カーセンサーの情報漏洩｜最大370万件の範囲と問い合わせをした人がすること 2026

株式会社リクルートは2026年10月21日、中古車情報サイト「カーセンサーnet」と中古車販売店向けの業務支援サービス「C-MATCH」に不正アクセスがあり、利用者や取引先の個人情報が最大3,709,551件、外部に漏えいした可能性があると発表しました。 いちばん多いのは、カーセンサーnetで販売店に問い合わせをした人の氏名と住所で、クレジットカードなどの決済情報とログインパスワードは含まれていないと書かれています。 問い合わせをしたことがある人がまずすることは、リクルートやカーセンサー、中古車販売店を名乗るメール・SMS・郵送物・電話に、送り主を確かめるまで応じないことです。

この記事では、2026年10月22日時点で公開されているリクルートの公式発表だけをもとに、何が起きたのか、誰のどの情報が対象なのか、何がまだ分かっていないのかを順番に整理します。車を探していて販売店に見積もりや在庫の確認を送った人、口コミを書いた人、販売店として C-MATCH を使っていた人、リクルートと業務委託契約を結んで仕事をしていた人で、確かめることが少しずつ違います。自分がどこに当てはまるかを先に見つけてから読み進めると、迷わずに済みます。

2026年10月22日時点で分かっていること

最初に、結論にあたる事実を並べます。どれもリクルートの2026年10月21日付の発表で確かめた内容です。

• 対象は、中古車情報サイト「カーセンサーnet」（アプリ版を含む）と、中古車販売店向け業務支援サービス「C-MATCH」です
• 2026年10月17日に、カーセンサーnetの関連システムへの外部からの不審なアクセスを検知し、同日17時頃から関連するすべてのサービスを一時停止しています
• 2026年10月20日の調査で、漏えいした可能性のある個人情報の項目と件数（最大値）を把握したとしています
• 漏えいした可能性のある件数は、最大3,709,551件です
• 内訳は、販売店に問い合わせをした人、口コミを投稿した人、C-MATCH に登録している販売店、リクルートの従業員や委託先などの4つに分かれます
• 4つのどれにも、クレジットカードなどの決済情報とログインパスワードは含まれていないと明記されています
• 原因は「第三者からの不正なアクセス」とされ、原因と影響範囲の詳細は調査中です
• 個人情報保護委員会への速報は済んでおり、対象者には順次個別に連絡するとしています
• 2026年10月21日時点で、この件が原因の二次被害は確認されていないと書かれています

数字の大きさに目が行きますが、件数の大半は「氏名と住所」の組み合わせです。さらに住所は、原則として市区町村名までの情報だと説明されています。一方で、電話番号やメールアドレスまで含む人、番地や部屋番号まで含む可能性がある人、口座の情報まで含む販売店もあり、同じ「対象者」でも気をつける点はかなり違います。この記事では、その違いが分かるように項目ごとに分けて説明します。

公表の経緯と、続報の有無

リクルートの発表に書かれている経緯を、日付ごとに並べます。

日付	起きたこと・分かったこと
2026年10月17日（土）	カーセンサーnet関連システムへの外部からの不審なアクセスを検知。同日17時頃から、カーセンサーnet、アプリ版カーセンサー、C-MATCH など関連する全サービスを一時停止
2026年10月20日（火）	調査の結果、漏えいした可能性のある個人情報の項目と件数（最大値）を把握
2026年10月21日	「お詫びとお知らせ」を発表。件数、項目、原因、対応、お願い、窓口を公表

カーセンサーnetのトップページは、2026年10月22日時点で、サービスの一時停止を知らせる文面だけを表示しています。そこには、サービス再開の見込みが立ち次第ウェブサイト等で知らせること、今後の調査で知らせるべき事実が確認された場合は速やかに案内することが書かれています。再開の日付は、まだ示されていません。

2026年10月22日時点で、リクルートのプレスリリースの一覧で確かめた限り、10月21日の発表より新しい続報は出ていません。今回の発表は第1報にあたるもので、「第2報」「最終報」といった形で続きが出るかどうかも、発表には書かれていません。ただし、原因と影響範囲の詳細は調査中とされているので、件数や項目が後から変わることは考えておいたほうが安全です。

発表の原文で確かめる

発表の冒頭には、何が起きたのかが次のように書かれています。

株式会社リクルート（本社：東京都千代田区、代表取締役社長：牛田 圭一、以下当社）が運営する中古車情報サイト『カーセンサーnet』と中古車販売店向け業務支援サービス『C-MATCH』において、不正アクセスによりご利用者様やお取引先様の情報が外部に漏えいした可能性があることが判明いたしました。 出典: recruit.co.jp

ここで押さえておきたいのは、「漏えいした可能性がある」という書き方です。漏えいが確定したとは書かれていません。不正アクセスによって外から見られたり持ち出されたりしたおそれがある範囲を、最大の件数で示しているということです。この記事でも、会社の表現に合わせて「漏えいした可能性がある」と書きます。

もう1つは、「ご利用者様」だけでなく「お取引先様」の情報も対象になっている点です。カーセンサーnetは、車を探す人と中古車販売店をつなぐサービスです。車を探す側の情報に加えて、掲載している販売店や、リクルートと仕事をしている会社や個人の情報も対象に入っています。自分が「利用者」として関わっていたのか、「取引先」として関わっていたのかで、読むべき項目が変わります。

漏えいした可能性のある項目と、含まれないと明記された項目

発表は、対象者を4つに分け、それぞれの項目と件数を示しています。表にまとめます。

対象者	件数	漏えいした可能性のある項目
(1) カーセンサーnet（アプリ版を含む）で中古車販売店へ問い合わせをした人	3,210,421件	下の内訳のとおり
内訳1	3,176,375件	氏名、住所
内訳2	33,247件	氏名、住所、問い合わせ内容、年代、性別
内訳3	799件	氏名、住所、問い合わせ内容、電話番号、FAX番号、メールアドレス
(2) カーセンサーnet（アプリ版を含む）で口コミを投稿した人	5,289件	氏名（5,285件）、氏名とメールアドレス（4件）
(3) C-MATCH に登録している中古車販売店	483,168件	代表者や担当者の氏名・電話番号、古物商許認可番号・許認可保有者氏名・発行都道府県、ログインID
個人事業主の販売店の場合はさらに	483,168件の内数	事業所・窓口の住所、郵便番号、電話番号、FAX番号、引落口座情報
(4) リクルートの従業員（退職者を含む）、業務委託契約を結んでいる（いた）企業の従業員や個人事業主、カーセンサーの販売代理店契約を結んでいる（いた）企業の従業員	10,673件	氏名、メールアドレス、ログインID

このほか、(1)から(4)のすべてに、リクルートが社内で付けている管理用のIDが含まれていると書かれています。管理用のIDとは、会社が利用者や取引先を見分けるために内部で振っている番号のことで、利用者がログインに使うものとは別だと考えられますが、発表にはそこまでの説明はありません。

住所については、注記があります。(1)の「住所」は原則として市区町村名までの情報で、町名・番地・建物名・部屋番号まで含む住所が記載されている可能性がある件数は、最大447,670件とされています。つまり、問い合わせをした人の多くは「東京都世田谷区」のような市区町村までですが、一部の人は自宅を特定できる住所まで含む可能性があるということです。どちらに当たるかは、発表からは分かりません。

含まれないと明記された項目は次のとおりです。

含まれないと明記された項目	発表の表現
クレジットカードなどの決済情報	(1)から(4)のいずれにも含まれていない
ログインパスワード	(1)から(4)のいずれにも含まれていない

表を見て分かるとおり、件数で見ると大半は「氏名と住所」だけの人です。一方で、電話番号とメールアドレスまで含む799件、メールアドレスを含む口コミ投稿の4件、口座の情報を含む個人事業主の販売店、ログインIDを含む販売店と従業員・委託先の人たちは、なりすましの連絡に使われる情報がそろっている分、より注意が必要です。

問い合わせ内容、年代、性別まで含む33,247件の人は、「どの車について、どの販売店に問い合わせたか」が知られた可能性があります。偽の連絡の文面に、実際に問い合わせた車種や販売店の名前が書かれていると、本物と見分けにくくなります。この点は、後の「利用者がすること」で詳しく説明します。

いつからいつまでに問い合わせをした人が対象なのかは、2026年10月21日の発表には書かれていません。何年も前に1回だけ問い合わせをした人も、対象に入っている可能性を考えておくほうが安全です。

原因：第三者からの不正なアクセス

発表に書かれている原因は、「第三者からの不正なアクセス」だけです。どのシステムのどこから入られたのか、いつから入られていたのか、どんな手口だったのかは、2026年10月22日時点では書かれていません。原因と影響範囲の詳細は調査中と発表されています。

不正アクセスとは、権限のない人が、他人のIDを使ったり、システムの弱点を突いたりして、本来は入れないシステムに入り込むことです。今回の件が、ランサムウェア（データを暗号化して身代金を求めるウイルスのこと）によるものなのか、別の手口なのかも、発表では触れられていません。報道やSNSで手口についての推測を目にすることがあっても、公式の発表で確かめられるまでは事実として扱わないほうが混乱しません。

再発防止策については、原因の究明を図るとともに、高度化する不正アクセスに対応するため、グループとしてもより一層の対策を検討し実行すると書かれています。具体的な対策の中身は、まだ示されていません。

リクルートの対応

発表に書かれている対応を、項目ごとに整理します。

対応	発表の内容
サービスの停止	2026年10月17日17時頃から、カーセンサーnet、アプリ版カーセンサー、C-MATCH など関連する全サービスを一時停止
国への報告	個人情報保護委員会へ速報済み
対象者への連絡	該当する対象者に順次個別に連絡する
連絡がつかない人	不通や退職などで個別に連絡ができない人には、この発表で知らせるとともに、問い合わせ窓口で対応する
窓口	本件の専用の問い合わせ窓口を設置
再発防止	原因究明とあわせて、グループとしてより一層の対策を検討・実行する

個人情報保護委員会とは、個人情報の扱いについて企業を監督する国の機関のことです。委員会のページでは、不正アクセスによる漏えいや、本人の数が1,000人を超える漏えいなど、決められた場合には、企業に委員会への報告が義務付けられていると説明されています。報告は、まず「速報」を速やかに出し、そのあと「確報」を出す二段階で、不正な目的で行われたおそれがある場合の確報の期限は、発覚日から60日以内とされています。詳しくは個人情報保護委員会の漏えい等の対応のページにまとまっています。今回、リクルートが「速報を行った」と書いているのは、この最初の段階にあたります。

お詫びの品や金銭での補償については、2026年10月21日の発表には書かれていません。発表に書かれていないことを前提に動くのは避け、続報を待つのが確実です。逆に、「補償金をお支払いします」「お詫びのポイントを差し上げます」といった連絡が先に届いたときは、偽の連絡を疑う理由になります。この点は後で詳しく触れます。

個別の連絡が、メール、郵送、電話のどれで届くのかも、発表には書かれていません。届いた連絡が本物かどうかを確かめるときは、連絡に書かれた電話番号やリンクではなく、自分で開いたリクルートの公式サイトから窓口にたどり着くことが基本になります。

自分が対象かを確かめる方法

対象かどうかを確かめる方法は、2026年10月22日時点で次の3つです。

1つ目：自分の関わり方を表と照らし合わせる

まず、表の(1)から(4)のどれに当てはまるかを思い出します。

• カーセンサーnetやアプリで、販売店に見積もり、在庫の確認、来店予約などの問い合わせを送ったことがある人は(1)に当たる可能性があります
• カーセンサーnetで、販売店や車についての口コミを投稿したことがある人は(2)に当たる可能性があります
• 中古車販売店として C-MATCH を使っている、または使っていた人は(3)に当たる可能性があります
• リクルートの従業員だった人、リクルートと業務委託契約を結んで仕事をしていた会社の人や個人事業主、カーセンサーの販売代理店の従業員は(4)に当たる可能性があります

問い合わせの記録は、自分のメールの受信箱に残っていることがあります。カーセンサーnetから送られた問い合わせ完了のメールや、販売店から届いた返信を「カーセンサー」で検索すると、いつ、どの販売店に問い合わせたかを思い出す手がかりになります。

2つ目：リクルートからの個別の連絡を待つ

発表では、該当する対象者に順次個別に連絡するとしています。連絡の手段と時期は書かれていないので、届くまでに時間がかかることも考えられます。届いたときに慌てないよう、本物かどうかの確かめ方を先に決めておくのがおすすめです。

3つ目：専用の窓口で問い合わせる

連絡が来ない人や、退職などで連絡先が変わっている人に向けて、リクルートは専用の問い合わせ窓口を設けています。窓口の場所は、次の「問い合わせ窓口」の節で紹介します。

なお、2026年10月22日時点では、カーセンサーnetそのものが止まっているため、サイトにログインして自分の問い合わせ履歴を見ることはできません。サービスが再開したあとに、マイページなどで確かめられるようになるかどうかは、発表には書かれていません。

利用者がすること：漏れた項目に合わせて

今回の件では、パスワードと決済情報は含まれていないとされています。そのため、すべての人が一斉にパスワードを変えたり、カードを止めたりする必要があるわけではありません。漏えいした可能性のある項目に合わせて、要ることだけをするのが現実的です。

自分に当てはまる項目	まずすること
氏名と市区町村までの住所	郵送物、訪問、電話での「カーセンサー」「リクルート」を名乗る連絡に注意する
番地や部屋番号まで含む住所の可能性	自宅あての不審な郵便物や、身に覚えのない請求書に注意する
問い合わせ内容、年代、性別	実際の車種や販売店名を書いた偽の連絡に注意する
電話番号、メールアドレス	偽のメール・SMS・電話に注意する。リンクと添付を開かない
ログインID（販売店・従業員・委託先）	同じIDで使い回しているパスワードがないか見直す
引落口座情報（個人事業主の販売店）	口座の明細を見る。口座の暗証番号や認証の番号を聞く連絡に応じない

偽のメール・SMS・郵送物・電話の見分け方

リクルートは発表で、利用者へのお願いとして次の3つを挙げています。

• メール・SMS・郵送物の開封や電話への応答をしない
• 本文に記載されたリンクを開かない
• 添付されたファイルを開封しない

この3つを実際の場面に当てはめると、次のようになります。

• 「カーセンサーの件で本人確認が必要です」というSMSのリンクは開かない。本人確認を口実に、偽のサイトでカード番号や口座情報を入力させる手口が広く使われています
• 「お詫びとして返金します」「補償の手続きをしてください」という連絡は、発表に補償の話が書かれていない以上、まず疑う
• 販売店を名乗る電話で、問い合わせた車の話をされても、その場で個人情報や支払いの話を進めない。いったん切って、自分で調べた販売店の番号にかけ直す
• 郵送物に書かれた電話番号やQRコードは使わない。窓口は、自分でリクルートの公式サイトを開いてたどる

偽の連絡は、本物そっくりの文面で、急がせる言葉を添えて届くのが特徴です。「本日中に」「24時間以内に」といった期限が書かれていたら、それだけで一度手を止める理由になります。フィッシングとは、本物を装ったメールや偽のサイトで、IDやパスワード、カード番号などをだまし取る手口のことです。手口の具体例と見分け方は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果でも紹介しています。会社向けの内容ですが、偽のメールの特徴はそのまま個人にも当てはまります。

住所が知られた可能性がある人

氏名と住所がそろうと、ダイレクトメールや、架空の請求書を自宅に送りつける手口に使われることがあります。住所は電話番号やメールアドレスと違って簡単には変えられないので、「届いたものを疑う」という備えが中心になります。住所が漏れたときに考えられることと備え方は、住所が漏れたときの対処法で詳しく説明しています。

パスワードの使い回しを見直す

ログインパスワードは含まれていないとされていますが、C-MATCH の販売店と、(4)の従業員・委託先の人たちはログインIDが対象に入っています。同じIDやメールアドレスで、ほかのサービスにも同じパスワードを使っている場合は、ほかのサービスのパスワードを変えておくと安心です。ログインIDとパスワードの組み合わせを別のところから手に入れた人が、手当たり次第に試す攻撃があるからです。

あわせて、二段階認証を設定できるサービスでは設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く番号や認証アプリの番号を入力しないとログインできないようにする仕組みのことです。仕組みと種類は、MFA（多要素認証）導入のメリットと製品比較で詳しく紹介しています。

口座の情報が含まれる個人事業主の販売店

個人事業主の販売店は、引落口座情報が対象に含まれています。引落口座とは、C-MATCH などの利用料を引き落とすために登録していた口座のことです。口座の情報だけで勝手にお金を引き出されることは考えにくいものの、銀行や決済会社を名乗って「口座の確認」を求める連絡に使われるおそれがあります。口座の明細を見て、身に覚えのない引き落としや振り替えがないかを確かめ、暗証番号やワンタイムパスワードを聞いてくる連絡には応じないことが大切です。不安があれば、取引のある金融機関の窓口に、通帳や公式サイトに載っている番号で相談してください。

問い合わせ窓口

リクルートは、本件に関する専用の窓口を設けています。発表の「お問い合わせ窓口」に載っているのは、リクルートの問い合わせサイトにある「『カーセンサーnet』への不正アクセスについて」のページです。2026年10月22日に開いたところ、ページの更新日は2026年10月21日10時00分で、「メールで問い合わせ」から問い合わせる形になっていました。

電話番号と受付時間は、2026年10月22日時点で、発表にも窓口のページにも載っていません。電話で問い合わせたい場合も、まずは窓口のページを確認し、そこに案内が追加されていないかを見るのが確実です。

問い合わせるときは、次のことを手元にそろえておくと話が早く進みます。

• カーセンサーnetで問い合わせをした時期と、問い合わせ先の販売店名（分かる範囲で）
• 問い合わせに使ったメールアドレスと電話番号
• 口コミを投稿したかどうか
• 販売店として C-MATCH を使っていた場合は、販売店名とログインID
• 受け取った不審な連絡があれば、その日時、差出人、文面

注意したいのは、窓口を装った偽のサイトや電話番号です。検索結果の広告や、SNSで出回っている「問い合わせ先」から入ると、偽のページに誘導されるおそれがあります。リクルートの公式サイト（recruit.co.jp）のプレスリリースから、発表に載っているリンクをたどって開くのが確実です。

国の相談先もあります。企業の個人情報の扱いに疑問があるときは、個人情報保護委員会の個人情報保護法相談ダイヤル（電話番号 03-6457-9849、受付時間 9時30分から17時30分、土日祝日と年末年始を除く）で相談できます。偽のメールを受け取ったり、ウイルスに感染したかもしれないと思ったりしたときは、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口（電話番号 03-5978-7509、受付時間 10時00分から17時00分、土日祝日と年末年始を除く）が相談を受け付けています。

販売店として C-MATCH を使っていた人が確かめること

C-MATCH は、中古車販売店向けの業務支援サービスです。登録している販売店の483,168件が対象に含まれ、代表者や担当者の氏名と電話番号、古物商許認可番号と許認可を受けている人の氏名・発行都道府県、ログインIDが漏えいした可能性があるとされています。古物商許認可番号とは、中古品の売買をするために都道府県の公安委員会から受ける許可の番号のことです。

販売店の立場で考えたいのは、次の3つです。

店の名前をかたった連絡が客に届く可能性

店の担当者の名前と電話番号が知られると、客に対して店を名乗る偽の連絡が送られるおそれがあります。客から「お店から変な連絡が来た」と問い合わせを受けたときに、店として送っていない連絡であることを伝えられるよう、従業員の間で状況を共有しておくと混乱が減ります。

ログインIDを使ったなりすまし

ログインIDが知られた可能性があるので、同じIDとパスワードの組み合わせを、ほかの業務用のサービスで使っていないかを見直します。とくに、在庫管理や会計、メールなど、店の仕事の中心になるサービスで使い回しがないかを先に確かめます。

個人事業主の口座

個人事業主の販売店は、事業所や窓口の住所、郵便番号、電話番号、FAX番号、引落口座情報まで対象に含まれます。口座の明細を定期的に見ること、金融機関を名乗る連絡で暗証番号やワンタイムパスワードを伝えないことを、ふだん以上に意識しておきたいところです。

販売店としての対応のしかたや、取引条件への影響については、2026年10月21日の発表には書かれていません。C-MATCH が止まっている間の業務の進め方や、再開の時期は、リクルートからの案内と窓口のページで確かめてください。

在宅で仕事をする人が気をつけること

今回の件は、在宅で仕事をしている人にも関わる可能性があります。発表の(4)には、リクルートと業務委託契約を結んでいる、または結んでいた企業の従業員や個人事業主が含まれているからです。フリーランスとしてリクルートの仕事を請け負っていた人は、氏名、メールアドレス、ログインIDが対象に入っている可能性があります。

誰の情報で、誰が管理しているかを分ける

漏えいの話を聞くと、「取引先に知らせなければ」と慌ててしまいがちです。まずは、漏えいした可能性があるのが誰の情報で、誰が管理していたのかを分けて考えると落ち着いて判断できます。

今回の件で漏えいした可能性があるのは、リクルートが管理していた情報です。カーセンサーnetで個人として問い合わせをした、リクルートの仕事を請け負っていた、という立場なら、自分の情報がリクルートから出た可能性があるということで、国への報告や本人への連絡をする立場にあるのはリクルートです。その意味では、自分が取引先に対して何かを報告しなければならない場面とは限りません。

自分が報告に関わる側になる場面

一方で、注意したいのはその先です。仕事用のメールアドレスあてに届いた偽のメールにだまされ、仕事用のアカウントのパスワードを入力してしまうと、そのアカウントに保存されている取引先の顧客の情報まで危険にさらすことになります。そうなると、今度は自分が「預かった情報を漏らしたかもしれない側」になります。

個人情報保護委員会のガイドラインは、個人情報の扱いを任されている側（委託先）がそうした事態を知ったときの、任せた側（委託元）への連絡について、次のように説明しています。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。 出典: ppc.go.jp

ガイドラインでは、この通知を受けた委託元が委員会に報告することになるとも書かれています。つまり、取引先から顧客の名簿や問い合わせの記録を預かって仕事をしている人が、自分の側で漏えいのおそれに気づいたら、まず取引先に事実を伝えることが出発点です。自分に報告の義務があるかどうかは、預かっていた情報の中身や契約の形で変わるので、迷うときは取引先と相談し、必要に応じて個人情報保護委員会の相談ダイヤルで確かめるのが確実です。

取引先に伝えるときの書き方

今回のカーセンサーnetの件で、取引先に何かを伝えるとしたら、たとえば仕事用のメールアドレスでリクルートの仕事を請け負っていて、その取引先にも同じアドレスで連絡している場合です。「リクルートの発表によると、委託先の個人事業主の氏名、メールアドレス、ログインIDが漏えいした可能性がある」「取引先の情報が出たという話ではない」「このアドレスを名乗る不審なメールに注意してほしい」と、事実と推測を分けて短く書くと伝わりやすくなります。

報告の文面は、短く、事実を先に書くのが基本です。取引先にとって知りたいのは「自社に影響があるか」と「何をすればよいか」なので、その2つが冒頭で分かるように書きます。事実と推測を分け、敬語を整えた文書を書く力は、ビジネス文書検定で学ぶ内容とも重なります。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

今回の件で電話番号やメールアドレスが含まれる人は限られていますが、同じメールアドレスが過去の別の漏えいに含まれていることはよくあります。漏えいは1回きりではなく、いくつもの件の情報が組み合わされて、偽の連絡に使われることがあるからです。

海外のサービスの漏えいについては、「Have I Been Pwned」というサイトで、自分のメールアドレスが過去の漏えいに含まれていないかを調べられます。調べ方と結果の読み方は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法で順を追って説明しています。国内のサービスの漏えいは、このサイトに載らないことも多いので、「載っていないから安全」とは読まないことが大切です。

調べた結果、過去の漏えいに含まれていた場合は、そのサービスで使っていたパスワードを、ほかのサービスで使い回していないかを確かめます。使い回しがあれば、そちらを先に変えます。パスワードを1つずつ違うものにするのは大変なので、パスワード管理のアプリを使うと、覚える手間を減らせます。

続報で確かめたい点

2026年10月22日時点の発表では、まだ分かっていないことがいくつもあります。続報が出たときに確かめたい点を挙げておきます。

• 不正アクセスの手口と、入られた期間
• 対象になる問い合わせの期間（いつからいつまでの問い合わせが含まれるか）
• 件数が絞り込まれるのか、項目が加わるのか
• 個別の連絡が、どの手段で、いつまでに届くのか
• 二次被害が確認されたかどうか
• カーセンサーnetと C-MATCH の再開の時期と、再開時に利用者がすること（パスワードの再設定など）
• 窓口に電話の受付が加わるかどうか

続報は、リクルートのプレスリリースの一覧と、カーセンサーnetのトップページ、専用の窓口のページで確かめられます。続報を見たら、今回の表と見比べ、自分が当てはまる項目が変わっていないかを確かめてください。変わっていなければ、これまでの備えを続ければ十分です。

運営者の視点：情報を預かる人として見られている

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。長くこの市場を見てきて感じるのは、取引先が仕事を任せる人を選ぶとき、技術や実績と同じくらい「情報を安心して預けられるか」を見ているということです。漏えいの発表が出たときに、自分が関係するかをすぐ確かめ、必要なら事実だけを簡潔に伝えられる人は、それだけで信頼を得やすくなります。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

漏えいは、どれだけ大きな会社でも起こりうることです。大切なのは、起きたときに慌てず、自分の情報がどこまで出た可能性があるかを確かめ、偽の連絡に応じないことです。今回のカーセンサーnetの件で言えば、問い合わせをした人の多くは「氏名と市区町村までの住所」が対象で、決済情報とパスワードは含まれていないとされています。必要以上に不安になる必要はありませんが、リクルートやカーセンサー、販売店を名乗る連絡には、しばらくの間ていねいに疑ってかかる。それが、2026年10月22日時点でいちばん確かな備えです。

よくある質問

Q. カーセンサーの情報漏洩で、何が漏れた可能性があるのですか？

リクルートの2026年10月21日の発表では、最大3,709,551件の個人情報が漏えいした可能性があるとされています。いちばん多いのは販売店に問い合わせをした人の氏名と住所で、住所は原則として市区町村名までです。一部の人は問い合わせ内容、電話番号、メールアドレスも含みます。決済情報とログインパスワードは含まれていないと明記されています。

Q. カーセンサーで問い合わせをしたことがありますが、パスワードを変える必要はありますか？

発表ではログインパスワードは含まれていないとされているため、今回の件だけを理由に急いで変える必要があるとは書かれていません。ただし、販売店や委託先の人はログインIDが対象に入っています。同じIDやメールアドレスで、ほかのサービスに同じパスワードを使い回している場合は、そちらを変え、二段階認証も設定しておくと安心です。

Q. カーセンサーやリクルートを名乗る連絡が来たらどうすればよいですか？

リクルートは、不審なメール・SMS・郵送物を開封せず、電話に応答しないこと、本文のリンクや添付ファイルを開かないことを呼びかけています。補償や本人確認を口実にした連絡は、いったん手を止めます。確かめたいときは、連絡に書かれた番号やリンクではなく、自分でリクルートの公式サイトを開き、発表に載っている専用窓口からたどってください。

Q. カーセンサーの情報漏洩の件は、どこに問い合わせればよいですか？

リクルートの発表に載っている専用窓口は、リクルートの問い合わせサイトにある「『カーセンサーnet』への不正アクセスについて」のページで、2026年10月22日時点ではメールでの問い合わせの形になっています。電話番号と受付時間は載っていません。窓口を装う偽のサイトもありうるため、公式サイトのプレスリリースからリンクをたどって開くのが確実です。