タイムズカー、本人確認画像146万件の外部送信を確認

パーク２４は2026年10月23日、カーシェアサービス「タイムズカー」のWebシステムに対する不正アクセスについて、外部専門機関の調査結果を公表した。9月25日に異常なアクセスを検知して以降、システム隔離や侵入経路の遮断、ログ解析を進めていた。今回の第5報では、情報の外部送信が確認された範囲や本人確認書類画像の扱い、対象者への対応を具体的に示している。

本人確認書類の画像146万4800件で外部送信の痕跡

同社によると、暗号化して保管していた運転免許証などの本人確認書類画像のうち、146万4800件で攻撃者によるアクセスと外部送信の痕跡が確認された。別の89万1602件はアクセスの痕跡があったものの、外部送信の痕跡は確認されていない。合計235万6402件は画像データの件数であり、そのまま被害者数を示すものではない。従来公表していた約160万件の「漏えいのおそれ」から、調査によって区分を明確にした形だ。

タイムズカーWebシステムでは、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報などを含む662万8007件のデータについて、アクセスと外部送信の痕跡を確認した。さらに、タイムズクラブのWebシステムへの不正アクセスも判明。連携サービスIDなどにも影響が及んだ。これらは項目別のデータ件数であり、単純に足し合わせて人数とみなすことはできない。クレジットカード番号の全桁とセキュリティコードは保持していないと説明している。

暗号化画像の扱いと3000円相当のお見舞い

画像は暗号化された状態で保管されており、外部送信の痕跡があることは直ちに画像の内容を第三者が閲覧できたことを意味しない。一方、会社側は将来的な復号の可能性を完全には否定できないとしている。画像データへのアクセスと外部送信の痕跡が確認された顧客に対し、現金または金券で3000円相当のお見舞いを行う方針を発表。具体的な交付方法は検討中で、決まり次第対象者へ案内するとしている。

同社は従来、会員登録時に受け取った本人確認書類の画像を、会員期間中と退会後7年間保有していた。今回の事案を受け、会員登録完了後は画像を保有しない運用に変更した。現在保有している画像データも、本人からの削除申請の有無にかかわらず10月末までに削除する予定だ。ただし、過去の画像との同一性を確認するための情報は適切に保全するという。

原因はWebシステムの脆弱性悪用

外部専門機関の調査では、Webシステムの脆弱性を突いた侵入が原因と判断された。攻撃者がシステム内の情報を探索し、取得した情報を利用してデータベースやファイル領域にアクセスしたという。攻撃手法の詳細は二次被害防止のため公表していない。確認された侵害経路への対策は完了し、同一構成のシステム点検と監視強化も進めている。

パーク２４は影響を受けた顧客への個別通知と専用窓口での相談受付を継続する。社外取締役と外部専門家による調査委員会で内部統制・ガバナンス面も検証し、年内を目処に情報セキュリティ強化策を公表する方針だ。現時点の公表情報だけで、すべての対象者に同一の情報漏えいが起きたと判断することはできない。心当たりのある利用者は、同社の公式通知と案内を確認する必要がある。