タイムズカー（パーク24）の Web システムへの不正アクセス（2026年）｜対象と会員がやること【随時更新】

最終更新：10 月 24 日 01:50（日本時間） 続報が出たら追記します。
すぐ見る：よくある疑問 ／ タイムズカーの会員 ／ 免許証などの画像を預かる会社 ／ 技術的な詳細 ／ 経緯

この記事では、タイムズカーの情報漏洩（Web システムへの不正アクセスによる個人情報の漏えい）について、パーク24 の適時開示と、タイムズカーを運営するパーク24 の子会社・タイムズモビリティの第 1 報〜第 5 報、ご質問と回答だけをもとに、何が起きたのかと、会員・本人確認書類を預かる会社がやることを整理します。

何が起きたか

10 月 23 日の調査結果で分かっていることです。タイムズモビリティは、9 月 25 日の 9 時 07 分に、タイムズカーの Web システムに入り込まれたことに気づき、すぐに調べ始めました。9 月 26 日の 7 時 25 分までに、入り込まれた経路と、攻撃してきた相手との通信を断ち切っています。

外部の専門機関による調査は、10 月 23 日に終わりました。パーク24 によると、Web システムの脆弱性が悪用されていました。攻撃者は入り込んだあと中の情報を探し、そこで得た情報を使って、データベースとファイルの置き場にアクセスしていました。調査の中で、「タイムズクラブ」の Web システムへの不正アクセスも見つかりました。

漏れた情報が売り買いされたり、公開されたりした事実は、現時点で確認されていません。

件数は、調査が進むにつれて変わっています。9 月 28 日の第 2 報では漏えいしたアカウントを約 660 万件、9 月 29 日の第 3 報では本人確認書類が漏えいしたアカウントを約 160 万件としていました。10 月 23 日の調査結果で、外に送られた跡がある本人確認書類の画像は約 146 万件と分かりました。連携サービス ID は 9 件から 4 件になり、「WESTER ID」は 0 件でした。

タイムズモビリティが決めた対応

• 本人確認書類の画像を持たないルールへ これまでは、運転免許証などの画像を、会員の間と退会後 7 年間、暗号化して持っていた。これを、登録の確認が終わったらすぐに消すルールに変えた。いま持っている画像は、本人の申し出がなくても 2026 年 10 月末までに消す。
• お見舞い（見舞金） 本人確認書類の画像が外に送られた跡がある人に、お見舞いとして 3,000 円相当の現金または金券を渡す。中身と渡し方は検討中で、決まり次第、対象の人に知らせる。
• 再発防止 見つかった侵入の経路への対策は終えた。同じ構成のシステムの点検と脆弱性への対策、見張り（監視）の強化もした。具体的な強化策は、年内をめどに公表する。

パーク24 は、この件の対応の費用などをふまえ、2026 年 10 月期の通期の連結業績予想を修正するとしています。

タイムズカーの会員がやること

タイムズモビリティの案内です。対象には、いまの会員だけでなく、退会した人や、入会を申し込んだものの入会が終わらなかった人も含まれます。影響を受けた人には、一人ずつ知らせているとしています。

1. マイページで確かめる。ログイン → 右上の「登録情報」（パソコンでは「ご登録情報の確認」）→ 2 段階認証 の順に進むと、漏れたことが確認された人にだけ、上の方に赤い枠で中身が出る（10 月 23 日 17 時から）
2. 届いたメールに書かれていない情報は漏れていない、とは限らない。メールには、送った時点で確かめた情報を書いているとしているので、マイページの表示もあわせて見る
3. 不審なメール・SMS・電話・郵便物に応じず、リンクや添付ファイルを開かない。タイムズモビリティが、電話やメールで SMS の認証コード、パスワード、運転免許証やマイナンバーカードの暗証番号を聞くことはない
4. 退会した人・入会しなかった人は、退会者専用のお問い合わせフォームから、退会したときの登録情報を送る（入力から 2 週間ほどをめどに案内するとしている）

運転免許証の画像が外に出た場合について、タイムズモビリティは次のように説明しています。金融機関やカード会社、携帯電話会社が、画像を使ってオンラインで本人確認をするときは、顔写真との照合や IC チップの読み取りなどの確認もある。ただし、なりすましの可能性を完全に否定するものではない。

また、信用情報機関には、本人確認書類の画像の流出などがあったときに、本人が申し出て登録できる「本人申告制度」があると紹介しています。タイムズモビリティはこの制度の利用を勧めたり保証したりする立場にはないとしていて、使うかどうかは本人が決めます。

問い合わせ先は、専用のフリーダイヤル（0120-25-8924・24 時間。かけ間違いに注意）と、タイムズカーのお問い合わせフォームです。

次に読む：個人情報が漏れたと連絡が来たときにやること ／ 同じ車のサービスで起きたカーセンサーの件

経緯

本人確認書類を預かる会社が見直すこと

ここからは、この記事での整理です。レンタルや会員制のサービス、不動産、人材、中古品の買取りなど、運転免許証などの画像を受け取る仕事は、中小企業にもあります。タイムズモビリティは、なりすまし対策や問い合わせ対応のために画像を持ち続けていました。今回の件を受けて、「登録の確認が終わったらすぐ消す」に変えています。

• 持たない 画像を受け取る前に、本当に画像が要るか、目で見て確かめるだけで済まないかを考える。法律で写しを残すよう決まっている仕事なら、その決まりの範囲だけにする。
• すぐ消す 確認が終わった画像を消す手順と期限を決める。サーバーだけでなく、フォームの添付ファイル、受け取ったメール、社内の共有フォルダやパソコンに残った写しも対象にする。
• どうしても持つなら、場所を絞る 置き場所を 1 か所にまとめ、見られる人を限り、暗号化する。持っている期間と理由を、プライバシーポリシーなどに書いておく。
• 受け付けの仕組みを新しく保つ 今回は Web システムの脆弱性が入口だった。画像を受け付けるフォームやシステムの部品を更新し、同じ作りのほかのシステムもあわせて点検する。

技術的な詳細（システム担当者向け）

ここからは、会員の情報や本人確認書類を扱う Web システムを運用している担当者・エンジニア向けです。第 5 報とパーク24 の適時開示から読み取れる技術的な点を、発表の言葉に沿って並べます。

この記事での整理です。この件では、入口の脆弱性のあとに「中で見つけた情報を使って」データベースとストレージに届いています。Web サーバーが破られたときに奥のデータまで届かないよう、次の点を確かめておきます。

• Web サーバーの設定ファイルやソースコードに、データベースやストレージの接続情報（パスワード・アクセスキー）をそのまま置いていないか
• Web システムが使うアカウントの権限が、必要な表・必要なフォルダだけに絞られているか（最小権限）
• ストレージからの大量の読み出しや、外への大きな送信に気づけるログと通知があるか
• 暗号化の鍵が、暗号化したデータと同じ場所に置かれていないか

次に読む：IPA が呼びかける不正アクセスの対策 ／ Web サイトの弱点をふさぐセキュリティ対策の基本

自社で見直すこと

本人確認書類に限らず、預かった情報は、量が多く、持っている期間が長いほど、事故のときの影響が大きくなります（この記事での整理）。

• 預かっている情報と期間の一覧をつくる フォーム・会員登録・予約・メールなど、どこで、どんな情報を、いつまで持っているかを書き出し、期限を過ぎたものを消す。
• ホームページのフォームの受け取り方を確かめる ファイルを添付できるフォームでは、送られたファイルがサーバーにたまり続けていないかを確かめる。
• 自社からの連絡の手段を公式サイトに書いておく どのアドレスから、どんな内容の連絡をするか、認証コードやパスワードは聞かないことを公式サイトに書いておく。そうすると、自社を装う連絡と見分けてもらいやすくなる。

ほかの最近の出来事は 「最近のサイバー攻撃と対策」、フォームで預かる情報の扱いは 「お問い合わせフォーム」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

• オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。

  オーダーメイド制作を相談する オーダーメイド制作との違い

• 自分で作る（自作） 費用は抑えられます。そのかわり、フォームで受け取ったファイルの整理やサイトの部品の更新、事故のときのお知らせの掲載を、公開後もずっと自分で続けることになります。
• 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。

  完成済みのサイトを実物で見る