タイムズカー情報漏えいから学ぶ中小企業の個人情報管理と対策

「自社が預かっている顧客の個人情報は、本当に適切に管理できているだろうか」。中小企業の社長にとって、今こそ確認したい問題です。

2026年9月、カーシェアリングサービス「タイムズカー」のWebシステムで不正アクセスが確認されました。運営グループのパーク24は10月23日、外部専門機関による調査結果を公表し、個人情報へのアクセスと外部送信の痕跡、事故原因、再発防止に向けた対応などを説明しました。

この事件は、情報を暗号化していたとしても不正アクセスへの対策が必要であること、必要以上に個人情報を保存するリスク、事故が起きた際の顧客対応など、さまざまな課題を考えるきっかけになりました。

しかし、情報漏えい対策は大企業だけの問題ではありません。建設業、製造業、小売業、サービス業など、顧客や従業員の情報を扱う企業であれば、自社の規模に応じた管理が必要です。

この記事では、タイムズカーの公式発表を振り返りながら、中小企業の社長が実行できる個人情報管理の基本を13章にまとめます。最後に、今日から確認できる10項目のチェックリストも紹介します。

1．タイムズカー事件で確認された事実

パーク24の2026年10月23日の第5報によると、9月25日にタイムズカーのWebシステムで異常なアクセスを検知しました。外部専門機関による調査の結果、Webシステムの脆弱性が悪用され、攻撃者がシステムに侵入したと判断されています。

同社は、タイムズカーWebシステムにおいて、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などを含む662万8,007件のアカウント情報に、攻撃者によるアクセスと外部送信の痕跡が確認されたと公表しました。

また、暗号化された本人確認書類画像データについては、146万4,800件にアクセスと外部送信の痕跡が確認され、89万1,602件ではアクセスの痕跡が確認されたものの、外部送信の痕跡は確認されなかったと説明しています。

これらは公表されたデータの件数であり、すべてを合計して被害者の実人数とすることはできません。また、暗号化された画像データに外部送信の痕跡があったことと、画像の内容が第三者に閲覧されたことは区別する必要があります。

パーク24は、今回の事故を受けて本人確認書類画像の保管ルールを変更し、会員登録完了後は画像を保有しない運用に見直しました。従来保有していた画像データについても、2026年10月末までに削除する方針を示しています。

一次情報：パーク24｜情報漏えいに関する第5報

2．中小企業にも個人情報管理が必要な理由

個人情報の管理は、大量の会員情報を扱う大企業だけの問題ではありません。顧客名簿、従業員情報、取引先の担当者情報などを管理する中小企業にも関係します。

個人情報保護委員会は、個人情報取扱事業者に対し、個人データの安全管理のために必要かつ適切な措置を講じることが求められると説明しています。一方、具体的な管理方法は、事業の規模や性質、扱う情報の種類や量、リスクなどに応じて検討するものとされています。

つまり、中小企業が大企業と同じ設備や体制を必ず整える必要があるわけではありません。しかし、会社が小さいから個人情報管理をしなくてよいということでもありません。

一次情報：個人情報保護委員会｜中小規模事業者の安全管理措置に関するQ&A

3．自社が保有する個人情報を把握する

個人情報を適切に管理するためには、最初に「どのような情報を、どこに保存しているか」を把握する必要があります。保存場所が分からなければ、アクセス権限の管理や不要な情報の削除も難しくなります。

顧客情報は、業務システムだけでなく、パソコン、クラウドストレージ、メールの添付ファイル、紙の書類などに分散している場合があります。退職した従業員の端末や、過去の業務で使った共有フォルダーに残っていることも考えられます。

すべての情報を一度に整理するのが難しい場合は、まず顧客名簿や本人確認書類など、漏えいした際の影響が大きい情報から確認してみましょう。

4．必要のない個人情報を持ち続けない

個人情報は、保存している期間が長いほど、管理しなければならない情報が増える場合があります。利用目的を達成し、保存する必要がなくなった情報については、削除の要否を検討することが重要です。

個人情報保護法では、利用する必要がなくなった個人データについて、遅滞なく消去するよう努めることが定められています。ただし、すべての個人情報に一律の保存期限があるわけではありません。

契約上の必要性や、税務・会計などの法令に基づく保存義務が関係する場合もあります。そのため、「退会したら必ずその日に全情報を削除する」といった一律の運用ではなく、情報の種類ごとに保存する理由と期間を確認する必要があります。

保存期間を決める際の確認事項

• 何のために取得した情報か
• 現在もその利用目的のために必要か
• 法令上の保存義務があるか
• 契約や紛争対応などで必要性があるか
• 保存期間を過ぎた後、どのように削除するか

5．本人確認書類の画像を保存する必要はあるか

今回のタイムズカー事件では、運転免許証などの本人確認書類画像が注目されました。本人確認書類には、氏名、住所、生年月日、顔写真など、本人を識別するための情報が含まれる場合があります。

パーク24は、従来、本人確認書類画像を暗号化して会員期間中および退会後7年間保有していました。しかし、今回の事故を受け、会員登録完了後は画像を保有しない社内ルールへ変更したと説明しています。

この変更は、本人確認書類を取得する必要性と、取得後も画像そのものを保存し続ける必要性を分けて考える重要性を示しています。ただし、本人確認書類の保存が法令などで必要になる業務もあるため、すべての企業が同じ運用にできるわけではありません。

6．アクセス権限とアカウントを管理する

個人情報を保管している場合、誰でも閲覧できる状態になっていないか確認する必要があります。業務上必要な従業員だけが必要な情報にアクセスできるよう、権限を管理することが基本です。

例えば、顧客情報の閲覧が必要な担当者と、情報の削除や管理設定を変更できる担当者では、必要な権限が異なります。すべての従業員に管理者権限を与える必要があるか、見直してみましょう。

確認したい管理項目

• 共有アカウントを必要以上に使っていないか
• 退職者のアカウントが残っていないか
• 管理者権限を持つ人を把握しているか
• 多要素認証を利用できるシステムで有効にしているか
• 外部共有リンクが不要なまま残っていないか
• アクセスログを確認できるか

アクセス権限の見直しは、システムの種類や業務内容に応じて実施する必要があります。まずは管理者アカウントと退職者アカウントの確認から始めることが考えられます。

7．システムの脆弱性と更新を確認する

パーク24は、今回の不正アクセスについて、Webシステムに存在した脆弱性が悪用されたことが原因と判断しています。攻撃者はその脆弱性を利用して侵入し、システム内の情報を探索していたと説明されています。

中小企業でも、ホームページ、予約システム、業務ソフト、ネットワーク機器などを利用している場合があります。これらのシステムについて、更新や脆弱性対策が適切に行われているか確認することが大切です。

更新作業は、業務システムとの互換性や停止時間を確認しながら進める必要があります。自社で判断が難しい場合は、システム管理会社に更新状況と対応予定を確認しましょう。

8．委託先・クラウドサービスも点検する

個人情報の管理は、自社のパソコンや社内システムだけで完結するとは限りません。顧客管理、給与計算、予約受付、クラウドストレージなど、外部サービスを利用している企業も多いでしょう。

個人データの取扱いを外部へ委託する場合、個人情報保護法では、委託先に対する必要かつ適切な監督が求められます。契約内容や委託先の管理状況を確認することが重要です。

委託先に確認したい事項

• どの個人情報を取り扱っているか
• 情報をどこに保存しているか
• アクセス権限をどのように管理しているか
• 事故が発生した場合、どのように連絡されるか
• 契約終了後のデータ返却・削除方法はどうなっているか
• 再委託の有無と管理方法を確認できるか

なお、クラウドサービスの利用形態によっては、法的な意味での個人データの取扱いの委託に該当しない場合もあります。契約や実際のデータの取扱いを踏まえて判断しましょう。

9．従業員への教育と社内ルールを整える

個人情報管理では、システムの対策に加え、日常業務のルールも重要です。例えば、顧客情報をメールで送信する際の宛先確認、紙の書類の保管、クラウドの共有設定などは、従業員の業務と直接関係します。

ルールが複雑すぎると、実際の業務で守られなくなる可能性があります。中小企業では、まず重要な情報の取扱いについて、短く分かりやすいルールを決めることから始めてもよいでしょう。

社内で共有したい基本ルール

1. 顧客情報を私用のメールやクラウドへ保存しない
2. 外部送信前に宛先と添付ファイルを確認する
3. 本人確認書類などを必要以上に複製しない
4. 不審なメールやリンクを安易に開かない
5. 情報漏えいが疑われたら速やかに責任者へ連絡する

ルールを作成した後も、入社時の説明や定期的な確認を行うことが大切です。従業員が異常を発見した際に、報告しやすい環境を整えておきましょう。

10．情報漏えいが起きたときの初動対応

どれだけ対策を行っていても、情報漏えいのリスクを完全になくせるとは限りません。そのため、事故が起きたときの対応手順を事前に決めておく必要があります。

タイムズカーの事例では、異常なアクセスを検知した後、システムの隔離、不正アクセス経路の遮断、外部専門機関による調査、関係機関への報告などが進められました。中小企業でも、社内責任者と緊急連絡先を決めておくことが重要です。

事故発生時に考えたい順序

1. 社内責任者へ速やかに報告する
2. 専門家と連携して被害拡大防止と証拠保全を進める
3. 影響を受けた情報と対象範囲を調べる
4. 行政報告と本人通知の要否を確認する
5. 顧客への説明と問い合わせ対応を整える
6. 復旧と再発防止策を検討する

個人情報保護委員会への報告義務がある事案では、速報は発覚後速やかに、目安として3〜5日以内、確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内とされています。報告先が委任先府省庁等となる業種もあるため、最新の案内を確認しましょう。

一次情報：個人情報保護委員会｜漏えい等の対応とお役立ち資料

11．顧客対応と費用負担を事前に考える

情報漏えい事故が発生した場合、企業は技術的な調査だけでなく、顧客への通知や問い合わせ対応などを行う必要が生じることがあります。事故の内容によっては、損害賠償請求や訴訟が問題になる可能性もあります。

タイムズカーの事例では、パーク24が一定の対象者へ3,000円相当の見舞金を渡す方針を公表しました。また、被害を受けたとする顧客らによる集団訴訟の準備も報じられています。

ただし、見舞金と法的な損害賠償は別の問題です。見舞金を支払ったからといって、損害賠償責任が自動的に確定するわけではなく、すべての請求が解決するとも限りません。

サイバー保険には、一定の条件で法律上の損害賠償金、争訟費用、事故調査費用などを補償する商品があります。しかし、補償範囲は契約によって異なり、保険に加入していればすべての費用が支払われるわけではありません。

12．社長が確認したい10項目

ここまでの内容を、自社の点検に使える10項目にまとめました。すべてを一度に改善するのが難しい場合は、まず「いいえ」となった項目から、担当者と対応時期を決めてみてください。

1. 自社が保有する顧客・従業員の個人情報を把握している
2. 情報ごとの利用目的と保存する理由を確認している
3. 不要になった情報を削除するルールがある
4. 本人確認書類の画像を必要以上に保存していない
5. 管理者権限や退職者アカウントを定期的に確認している
6. システムやソフトウェアの更新状況を確認している
7. 委託先やクラウドサービスの管理状況を把握している
8. 従業員へ個人情報の取扱いルールを説明している
9. 情報漏えい時の責任者と緊急連絡先を決めている
10. 顧客対応、専門家への相談、事故対応費用の備えを確認している

個人情報保護委員会では、中小企業向けの自己点検チェックリストなども公開しています。社内点検の参考資料として活用できます。

一次情報：個人情報保護委員会｜中小企業向けお役立ちツール

13．まとめ｜個人情報管理を経営の基本にする

タイムズカーの情報漏えい事件では、Webシステムの脆弱性が悪用され、顧客情報への不正アクセスと外部送信の痕跡が確認されました。また、本人確認書類画像の保管ルールの見直し、顧客への通知、見舞金の方針などが公表されています。

中小企業が今回の事件から学びたいのは、個人情報を守るためには、システムのセキュリティ対策だけでなく、情報の取得、保存、利用、共有、削除までを一つの流れとして管理する必要があるということです。

また、万一事故が起きた場合には、被害拡大防止と証拠保全、関係機関への報告、顧客への説明などを適切に進めることが重要です。日頃から連絡体制を整えておくことが、緊急時の判断に役立ちます。

まずは、自社が保有する個人情報の保存場所を確認し、不要な情報が残っていないか、誰がアクセスできるかを点検してみてください。小さな確認でも、会社と顧客を守るための具体的な一歩になります。

個人情報管理は、事故が起きたときだけ考えるものではありません。大切な顧客から預かった情報を適切に扱うことは、日々の事業運営と信頼関係を支える基本です。

参考にした一次情報

• パーク24｜情報漏えいに関する第5報（2026年10月23日）
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会｜中小規模事業者の安全管理措置に関するQ&A
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料

※2026年10月27日時点で確認できる公表情報に基づく解説です。記載した対策は一般的な実務上の参考事項であり、個別の企業に必要な法的対応や安全管理措置は、事業内容、情報の種類、法令上の保存義務などによって異なります。