報漏えい事件とは

今回の事件は、パーク24グループが運営するタイムズカーのWebシステムに第三者が不正アクセスした事案です。外部専門機関による調査が進められ、関連するタイムズクラブWebシステムへの不正アクセスも確認されました。

2026年10月23日付の第5報では、漏えいした情報の範囲や発生原因、利用者への対応が説明されています。情報漏えいの影響は単に会員数だけで判断できず、どの種類の情報が対象となったかを確認する必要があります。

出典：パーク24｜2026年10月23日付・情報漏えいに関する第5報

2．事件はいつ発覚したのか

パーク24の発表によると、2026年9月25日にタイムズカーWebシステムで異常なアクセスを検知しました。その後、影響を受けたシステムの隔離、侵入経路の遮断、ログ分析、外部専門機関による調査などが進められました。

この経緯から、情報漏えい事故への対応は、異常を検知した時点だけで完了するものではないことが分かります。調査、対象者の特定、通知、保管ルールの見直しなど、複数の作業が必要になります。

3．どのような個人情報が影響を受けたのか

パーク24の公式発表では、氏名や住所などの属性・識別情報、認証に関する情報、運転免許証などの本人確認書類画像データが調査対象として整理されています。対象となる情報の種類は、システムやアカウントによって異なります。

重要なのは、すべての利用者について同じ情報が漏えいしたと考えないことです。個々の利用者に関する対象情報は、会社からの通知や公式案内を確認する必要があります。

4．約663万件と約146万件の違い

今回の報道では、約663万件と約146万件という数字が取り上げられています。しかし、この二つは同じ情報を数えたものではありません。

また、約146万件については、当初の「約160万件に漏えいのおそれがある」という説明から、詳細調査を経て外部送信の痕跡が確認された件数として整理されたものです。速報段階と調査後では、対象範囲や表現が変わる場合があります。

5．不正アクセスの原因は何だったのか

パーク24は、外部専門機関の調査結果に基づき、Webシステムに存在した脆弱性が悪用されたことを発生原因と判断しています。攻撃者はシステムに侵入した後、内部の情報を探索し、データベースやファイル領域にアクセスしたと説明されています。

ただし、具体的な脆弱性の種類や攻撃手法の詳細は、二次被害を防ぐ観点から公表されていません。そのため、特定のソフトウェアや設定が原因だったと推測で断定することはできません。

中小企業にも関係する確認事項

自社のWebサイトや顧客管理システムについて、更新を誰が担当しているのか、脆弱性情報をどのように確認しているのかを把握しておくことが重要です。外部の制作会社やシステム会社に管理を委託している場合も、責任分担と連絡体制を確認しておきましょう。

6．本人確認書類は暗号化されていたのか

パーク24によると、運転免許証などの本人確認書類画像データは、暗号化した状態で保管されていました。そのため、外部送信の痕跡が確認されたことだけで、画像の内容を第三者が閲覧できたと断定することはできません。

一方、会社側は、外部送信された暗号化データが将来復号される可能性を完全には否定できないと説明しています。暗号化は重要な保護策ですが、データの保管期間やアクセス管理も含めて検討する必要があります。

7．見舞金3,000円の対象は誰なのか

パーク24は、暗号化された運転免許証などの本人確認書類画像データについて、アクセスと外部送信の痕跡が確認された利用者を対象に、3,000円相当の現金または金券を渡すと発表しました。

2026年10月23日の発表時点では、具体的な受け渡し方法などは検討中とされています。したがって、すべての会員が一律に3,000円を受け取れるという説明は正確ではありません。

また、見舞金は企業が利用者への対応として提示したものであり、その金額が法的な損害賠償額を確定するわけではありません。見舞金の妥当性や損害賠償の考え方は、別記事で詳しく整理します。

8．退会後の個人情報保管はどう見直されたのか

今回の事件で注目したい点の一つが、本人確認書類画像の保管期間です。パーク24は、従来、会員期間中と退会後7年間、運転免許証などの画像を保有していたと説明しています。

その後、保管ルールを見直し、会員登録完了後は画像を保有しない運用に変更しました。また、保有している画像データを2026年10月末までに削除する方針を公表しています。

ただし、退会後7年間の保管が直ちに違法だったと断定できるわけではありません。情報の利用目的、法令上の保存義務、必要性などを個別に確認する必要があります。

9．利用者が注意したい二次被害

パーク24は、漏えいした情報が売買・公開されたことを示す事実は、把握している範囲では確認されていないと説明しています。一方で、フィッシング詐欺、なりすまし、不正勧誘などのリスクを挙げ、監視を続けるとしています。

利用者は、タイムズカーやパーク24を名乗る不審なメール、SMS、電話に注意する必要があります。身に覚えのない連絡に記載されたリンクから、パスワードや認証コードを入力しないようにしましょう。

不審な連絡が届いた場合

1. メールやSMSのリンクをすぐに開かない
2. 公式サイトやアプリから案内を確認する
3. パスワードや認証コードを第三者に伝えない
4. 不安があれば公式の問い合わせ窓口へ確認する

公式案内：タイムズカー｜不正アクセスに関する第5報

10．パーク24が公表した事故対応

パーク24は、不正アクセス検知後にシステムの隔離、侵入経路の遮断、外部専門機関による調査、関係機関への報告、利用者への通知などを実施したと説明しています。さらに、本人確認書類画像の保管ルールも見直しました。

2026年10月23日時点では、確認された侵害経路への対策を完了したとしています。一方、再発防止や信頼回復に向けた取り組みは継続し、情報セキュリティとガバナンスの強化策を年内を目処に公表する方針です。

事故対応では、技術的な復旧だけでなく、利用者への説明、保管ルールの見直し、組織的な管理体制の検証も重要になることが分かります。

11．中小企業が今回の事件から学べること

今回の事件は大規模な会員サービスで発生しましたが、中小企業にも共通する確認事項があります。顧客情報を保存するシステムの安全性、不要なデータの保管、事故時の連絡体制などは、企業規模にかかわらず検討すべき課題です。

教訓1：Webシステムの管理責任を明確にする

自社のWebサイト、問い合わせフォーム、予約システム、顧客管理サービスについて、更新や脆弱性対策の担当者を確認しましょう。外部委託している場合も、管理内容を把握することが重要です。

教訓2：個人情報を必要以上に残さない

保管する情報が多いほど、事故発生時に調査や通知の対象が広がる可能性があります。業務や法令上の必要性を確認し、保管期間と削除手順を定めましょう。

教訓3：事故時の連絡先を決めておく

不正アクセスが疑われた際、誰が調査を依頼し、誰が顧客への連絡を判断するのかを整理しておきましょう。事故が起きてから担当者を探すのでは、対応が遅れる可能性があります。

個人情報保護委員会は、報告義務の対象となる漏えい等について、速報・確報の期限を案内しています。報告義務の有無や期限は、事案の内容に応じて確認する必要があります。

参考：個人情報保護委員会｜漏えい等の対応とお役立ち資料

12．社長が確認したい10項目

今回の事件をきっかけに、自社の顧客情報の管理状況を確認してみてください。すべてを一度に改善する必要はありませんが、未確認の項目を把握することが大切です。

1. 顧客情報を保存しているシステムを把握している
2. Webシステムの更新担当者を決めている
3. 脆弱性情報を確認する手順がある
4. 顧客情報へのアクセス権限を管理している
5. 退会・取引終了後の情報保管期間を決めている
6. 本人確認書類画像の保存先を把握している
7. 不要な個人情報の削除手順を決めている
8. 不正アクセスが疑われた場合の連絡先が分かる
9. 事故時の顧客通知や行政報告を判断する体制がある
10. 事故後に顧客へ説明する担当者を決めている

13．まとめ｜自社の顧客情報を見直す

タイムズカーの情報漏えい事件では、Webシステムの脆弱性を悪用した不正アクセスが確認され、多数の会員情報が影響を受けました。本人確認書類画像データ約146万件について外部送信の痕跡が確認され、パーク24は対象者への見舞金や保管ルールの見直しを公表しています。

一方、暗号化された画像の内容が閲覧されたと断定できるわけではなく、情報の悪用についても確認済みの事実と想定されるリスクを区別する必要があります。事件を正確に理解することが、冷静な対応につながります。

中小企業の社長が最初に取り組みたいのは、自社がどのような顧客情報を、どこに、いつまで保存しているのかを確認することです。顧客情報を必要な範囲で適切に管理し、事故時に対応できる体制を整えることが、信頼を守るための基本になります。

参考にした一次情報

• パーク24｜タイムズカー情報漏えいに関する第5報（2026年10月23日）
• パーク24｜本人確認書類画像の保管ルール見直し（2026年10月16日）
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料

※2026年10月27日時点の公表情報に基づく解説です。事件の対象件数、対応状況、調査結果は今後更新される可能性があります。この記事は個別の損害賠償責任や法令違反の有無を判断するものではありません。