パーク24「タイムズカー」の不正アクセスで、免許証の画像146万件はなぜ外部に送られたのか

1はじめに

2026年9月25日、パーク24は、グループが運営するカーシェアリング「タイムズカー」のWebシステムで不正アクセスを検知し、会員の個人情報が漏えいした可能性があると発表しました。9月28日の第2報で漏えいしたアカウントを約660万件、29日の第3報で運転免許証画像などの本人確認書類が漏えいしたアカウントを約160万件と公表し、10月23日の第5報で、外部専門機関の調査結果として最終の件数を示しました。

第5報によると、氏名や住所、運転免許情報などを含む662万8007件に、攻撃者がアクセスし外部に送信した痕跡がありました。暗号化して保管していた本人確認書類の画像は、146万4800件に外部送信の痕跡がありました。調査の過程で、ポイントサービス「タイムズクラブ」のWebシステムへの不正アクセスも見つかっています。

このレポートは、パーク24の第1報から第5報、適時開示、警察庁と個人情報保護委員会の資料、報道をもとに、次の問いを順に扱います。KEYRINGの速報記事（No.0161、No.0274）も、あわせてご覧ください。

• 何が、いつ、どの順番で起きたのか
• どの情報が、何件、外部に送られたのか
• 侵入の原因について、何が公表され、何が公表されていないのか
• なぜ免許証の画像が、退会後も残っていたのか
• 見舞金と訴訟は、どう動いているのか
• 利用者と企業は、いま何を確かめればよいのか

2検知から第5報までの経緯

パーク24は、検知した当日に第1報を出し、個人情報保護委員会に報告しています。件数は3日後、本人確認書類の件数は4日後に公表しました。最終の件数は、フォレンジック調査を終えた10月23日の第5報で示されました。

9月28日には国土交通省にも一報を入れています。カーシェアは車を貸し渡す事業で、所管の官庁への連絡も対応の一部になりました。第1報から第2報までの3日間で、「漏えいした可能性」は「第三者に取得されたことを確認」に変わりました。一方、本人確認書類の画像の件数は、第3報の約160万件から、第5報で外部送信の痕跡がある146万4800件へと絞り込まれています。

3何が外部に送られたのか

第5報は、漏えいの中身を6つの区分に分けて示しています。①〜⑤はタイムズカーのWebシステム、⑥は調査の過程で見つかったタイムズクラブのWebシステムです。

第2報で9件としていた連携サービスIDは、調査の結果4件になりました。漏えいの対象に挙げていたJR西日本グループの会員サービス「WESTER ID」は0件でした。パーク24はクレジットカード情報を自社で持たない仕組みにしており、クレジットカードの番号の全桁とセキュリティコードは保持していないため、不正に使われるおそれはないとしています。パスワードは復元できない形式で保管していたと、第2報の時点から説明しています。

①の注記にあるとおり、タイムズカーのWebシステムは、法人向けの「タイムズビジネスサービス」に「カンタン入会」で入った人の契約情報も管理していました。このため、駐車場だけをクレジットカード払いで契約している人も対象に含まれています。カーシェアを使ったことがない人にも、通知が届き得るということです。また⑥のタイムズクラブで外部送信の痕跡があった項目の多くは、他社の提携サービスと連携するための識別番号（13万5436件）とカード番号でした。会員管理とシステム運用のための識別情報にも、アクセスと外部送信の痕跡があったとしています。

本人確認書類の画像：160万件から146万件へ

第3報は、運転免許証画像、現住所確認書類（公共料金の請求書など）の画像、学生プランの学生証画像、家族プランの家族確認書類の画像を挙げていました。第5報で、その中身は次のように分けられました。

パーク24は、画像を暗号化して保管していたため、痕跡があってもすぐに画像の内容が見られる状態になったことを意味しないと説明しています。同時に、外部に送られた暗号化データは「将来的な復号の可能性を完全に否定できるものではありません」とも書いています。暗号化の鍵をどこで、どう管理していたかは公表されていません。

4公表された原因：Webシステムの脆弱性

第5報は、発生原因を次のように説明しています。「外部専門機関によるフォレンジック調査の結果、本事案はWebシステムに存在した脆弱性が悪用されたことにより発生したものと判断しております」「攻撃者は当該脆弱性を悪用してシステムへ侵入した後、システム内の情報を探索し、取得した情報を利用してデータベースおよびファイル領域へアクセスしていたことを確認しております」「攻撃手法の詳細やシステム構成等については、二次被害防止の観点から公表を差し控えます」。

第5報は、攻撃者が「取得した情報を利用して」データベースとファイル領域に入ったと書いています。何を取得したかは公表されていません。対策として、パーク24は確認された侵害経路への対策を終え、「同一構成システムへの点検および脆弱性対策」と、監視・検知の強化を行ったとしています。

点検の対象になったシステムの数や名前は公表されていません。Webシステムの脆弱性の作り込みを防ぐ手引きには、IPAの「安全なウェブサイトの作り方」があります。

5分かっていること、公表されていないこと

パーク24は、想定されるリスクとして、フィッシングメールやフィッシングサイトによる詐欺、なりすましによる申し込みや問い合わせ、不正な勧誘、個人情報の悪用を挙げています。

6免許証の画像の保管期間と、その目的

パーク24は、会員登録のときに提出された運転免許証などの画像を、暗号化して、会員期間中と退会後7年間保有していました。目的は、登録時の本人確認に加えて、不正利用が疑われる事案への対応、問い合わせ対応、各種の本人確認業務だったと説明しています。画像は社内ルールに基づいて管理し、保有期間も会社が定めた基準に沿って運用していたとしています。

個人情報保護法に詳しい板倉陽一郎弁護士は、毎日新聞の取材に、今回もっとも大きな問題は企業が利用者の身分証明書のコピーを保管していたことだと述べています。個人情報保護法は、不要になったデータを消去する努力義務を定めています。記事は、カーシェアという事業の性質上、登録時に運転免許証が必要だったとしても、学生証は必要だったのか、身分証明書の情報を保管し続ける必要があったのか、と問いかけています。

第3報が挙げた画像は、運転免許証のほか、現住所を確かめる書類（公共料金の請求書など）、学生プランの学生証、家族プランの家族確認書類でした。プランごとに求める書類が増え、その分だけ保管する画像の種類も増えていました。公共料金の請求書には、免許証とは別の情報が載っていることがあります。

退会した人の画像が残っていたことは、流出の対象が「いまの会員」より広くなった理由の1つです。第2報は、対象に退会済みの人と、入会を申し込んだが何らかの理由で入会を終えていない人も含むとしていました。

7見舞金3,000円相当と特別損失55億円

見舞金の対象は、暗号化された本人確認書類の画像へのアクセスと外部送信の痕跡が確認された人です。会員情報（①）だけが対象だった人は含まれません。パーク24は、画像がすぐに見られる状態になったわけではないものの、将来の復号の可能性を否定できないこと、利用者への影響と負担を踏まえて、この範囲にしたと説明しています。渡し方と時期は検討中で、決まりしだい対象者に知らせるとしています。

①の会員の情報は662万8007件、④の画像は146万4800件で、件数の差は約516万件です（編集部計算）。件数と人数が一致するか、①と④の対象者がどう重なるかは公表されていないため、見舞金の対象にならない人の数は分かりません。パーク24は「今後実害が発生したら、個別に適切に対応する」としています（時事通信）。

特別損失5,500百万円は、見舞金と「本事案への諸対応費用」を合わせたものです。見舞金の総額について、時事通信は約44億円の見込みと報じました。ITmediaは、画像の件数と対象者数が同じと仮定した単純計算で約44億円になると書いています。パーク24の開示資料には、見舞金の総額は書かれていません。開示資料は、公表の直後にモビリティ事業で会員数の推移に一定の影響が見られた一方、1日あたりの売上高は事案前の水準を保っているとしています。

8利用者の動き：再交付と集団訴訟

免許証の再交付が相次いだ

時事通信によると、公表のあと、各地の警察や運転免許センターに「免許証の情報を書き換えたい」といった問い合わせが多く寄せられました。再交付は原則として紛失や記載事項の変更の場合に限られますが、道路交通法施行規則は公安委員会が「相当な事情」と認めれば可能としており、ほぼ全ての窓口で再交付を認める運用をしているといいます。

ただし、再交付で変わるのは顔写真と、12桁の番号のうち再交付の回数を示す末尾の番号だけです。住所や生年月日は変わらず、事業者の側も更新後の免許証かどうかを確かめる手段がないため、犯罪を防ぐ効果は限られると、時事通信は伝えています。警察庁は、金融機関などに手続き時の本人確認の徹底を求め、個人には「詐欺や個人情報の悪用が疑われる場合はすぐ警察に相談してほしい」と呼びかけています。

警察庁の楠芳伸長官は10月8日の記者会見で、基本的なセキュリティ対策の徹底を求め、詐欺電話を遮る機能を持つ防犯アプリの活用、パスワードの更新、不審なメールを開かないことなどを呼びかけました。時事通信は、タイムズカー以外にも不正アクセスによる流出が相次いでおり、特殊詐欺の電話や、流出元の企業をかたる偽のメールの増加も想定されると伝えています。

集団訴訟の登録は9万人を超えた

東京弁護士会の牧野裕貴弁護士は、集団訴訟に向けた専用サイトを開設しました。産経新聞によると、10月2日午後1時までに1万人以上が登録し、時事通信によると、10月23日時点で9万人を超えました。牧野弁護士は同日、運営会社などに損害賠償を求めて提訴する意向を明らかにし、時事通信の取材に「成り済ましに対する不安や（被害）申告などの対応を考えると（見舞金額が）低過ぎる」と述べています。

9本人確認の画像が狙われたほかの事案

本人確認のために集めた身分証の画像や情報が流出した事案は、海外でも続いています。KEYRINGの速報で扱ったものを挙げます。

いずれも、本人確認に使った身分証の画像や情報が、事業者の手元に残っていた事案です。パスワードと違い、氏名、生年月日、顔写真は本人が変えられません。

10報告の義務と、本人確認のルールの変化

個人情報保護委員会への報告

個人情報保護法は、不正の目的をもって行われたおそれがある行為による漏えい等や、本人の数が1,000人を超える漏えい等について、個人情報保護委員会への報告と本人への通知を義務付けています。速報の目安は事態を知った時点から概ね3〜5日以内、確報は30日以内、不正の目的によるおそれがある場合は60日以内で、事態を知った日を1日目として数えます（ガイドライン通則編）。パーク24は検知の当日（9月25日）に報告し、調査を終えた10月23日に最終の件数を公表しました。本人への案内は、既存会員（9月28日）、本人確認書類の漏えいが確認された会員（9月29日、メールで案内。第3報）、退会者（10月1日）、法人会員（10月2日）の順に始めています。

2027年4月から、金融機関などにICチップを読み取る本人確認が義務付けられる

時事通信によると、来年4月からは改正犯罪収益移転防止法により、金融機関などにマイナンバーカードや運転免許証のICチップを読み取る本人確認が義務付けられ、画像だけでなりすますことはできなくなります。警察庁は制度の周知と積極的な導入を働きかける方針です。警察庁の施行規則の改正に関するQ&Aも、ICチップ情報の読み取りによる確認の方法を説明しています。義務がかかる事業者と取引の範囲は、犯罪収益移転防止法と施行規則によります。

パーク24が今回、登録確認の後に画像を残さないルールに変えたことで、確認の方法と保管の範囲を事業者がどう決めるかが、ほかのサービスでも問われることになります。

11影響の範囲にかかわる4つの事実

この整理は、公開された情報をもとにKEYRING編集部が行ったものです。攻撃の詳細が公表されれば、見直します。

12利用者と企業が取るべき対応

パーク24と警察庁の呼びかけ、報道をもとに、確かめる順番を並べます。

企業が確かめること

13提言

この調査から、KEYRINGは次の4つを提言します。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

用語集

脆弱性

ソフトウェアやシステムの欠陥のうち、攻撃に悪用できるもの

フォレンジック調査

記録やログを調べ、攻撃者が何をしたかを後から明らかにする調査

外部送信の痕跡

データがシステムの外に送られたことを示す記録。今回は、アクセスだけの痕跡と分けて数えている

暗号化

鍵がなければ読めない形にデータを変えること。鍵が漏れれば、元に戻される

ハッシュ化

パスワードなどを、元に戻せない形の値に変えて保存すること

本人確認書類

運転免許証、現住所を確かめる書類、学生証など、本人であることを示すために提出する書類

特別損失

通常の事業とは別に、一時的に生じた損失として決算に計上するもの

ICチップの読み取り

マイナンバーカードや運転免許証に埋め込まれたチップの情報を読み、券面の偽造を見分ける確認の方法

参考文献

• パーク24「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）※追記あり」2026.09.25（9.26 追記）
• パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」2026.09.28
• パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」2026.09.29
• パーク24「タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）」2026.10.16
• パーク24「タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」2026.10.23
• パーク24「特別損失の計上および通期連結業績予想の修正に関するお知らせ」2026.10.23
• タイムズカー「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）」2026.10.01 更新
• 時事通信「免許証画像漏えい、見舞金3000円　『タイムズカー』、被害会員は集団訴訟へ」2026.10.23
• 時事通信「免許画像流出、再交付申請相次ぐ　『成り済まし』懸念も効果限定―本人確認厳格化を要請・警察庁」2026.10.11 配信（URLの番号は10月10日）
• 毎日新聞「パーク24、画像漏えいの利用者に見舞金3000円　特損55億円計上」（Yahoo!ニュース）2026.10.23
• 毎日新聞「タイムズカー個人情報流出　専門家が問う『そのデータは必要？』」2026.10.09 掲載（URLの日付は10月8日）
• ITmedia ビジネスオンライン「タイムズカー、見舞金『3000円』を“被害者の一部”に支払いへ　対応費用で55億円の特別損失」2026.10.23
• 産経新聞「タイムズカー免許証画像流出、集団訴訟準備サイトに1万人超登録」2026.10.02
• 警察庁 JAFIC「犯罪による収益の移転防止に関する法律施行規則の改正に係るQ&A」2026.10.26 閲覧
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」2026.10.26 閲覧
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2026.10.26 閲覧
• IPA「安全なウェブサイトの作り方」改訂第7版2026.10.26 閲覧
• KEYRING 情報管理速報 No.0274「パーク24、タイムズカーの不正アクセスで免許証画像 約146万件に外部送信の痕跡」2026.10.23
• KEYRING 情報管理速報 No.0161（タイムズモビリティ）2026.09.25
• KEYRING 情報管理速報 No.0002（T-Mobile US）2021.08.17
• KEYRING 情報管理速報 No.0031（Tea Dating Advice）2025.07.25
• KEYRING 情報管理速報 No.0108（IDScan.net）2026.09.04

このレポートは2026年10月26日時点の公開情報にもとづきます。パーク24は情報セキュリティとガバナンスの強化策を年内をめどに公表するとしており、内容は今後の発表で変わる可能性があります。新しい情報があれば更新します。最終閲覧日はいずれも2026年10月26日です。