リクルート「カーセンサー」の不正アクセスで、何がどこまで漏えいしたのか｜情報漏えい原因調査レポート

1はじめに

2026年10月21日、株式会社リクルートは、同社が運営する中古車情報サイト「カーセンサーnet」と、中古車販売店向けの業務支援サービス「C-MATCH」が不正アクセスを受け、利用者や取引先の情報が外部に漏えいした可能性があると発表しました。対象は最大370万9551件です。

カーセンサーは、ITmedia NEWSによると2026年9月時点で約52万台の中古車情報を載せる中古車情報サイトです。利用者はサイトやアプリで車を探し、気になる車があれば販売店に問い合わせます。販売店は、C-MATCHを使って車両の情報を登録し、問い合わせに返信します。今回、この両方が止まり、問い合わせの記録と、販売店の登録情報が漏えいの対象になりました。

KEYRINGでは、この事案を速報 No.0265で取り上げました。このレポートでは、リクルートの発表、カーセンサーのお知らせ、報道、公的機関の資料をもとに、次の問いに答えます。

いつ何が起き、どの順番で公表されたのか
漏えいした可能性があるのは、誰の、どの情報なのか
停止の影響は、どこまで広がったのか
原因について、何が分かっていて、何が分かっていないのか
同じ時期のほかの事案や、公的機関の注意喚起とどう重なるのか
利用者、販売店、企業は、いま何をすればよいのか

調査の方法と範囲

2026年10月26日までに公開された情報を対象にしました。リクルートのプレスリリースは10月21日の1本で、10月26日時点で続報は出ていません。数値は発表の値をそのまま使い、「最大」「可能性」の留保も発表どおりに書いています。侵入の経路や、二次被害の有無の続報など、当事者が公表していないことは「公表されていない」と書き、推測では埋めていません。

2検知から再開までの経緯

検知は10月17日の土曜日でした。リクルートは同じ日の17時ごろに関連する全サービスを止め、3日後の20日に漏えいの可能性がある情報の項目と件数を把握し、21日に公表しています。サービスの再開は22日です。

図表110月の経緯（日本時間）

10月17日（土）
不審なアクセスを検知し、関連する全サービスを止める
「カーセンサーnet」関連システムへの外部からの不審なアクセスを検知。17時ごろから、カーセンサーnet、アプリ版のカーセンサー、C-MATCHなど、関連する全サービスを一時停止した。
出典：リクルート、カーセンサーお知らせ
10月17日〜
日産と三菱自動車の中古車検索サイトも止まる
リクルートのシステムを使っている日産自動車と三菱自動車が、公式の中古車検索サイトを17日から一時停止した。
出典：共同通信（Yahoo!ニュース）、日本経済新聞
10月18日〜20日
販売店がほかの経路を案内する
C-MATCHも止まり、一部の販売店はブログなどで、カーセンサー経由の利用ができないと告知し、自社サイトや電話などの利用を呼びかけた。20日夜の時点で、日産の「日産公式中古車検索サイト」と三菱自の「MCネット」は閲覧できず、マツダは車両の情報の更新ができない状態とみられると報じられた。
出典：ITmedia NEWS（10月19日）、日刊自動車新聞（10月21日）
10月20日（火）
漏えいの可能性がある項目と件数を把握
調査の結果、漏えいした可能性がある個人情報の項目と件数（最大値）を把握した。
出典：リクルート
10月21日（水）
最大370万9551件の漏えいの可能性を公表
対象の区分と項目、件数を公表した。個人情報保護委員会へはすでに速報を出したとし、対象者には順に個別に連絡するとした。21日時点で、本件に起因する二次被害は確認されていないとしている。
出典：リクルート
10月22日（木）13時ごろ
安全を確認できたサービスから順に再開
カーセンサーとC-MATCHが利用できる状態に戻った。来店予約の機能などはまだ使えず、一部のページも閲覧できなかったと報じられた。リクルートは、停止中にC-MATCHで情報を更新できなかったため、掲載の在庫や価格が最新でない場合があるとして、来店や契約の前に販売店へ確認するよう求めている。
出典：カーセンサーお知らせ、日刊自動車新聞（10月22日）
10月26日（月）
続報は出ていない
10月26日時点で、リクルートのプレスリリースの一覧に本件の続報はない。カーセンサーのお知らせは22日の更新が最新。
出典：リクルートプレスリリース一覧、カーセンサー

検知から公表まで4日、検知から再開まで5日です。リクルートは、検知した日のうちに関連するサービスを止める判断をしています。停止の理由について、リクルートは「お客様およびお取引先様の安全確保と影響の確認のため」としています。

停止の間、利用者はサイトから車を探すことも、販売店に問い合わせることもできませんでした。ITmedia NEWSによると、一部の販売店はブログなどで、カーセンサー経由の利用ができないと告知し、自社サイトや店への電話、ほかの中古車販売サイトの利用を呼びかけました。日刊自動車新聞も、販売店の間で顧客対応や業務支援への支障を懸念する声が広がったと伝えています。再開後も、カーセンサーは、停止中に販売店が在庫や価格を更新できなかったため、掲載の情報が現在の状況と違う場合があるとして、来店や契約の前に販売店へ直接確かめるよう求めています。情報の漏えいとは別に、5日間の停止そのものが、利用者と販売店の取引に影響を残しました。

3漏えいした可能性のある情報の内訳

リクルートは、対象を4つの区分に分けて、項目と件数を公表しました。4つの区分のすべてに、同社が社内で付ける管理用のIDが含まれています。クレジットカードなどの決済情報と、ログインのパスワードは、いずれの区分にも含まれていません。

図表2漏えいした可能性のある個人情報の区分と項目

区分	件数（最大）	項目
（1）販売店に問い合わせた利用者カーセンサーnet（アプリ版を含む）	3,210,421件	氏名・住所（317万6375件）／氏名・住所・問い合わせ内容・年代・性別（3万3247件）／氏名・住所・問い合わせ内容・電話番号・FAX番号・メールアドレス（799件）
（2）口コミを投稿した利用者カーセンサーnet（アプリ版を含む）	5,289件	氏名（5285件）／氏名・メールアドレス（4件）
（3）C-MATCHに登録のある販売店	483,168件	代表者や担当者の氏名・電話番号、古物商許認可番号・許認可保有者氏名・発行都道府県、ログインID。個人事業主の場合は、事業所・窓口の住所、郵便番号、電話番号、FAX番号、引落口座情報も
（4）従業員・委託先・販売代理店の関係者	10,673件	氏名、メールアドレス、ログインID。リクルートの従業員（退職者を含む）、業務委託契約を結んでいる・いた企業の従業員や個人事業主、販売代理店契約を結んでいる・いた企業の従業員

出典：リクルート「『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月21日）。すべての区分に社内の管理用IDを含む

図表3区分ごとの件数（最大値）

問合せ321万

販売店48.3万

関係者1.07万

口コミ5,289

出典：リクルート（10月21日）。棒の長さは件数に比例し、ごく少ない区分は見えるよう最小の長さをとる

住所は、多くが市区町村名まで

（1）の大半を占める317万6375件は、氏名と住所の組み合わせです。リクルートは、この住所は原則として市区町村名までの情報だと説明しています。ただし、町名・番地・建物名・部屋番号などまで書かれている可能性がある件数が、最大44万7670件あるとしています。利用者が問い合わせのときに住所を詳しく書いた場合などが考えられますが、どういう場合に詳しい住所が入ったのかは公表されていません。

図表4問い合わせた利用者のうち、番地などまで含む可能性がある住所の割合

86.1%原則として市区町村名まで 13.9%番地などまでの可能性

出典：リクルート（10月21日）。割合は、最大44万7670件を（1）の321万421件で割ってKEYRING編集部が計算したもの。44万7670件は最大値で、実際の件数はこれより少ない可能性がある

販売店の情報と、個人事業主の口座

（3）のC-MATCHの区分は、販売店という取引先の情報です。法人の販売店では、代表者や担当者の氏名と電話番号、古物商の許認可の番号などが対象です。個人事業主の販売店では、これに事業所の住所や電話番号、引落口座情報が加わります。個人事業主の場合、事業の情報はそのまま個人の情報でもあります。48万3168件のうち、個人事業主がどれだけかは公表されていません。

（4）は、リクルートの社内と、業務を委託している企業、販売代理店の関係者の情報です。日刊自動車新聞は、業務委託先にも影響が及ぶ懸念があると報じています。氏名とメールアドレスに加えてログインIDが含まれており、どのシステムのログインIDかは公表されていません。

読むときの注意

370万9551件は4つの区分の件数の合計で、すべて「最大値」です。同じ人が複数の区分や複数の問い合わせで重なって数えられているかどうかは公表されていません。「漏えいした」ではなく「漏えいした可能性がある」件数です。

4停止は、メーカーのサイトにも及んだ

カーセンサーは、利用者と販売店をつなぐだけでなく、自動車メーカーの中古車検索サイトの仕組みにも組み込まれていました。リクルートがサービスを止めると、その仕組みを使うサイトも止まりました。

図表5カーセンサーの関連システムと、漏えいの対象・停止の影響が及んだ範囲

リクルート（10月21日）、カーセンサーお知らせ、日刊自動車新聞（10月21日）、共同通信をもとにKEYRING編集部が作成。メーカーのサイトがカーセンサーのどの機能とつながっていたかは公表されていない

日刊自動車新聞は、日産と三菱自動車について、中古車検索サイトの運営をリクルートに委託していると報じています。マツダは自社でサイトを運営しているため閲覧はできたものの、カーセンサーと連携して在庫の情報を表示しているため、新しい車両の登録や削除ができなくなっているとみられる、としています。

この構図は、メーカーから見れば委託先で起きた事案です。メーカーのサイトの利用者の情報が漏えいの対象に含まれるかどうかは、10月26日時点で公表されていません。リクルートの発表は、カーセンサーnetとC-MATCHの利用者と取引先、関係者を対象として挙げています。

委託する側が求められていること

個人データの取扱いを外部に委託する事業者は、委託先を監督しなければなりません（個人情報保護法第25条）。個人情報保護委員会は、2024年3月にクラウドサービス事業者のエムケイシステムに指導を行った際、委託元には、適切な委託先の選定、委託契約の締結、委託先での個人データの取扱状況の把握について、必要かつ適切な措置を講じる義務があると整理しています。

中古車検索サイトのように、自社のサイトの裏側を他社のシステムが支えている場合、委託元が自分で止められるのは自社の画面だけです。委託先のシステムが止まったときに、自社のサイトを止めるか、利用者にどう知らせるかを、委託元の側でもあらかじめ決めておく必要があります。

IPAは10月9日の注意喚起で、経営者が認識すべき原則の1つとして、自社だけでなく、国内外の拠点、ビジネスパートナーや委託先など、サプライチェーン全体の対策に目を配ることを挙げました。委託元と委託先の対策の状況を共通の基準で評価する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、IPAは同じ注意喚起で、2027年3月の制度開始に向けて準備を進めているとしています。

5分かっていること、分かっていないこと

リクルートの発表の「原因」の欄は、「第三者からの不正なアクセス」の一文です。侵入の経路や手口は、10月26日時点で公表されていません。

図表6公式発表で確認できる範囲（10月26日時点）

項目	公表されていること
侵入の経路・手口	公表されていない。「第三者からの不正なアクセス」
侵入されたシステム	「カーセンサーnet」関連システム。どのサーバーやデータベースかは公表されていない
侵入の時期	公表されていない。検知は10月17日
漏えいの範囲	4つの区分で最大370万9551件の可能性。実際に持ち出された件数かどうかは示されていない
含まれない情報	クレジットカードなどの決済情報、ログインパスワード
二次被害	10月21日時点で確認されていない
報告・届出	個人情報保護委員会へ速報済み。警察への届出の有無は公表されていない
再発防止策	原因を究明し、グループとして対策を検討・実行するとしている。具体的な内容は公表されていない

出典：リクルート（10月21日）、カーセンサーお知らせ（10月22日更新）

原因が分からないまま、公表されている範囲から言えることは2つです。1つは、利用者の問い合わせの記録、販売店の登録情報、社内や委託先の関係者のログイン情報という性質の違う情報が、1つの事案の対象にまとめて入ったことです。これらが同じシステムにあったのかどうかは公表されていません。もう1つは、件数の大半が「問い合わせ」という1回ごとの記録だということです。何年分の記録が対象だったかは公表されていません。

同じ時期に公的機関が示していた手口

JPCERT/CCは10月8日から、9月前後に国内で相次いだ不正アクセスについて注意喚起を出しています。挙げられている手口は、標的ごとに既知の脆弱性を探して悪用するもの、一般に公開しているスマートフォンアプリを解析してAPIの窓口やキーを特定し、内部のAPIを不正に呼び出すもの、ほかのシステムの侵害で盗んだAPIキーを使うもの、公開Webサーバーから届くアプリケーションサーバーにWebシェルを置くもの、AIを使った侵入テストの基盤を悪用するものなどです。

カーセンサーにはアプリ版がありますが、カーセンサーの事案がこれらの手口のどれかに当たるかは、リクルートも公的機関も公表していません。JPCERT/CC自身も、すべての事案で同じ手口が使われたことを示すものではないとしています。

JPCERT/CCは同じ注意喚起で、管理・運用する側が不特定多数からのアクセスを想定していないシステム、たとえば従業員向けの管理システムや、データを集計・分析するBIツールも被害に遭っていると指摘しています。対策としては、APIへのリクエストの回数制限、非公開のAPIを含むすべての窓口でのアクセス制御、APIのトークンへの最小限の権限と有効期限、業務に要らない管理機能の公開の停止、保存期間を過ぎたデータや利用目的を終えたデータを残さないことなどを挙げています。

今回の（4）の区分には、従業員や委託先、販売代理店の関係者のログインIDが含まれていました。どのシステムのIDかは公表されていません。一般に、社内や取引先が使う仕組みも、JPCERT/CCが挙げる「不特定多数からのアクセスを想定していないシステム」として点検の範囲に入ります。

6同じ月に続いた大規模な漏えい

2026年10月は、国内で大量の個人情報を扱うサービスの漏えいの公表が続きました。KEYRINGが記録した10月の国内の事故59件（24日まで）のうち、原因を不正アクセスに分類したものは33件です。次の表は、そのうち件数の大きいものの一部です。

図表72026年10月に公表された、国内の主な大規模な漏えい（不正アクセスによるもの）

公表日	事業者	件数	公表されている原因
10月9日	ディップ	約388万件	Webサイトの一部機能の仕様上の不備
10月15日	ソースネクスト	約2252万件	会員情報を取得するAPIの不正利用
10月20日	トラストバンク（ふるさとチョイス）	約445万件	ふるさと納税サイトへの不正アクセス
10月21日	リクルート（カーセンサー）	最大約371万件	第三者からの不正なアクセス（経路は非公表）
10月22日	カプコン	約1177万件	「CAPCOM ID」への不正アクセス（手口は非公表）
10月23日	パーク24（タイムズカー）	約662万件	Webシステムの脆弱性を悪用した侵入
10月24日	佐川急便	最大約5323万件	「お荷物問い合わせサービス」への不正アクセス（経路は非公表）

出典：KEYRING 情報管理速報の記録（各記事の出典は当事者の発表と報道）。件数は各社の公表の単位と留保に従う。一覧は不正アクセスによる情報漏えい事故を参照

これらの事案は、事業の分野も、公表された原因もばらばらです。共通しているのは、多くの人が日常的に使うサービスで、1つの事案の対象が数百万件から数千万件に及んでいることです。

7報告の義務と、公的機関の注意喚起

個人データの漏えいが起き、または起きたおそれがあり、不正アクセスのように不正の目的によるおそれがある場合、事業者は件数にかかわらず個人情報保護委員会に報告し、本人に通知しなければなりません（個人情報保護法第26条）。報告は速報と確報の2段階です。

図表8漏えい等報告と本人通知の流れ

概ね3〜5日以内速報を出す
事態を知ってから速やかに。その時点で把握していることを報告すれば足りる。リクルートは10月21日の発表で、すでに速報を出したとしている。
状況に応じて速やかに本人に通知する
通知が難しい場合は、公表と問い合わせ窓口の設置などで代える。リクルートは対象者に順に個別に連絡し、連絡が取れない人には発表と専用窓口で知らせるとしている。
60日以内確報を出す
知った日から30日以内。不正の目的によるおそれがある事態は60日以内。確報では、原因や再発防止策を含むすべての事項を報告する。

出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3、3-5-3-4、リクルート（10月21日）をもとにKEYRING編集部が作成

同じ時期に出ていた、委員会の注意喚起

個人情報保護委員会は10月7日、大規模な漏えいが相次いでいるとして注意喚起を出しました。対象として特に挙げたのは、国民の多くが使う事業で業界内のシェアが高いサービスなどを提供し、大量の個人情報を持つ事業者です。委員会は、技術的な安全管理措置の見直しの内容を先取りして示し、あわせて、利用する必要がなくなった個人データを遅滞なく消去するよう努めること（第22条）を改めて求めました。不要なデータが残っていたために漏えいが深刻になった事例に接しているとしています。

10月9日には、IPA、総務省、経済産業省、金融庁なども注意喚起を出しました。IPAは、外部に公開しているアプリケーションのログの確認と未適用の修正の適用、利用している外部サービスの洗い出し、保有するデータの再点検を、速やかに行うよう求めています。

問い合わせの記録と、保有の必要性の確認

今回の対象の大半は、利用者が販売店に送った問い合わせの記録です。委員会の注意喚起が求める「必要性の確認」は、対応を終えた問い合わせの記録にも当てはまります。カーセンサーで何年分の記録が保存されていたかは公表されていません。

8影響を大きくした4つの条件

1問い合わせの記録が321万件あった

対象の大半は、利用者が販売店に送った問い合わせの記録でした。1回ごとの問い合わせが1件として数えられています。記録が何年分だったかは公表されていません。

2性質の違う情報が、1つの事案の対象にまとめて入った

利用者の氏名と住所、販売店の担当者と口座、社内と委託先のログインIDが、1つの事案の対象にまとめて入りました。区分ごとにシステムが分かれていたかどうかは公表されていません。

3他社のサービスの裏側でも使われていた

日産と三菱自動車の中古車検索は、カーセンサーの関連システムを使っていました。リクルートが止めると、両社のサイトも止まりました。マツダも、在庫の情報の連携で影響を受けたと報じられています。

4取引先と委託先の情報も含まれていた

販売店48万件と、委託先・販売代理店の関係者の情報が対象になりました。利用者だけでなく、事業を一緒に営む側にも、通知と注意の呼びかけが要る事案になっています。

条件の整理は、公開された情報をもとにKEYRING編集部が行ったものです。侵入の経路が公表されれば、見直します。

9利用者・販売店・企業が取るべき対応

リクルートの呼びかけと公的機関の注意喚起をもとに、立場ごとに取るべき対応を並べます。

図表9カーセンサーで問い合わせをした人と、販売店が確かめること

いまから心当たりのないメール・SMS・郵送物・電話に応じない
リクルートは、メール・SMS・郵送物の開封や電話への応答をしないこと、本文のリンクや添付ファイルを開かないことを求めている。住所が対象になっているため、郵便での連絡にも注意が要る。
いまから連絡が本物かを、公式の窓口で確かめる
リクルートは対象者に個別に連絡するとしている。届いた連絡が本物か迷ったら、プレスリリースにある専用の問い合わせ窓口から確かめる。
販売店口座や支払いの変更の依頼は、別の経路で確かめる
個人事業主の販売店は、引落口座情報が対象に含まれる。リクルートやカーセンサーを名乗って振込先や口座の変更を求める連絡が来たら、公式の窓口で確かめる。
販売店C-MATCHのログインIDを使ったなりすましに注意する
パスワードは対象に含まれないが、ログインIDが対象になっている。IDを知った第三者からのフィッシングに、パスワードを入力しない。
販売店停止中の在庫と価格の情報を直す
停止中はC-MATCHで情報を更新できず、掲載の在庫や価格が最新でない場合がある。停止前の問い合わせへの返信も順に進める。

出典：リクルート（10月21日）、カーセンサーお知らせ（10月22日更新）をもとにKEYRING編集部が作成。販売店の項目の一部は編集部の整理

大量の個人情報を扱うサービスの企業が確かめること

図表10立場ごとの点検項目

立場	点検すること
サービスを運営する部門	外部に公開しているアプリケーションやAPIのログに、平時と違うアクセスがないか。アプリから分かるAPIの窓口に、利用者ごとのアクセス制御と回数の制限があるか（JPCERT/CC、IPA）
データを管理する部門	問い合わせの記録などを、何年分、どの目的で持っているか。対応が終わった記録や、退職者・契約が終わった委託先の情報を残していないか（個人情報保護委員会 10月7日）
取引先とつなぐ部門	他社のサイトに自社のシステムを提供している場合、停止したときに相手に何をいつ知らせるか。相手の利用者の情報が対象に含まれるかを、どう判定して伝えるか
経営層	検知した日のうちにサービスを止める判断を、誰ができるか。取引先・委託先の関係者まで含めた通知の体制があるか

出典：JPCERT/CC（10月8日公開、23日更新）、IPA（10月9日）、個人情報保護委員会（10月7日）の資料をもとにKEYRING編集部が作成

10提言

今回の事案では、原因がまだ分からない一方で、何がどれだけ対象になったかは、検知から4日で詳しく公表されました。その内訳からは、問い合わせの記録の件数の大きさと、性質の違う情報が1つの事案の対象にまとめて入ったことが見えます。これらが同じシステムにあったのかどうかは公表されていません。KEYRINGは次の4つを提言します。

1問い合わせの記録に、保存の期限を決める

販売店への取り次ぎが終わった問い合わせは、必要な期間を過ぎたら消す。住所は、取り次ぎに必要な粒度だけを持つ。カーセンサーで保存の期限がどう決められていたかは公表されておらず、ここでは一般的な確認点として挙げる。

2利用者・取引先・社内の情報を、同じ侵入で届かない場所に分ける

一般に、1つのシステムへの侵入で、利用者と販売店と社内の関係者の情報にまとめて届かない構成にしておくと、被害の範囲を狭められる。今回の事案の構成がどうだったかとは別の、一般的な確認点として挙げる。

3他社に提供している機能の止め方と知らせ方を決めておく

メーカーなど他社のサービスを支える機能は、止めたときの影響と連絡先を一覧にしておく。

4原因が分かったら、手口まで公表する

同じ時期に多くの事業者が狙われている。侵入の経路と手口の公表は、ほかの事業者が自社の点検に使える情報になる。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

用語集

カーセンサーnet: リクルートが運営する中古車情報サイト。アプリ版もある
C-MATCH: 中古車販売店向けの業務支援サービス。車両の情報の登録や、問い合わせへの返信などに使う
古物商許認可番号: 中古品を売買する事業者が受ける古物商の許可の番号。中古車の販売にも必要
管理用ID: 事業者が社内で利用者や取引先を識別するために付ける番号
漏えい等報告: 一定の漏えいが起きたとき、事業者が個人情報保護委員会に行う報告。速報と確報の2段階で行う
API: ほかのシステムやアプリからサービスの機能を呼び出すための窓口
Webシェル: サーバーに置かれ、外から命令を送ってサーバーを操作できるようにする不正なプログラム
フィッシング: 実在の企業などを装ったメールやSMSで偽のサイトに誘い、パスワードなどを入力させる手口

参考文献

このレポートは2026年10月26日時点の公開情報にもとづきます。リクルートの調査は続いており、原因や漏えいの範囲は今後の発表で変わる可能性があります。新しい情報があれば更新します。図表7の各社の件数と原因は、KEYRINGの情報管理速報の記録によります。最終閲覧日はいずれも2026年10月26日です。

リクルート「カーセンサー」の不正アクセスで、何がどこまで漏えいしたのか

数字で見る今回の事案

エグゼクティブ
サマリー

1はじめに

2検知から再開までの経緯