ニッポンレンタカーアプリの情報漏洩｜閲覧された55名の情報とカード明細の確かめ方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓ニッポンレンタカーアプリの情報漏洩について
✓2026年9月26日の41名の件と10月1日に発表された55名の件を公式発表から整理しました
✓閲覧されたおそれのある項目

ニッポンレンタカーサービス株式会社は2026年10月1日、ニッポンレンタカーアプリのシステムに対する不正アクセスで、55名の会員の情報が不正に閲覧されたおそれがあると発表しました。9月26日に発表した41名の件とは別の手法による不正アクセスで、閲覧されたおそれがあるのは氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報です。運転免許証情報やクレジットカード情報を登録していた会員は、免許証番号、住所、生年月日、カード番号の下4桁、名義人名も閲覧されたおそれがあります。利用者がまずすることは、ニッポンレンタカーからの個別のメールが届いているかを確かめることと、不審なメールや電話、郵便物のURLを開かず、個人情報を入力しないことです。ニッポンレンタカーは、メールやSMS、電話でパスワードやクレジットカード情報を聞くことはないとしています。

この記事では、2026年10月20日時点で公開されているニッポンレンタカーの発表をもとに、2つの件で何が起きて何が分かったのかを整理します。あわせて、カード番号の下4桁と名義人名が対象に入ったことの意味、カードの明細の確かめ方、同じ時期に出ている「カード会社からの取消通知」の案内との見分け方までを説明します。

2026年10月20日時点で分かっていること

最初に、結論にあたる事実を並べます。どれもニッポンレンタカーの公式サイトのお知らせで確かめた内容です。

対象は、ニッポンレンタカーサービス株式会社が運営する「ニッポンレンタカーアプリ」のシステムです
9月26日に、第三者による不正アクセスで41名の会員の情報が閲覧されたおそれがあると発表しました（この記事では第一の件と呼びます）
10月1日に、第一の件の調査の過程で、別の手法による不正アクセスが分かったとして、55名の会員の会員情報ページへの不正なアクセスを確認したと発表しました（この記事では第二の件と呼びます）
第二の件の不正アクセスは、9月19日から21日にかけて外部から行われた攻撃で、9月29日に確認されました
どちらの件も、対象の会員には登録のメールアドレスあてに個別に連絡しているとしています
案内のメールが届いていない会員は、現時点で情報が閲覧されたおそれは確認されていないとしています
個人情報保護委員会への報告と、警察への相談を行っています
第二の件について、現時点で個人情報の不正利用等の二次被害は確認されていないとしています

つまり、どちらの件も対象は数十名の規模で、対象の会員には個別のメールが届いているはずです。メールが届いていなければ、現時点では対象ではない、というのが発表の説明です。

公表の経緯：2つの不正アクセス

ニッポンレンタカーの発表は2本あり、それぞれ別の不正アクセスについて書かれています。日付の順に並べると次のとおりです。

日付	出来事	分かったこと
2026年9月19日から21日	第二の件の不正アクセス	アプリのシステムに対し、外部から攻撃が行われる（10月1日の発表で判明）
2026年9月26日	第一の件の発表	第三者による不正アクセスで、41名の会員の情報が閲覧されたおそれがあると発表。対象者にはパスワードの再設定を依頼
2026年9月29日	第二の件の確認	第一の件の調査の過程で、異なる手法による別の不正アクセスを確認
2026年10月1日	第二の件の発表	55名の会員の会員情報ページへの不正なアクセスを確認したと発表

第二の件の発表は、お知らせの題名に「9月29日判明分」と添えられています。第一の件と第二の件は、手法が異なる別の不正アクセスだと説明されていて、対象の会員も別々に数えられています。2026年10月20日時点で、ニッポンレンタカーのお知らせの一覧に、この件の3本目の発表は出ていません。

原文は、第一の件の発表（2026年9月26日）と、第二の件の発表（2026年10月1日）で読めます。

閲覧されたおそれのある項目と、発表に記載のない項目

2つの件で、閲覧されたおそれがあるとされた項目は同じです。発表の書き方に沿って、全員に関わる項目と、登録していた人だけに関わる項目に分けると次のようになります。

区分	項目
対象の会員全員が閲覧されたおそれのある項目	氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報
運転免許証情報を登録していた会員	運転免許証情報（免許証番号、住所、生年月日）
クレジットカード情報を登録していた会員	カード番号の下4桁、名義人名
発表に記載のない項目	カード番号の全体、カードの有効期限、セキュリティコード、パスワード

件数は、第一の件が41名、第二の件が55名です。発表は「漏えいした」ではなく「閲覧されたおそれがある」と書いています。会員情報のページが不正に開かれたことは確認されているものの、そこに表示された情報が実際に持ち出されたかどうかまでは書かれていない、という読み方になります。

表の最後の行の「発表に記載のない項目」は、漏れたという意味でも、漏れていないという意味でもありません。発表が触れていないというだけです。ただ、カードについて発表が挙げているのは「下4桁」と「名義人名」だけで、カード番号の全体には触れていません。

「利用履歴」と「予約情報」が入っていることにも目を向けておきたいところです。どの営業所で、いつ車を借りたか、これからいつ借りる予定かといった情報は、それだけでお金を盗まれるものではありませんが、本物らしい偽の連絡を作る材料になります。「ご予約の◯月◯日の件で確認があります」と、実際の予約に合わせた連絡が来ると、本物と見分けるのが難しくなるからです。

カード番号の下4桁と名義人名が対象に入ったことの意味

題名に「カード情報」とあると、カードを不正に使われるのではと心配になる人が多いはずです。発表の内容から、どこまで心配すべきかを整理します。

ネットでカードを使うには、ふつう、カード番号の全体と有効期限、セキュリティコード（カードの裏に書かれた3けたなどの番号）が必要です。今回の発表で対象に挙がっているのは、カード番号の下4桁と名義人名だけで、番号の全体や有効期限、セキュリティコードには触れていません。

個人情報保護委員会は、漏えいの報告が義務になる場合の例として「ECサイトからクレジットカード番号を含む個人データが漏えいした場合」を挙げる一方で、次のように注記しています。

クレジットカード番号の下4桁のみとその有効期限の組合せの漏えいであれば、直ちに報告対象事態には該当しない。出典: ppc.go.jp

つまり、下4桁だけでは、それだけでカードを不正に使える情報とは扱われていないということです。ただし、下4桁と名義人名は、偽の連絡を本物らしく見せる材料にはなります。「末尾1234のカードで不正な利用がありました」と、実際の下4桁を書いた連絡が来ると、本物のカード会社からの連絡だと思い込みやすくなります。下4桁を知っていることは、本物である証拠にはならない、と覚えておくことが大切です。

運転免許証情報が対象に入ったことの意味

運転免許証情報を登録していた会員は、免許証番号、住所、生年月日も閲覧されたおそれがあるとされています。この3つは、カードと違って、自分の都合で変えることができない情報です。

住所と生年月日は、電話や郵便での詐欺で「本人であることを知っている」ように見せる材料になります。「◯◯様、生年月日は◯年◯月◯日でお間違いないですね」と、正しい情報を読み上げられると、相手を信用してしまいがちです。しかし、情報を知っていることは、相手が本物の会社であることの証拠にはなりません。

免許証番号も同じです。番号を言い当てられても、それで本人確認が済んだと思わせ、続けてカード番号や口座番号を聞き出そうとする手口に気をつけます。免許証の番号や住所、生年月日を知っている相手から連絡が来たら、いったん電話を切り、公式サイトに載っている窓口に自分から連絡して確かめるのが確実です。

住所が関わる漏えいで気をつけることは、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で詳しく説明しています。住所は変えにくい情報なので、変えられるものと変えられないものを分けて考える方法を紹介しています。

ニッポンレンタカーの対応

2つの発表に書かれている対応を、件ごとに並べます。

対応	第一の件（9月26日）	第二の件（10月1日）
対象の会員への連絡	登録のメールアドレスあてに個別に連絡	登録のメールアドレスあてに個別に連絡
パスワードの再設定	対象の会員に再設定を依頼	発表に記載なし
封じ込め	直ちに必要な措置を講じた	必要な対策と封じ込め措置を実施し、新たな被害は確認されていない
個人情報保護委員会への報告	報告済み	報告済み
警察	相談し、必要な連携	相談し、必要な連携
二次被害	発表に記載なし	現時点で確認されていない

第二の件の発表には、パスワードの再設定を求める記載がありません。対象の会員に届いた個別のメールに、どんな手続きが書かれているかは、この記事では確かめられないので、対象の人は届いたメールの内容に従ってください。ただし、そのメールが本物かどうかは、後の節の手順で確かめます。

補償やお詫びの品についての記載は、どちらの発表にもありません。

第二の件の発表は、利用者に向けて次のように呼びかけています。

不審な連絡や心当たりのない通知等を受け取られた場合には、記載されたURLを開いたり個人情報を入力したりせず、当該メッセージを破棄していただきますようお願いいたします。出典: nipponrentacar.co.jp

あわせて、ニッポンレンタカーからメール、SMS、電話等でパスワードやクレジットカード情報を聞くことはないと明記しています。この一文は、偽の連絡を見分けるいちばんの手がかりになります。

自分が対象かを確かめる方法

対象の会員には個別にメールが届いているはずなので、確かめ方ははっきりしています。

ニッポンレンタカーアプリに登録しているメールアドレスの受信箱で、9月26日以降にニッポンレンタカーから、この件の案内のメールが届いていないかを探す
迷惑メールのフォルダも確かめる。会社からの一斉の案内は、迷惑メールに振り分けられることがある
届いていなければ、発表の説明では、現時点で情報が閲覧されたおそれは確認されていない

届いたメールが本物かどうかを確かめるには、メールのリンクを使わず、ニッポンレンタカーの公式サイトのお知らせの一覧から、9月26日と10月1日の発表を開きます。届いたメールの内容が発表と食い違っていたり、カード番号の入力を求めていたりしたら、本物ではない可能性が高いと考えます。

対象かどうかを直接聞きたい場合は、後の節の窓口に問い合わせられます。

カード明細の確かめ方と、取消通知の案内との見分け方

カード情報を登録していた人は、念のためカードの明細を見ておくと安心です。ただし、明細を見るときに知っておきたいことがあります。ニッポンレンタカーは、この件とは別に、2026年10月1日に「カード会社より「取消通知」等が届く場合のご案内」というお知らせも出しています。

このお知らせによると、公式サイトやアプリの予約で「ネットクレジット決済」を選んだ人について、カードの国際ブランドのセキュリティのルールが変わったことに伴い、2026年10月2日以降、次のことが起きる場合があるとしています。

クレジットカードの場合、カード会社から「取消通知」が届く
デビットカードの場合、口座に返金される

お知らせは、これはカード会社の処理によるもので、予約自体はネットクレジット決済として有効のまま維持されていると説明しています。利用者が自分で予約を取り消さない限り、予約がキャンセルされることはないとしています。

あわせて、ニッポンレンタカーは、カードが使えるかを確かめて利用枠を確保する「カード認証手続き」を、次のタイミングで行っていると説明しています。

公式サイトやアプリからの予約のとき
金額の変更を伴う予約の変更のとき
出発日の7日前
レンタカーの利用当日（出発日か返却日）。実際の決済はここだけ
予約や変更から出発日の7日前までの間に150日たった場合

カードによっては、こうした認証の時点で利用の通知が届いたり、速報の明細に金額が出たりすることがあるとしています。つまり、ニッポンレンタカーで予約している人の明細には、実際の決済の前に、認証の記録や取消の通知が出ることがあるということです。

明細を見るときは、次の順で確かめると、不正な利用と区別しやすくなります。

ニッポンレンタカーの名前で出ている記録が、自分の予約の日付や金額と合っているかを、アプリの予約の画面と見比べる
予約していないのにニッポンレンタカーの名前の記録がある、または、まったく知らない店の名前の記録がある場合は、カード会社の窓口に連絡する
「取消通知」が届いても、予約の画面で予約が残っていれば、上のお知らせの事象の可能性がある

詳しくはニッポンレンタカーの取消通知についての案内で読めます。このお知らせは不正アクセスの件とは別の話ですが、明細を確かめる時期が重なるため、知っておくと不要な心配をせずに済みます。

利用者がすること：必要なものだけ

閲覧されたおそれのある項目に合わせて、やることを並べます。

やること	対象の会員	対象でない会員
個別のメールの内容の確認	やる。ただしメールが本物かを公式サイトで確かめる	不要
パスワードの再設定	届いたメールの案内に従う。第一の件の対象者には依頼あり	発表上は求められていない
ほかのサービスとのパスワードの使い回しの見直し	やる	やっておくとよい
カードの明細の確認	カードを登録していたならやる	気になる人は見ておく
不審なメール、SMS、電話、郵便物への警戒	やる	やっておくとよい
二段階認証の設定	使えるサービスでは設定する	使えるサービスでは設定する

ログインIDが対象に入っていることには注意が必要です。ログインIDとパスワードの組み合わせが知られると、他人にログインされます。今回、パスワードが対象に入ったとは発表されていませんが、ログインIDに使っているメールアドレスと同じパスワードを、ほかのサービスでも使っているなら、ほかのサービスのパスワードを変えておくと、被害が広がる道を断てます。

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなど、もう1つの確認を求める仕組みのことです。多要素認証とも呼ばれます。仕組みと種類はMFA（多要素認証）導入のメリットと製品比較で詳しく説明しています。会社向けの記事ですが、認証の仕組みそのものは個人のアカウントでも同じです。

自分のメールアドレスが、今回の件とは別に、過去にどこかのサービスの漏えいに含まれていないかを確かめたい人は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法を参考にしてください。国内の漏えいはそのサイトに載らないことも多いので、結果の読み方もあわせて確かめてください。

アプリに登録している情報を見直す

今回の件で、運転免許証情報やクレジットカード情報を登録していた会員は、登録していなかった会員よりも対象になる項目が多くなりました。アプリに情報を登録しておくと、予約や受け付けの手間は減りますが、その一方で、万一のときに見られる情報も多くなるということです。

これをきっかけに、アプリに何を登録しているかを一度見直しておくと安心です。

アプリの会員情報の画面を、メールのリンクではなく、アプリそのものから開いて、登録している免許証やカードの情報を確かめる
めったにレンタカーを借りないなら、カードや免許証の情報を登録したままにしておく必要があるかを考える。削除や変更ができるかは、アプリの画面や公式サイトの案内で確かめる
引っ越しや免許の更新で、登録した内容が古くなっていないかも確かめる

ニッポンレンタカーのネットクレジット決済は、予約のときにカードを登録しておくと、利用日にカードを出さずに決済できる仕組みだと説明されています。便利さと、登録した情報の多さはつり合いの関係にあります。自分がどれくらいの頻度で使うかに合わせて、登録する情報を選ぶのが現実的です。

名前の似た別の件：カーシェアリングのコールセンターの件

「ニッポンレンタカー情報漏洩」と調べると、もう1つ別の件が出てきます。ニッポンレンタカーサービスが2026年4月17日に発表し、7月3日に更新した「個人データ漏えいの可能性についてのお知らせ」です。

こちらは、同社のカーシェアリングサービスのコールセンター業務の委託先であるユーピーアール株式会社が、さらに業務を任せていた日本テレネット株式会社のサーバーがランサムウェア型のサイバー攻撃を受けたというものです。発表は、カーシェアリングサービスの会員に限定されたもので、レンタカーの会員の情報には影響はないとしています。この記事で扱っているアプリへの不正アクセスとは、原因も対象のサービスも別です。

カーシェアリングサービスを使っていて、その件が気になる人は、ニッポンレンタカーのお知らせの一覧から、4月17日の発表を開いて確かめてください。2つの件を混同すると、自分が対象かどうかの判断を誤るので、発表の日付とサービスの名前を必ず確かめることが大切です。

偽のメール、SMS、電話、郵便物の見分け方

今回の件では、氏名、電話番号、メールアドレス、利用履歴、予約情報が閲覧されたおそれがあります。登録していた人は、住所や生年月日、カードの下4桁も含まれます。こうした情報を使うと、メールだけでなく、電話や郵便物でも本物らしい偽の連絡を作れます。ニッポンレンタカーの発表も、不審なメール、電話、郵便物に注意するよう呼びかけています。

パスワードとカード情報を聞かれたら、それだけで偽物と考える

ニッポンレンタカーは、メール、SMS、電話等でパスワードやクレジットカード情報を聞くことはないと明記しています。ニッポンレンタカーを名乗る連絡で、パスワードやカード番号、有効期限、セキュリティコードを聞かれたら、その場で答えずに切るか、メッセージを破棄します。

予約の日付や営業所を言い当てられても信じない

利用履歴と予約情報が対象に入っているので、偽の連絡が、実際に借りた日付や営業所を言い当ててくる可能性があります。「◯月◯日の◯◯営業所のご予約で、追加の料金が発生しています」と言われても、それだけで本物とは限りません。予約や料金は、アプリや公式サイトに自分でログインして確かめます。

返金や補償を名目にした誘導に気をつける

漏えいのあとによく見られるのが、「お詫びとして返金します」「補償の手続きをしてください」といった文面で、口座番号やカード情報を入力させる手口です。ニッポンレンタカーの発表には、補償や返金についての記載はありません。発表にない手続きを案内する連絡が来たら、公式サイトのお知らせで同じ案内があるかを確かめるまで、何も入力しないことです。

郵便物も、差出人の名前だけで信じない

住所が対象に入った人のところには、会社の名前を使った封書が届く可能性もあります。返信用の用紙に口座番号やカード番号を書かせる、指定の番号に電話させる、といった形の郵便物は、公式サイトで同じ案内があるかを確かめてから動きます。

社内でこうした見分け方を共有したい人には、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果が参考になります。フィッシングとは、本物そっくりの偽のメールやサイトで、IDやパスワードをだまし取る手口のことです。

2つの件が続いたことの読み方と、これからの予約

今回は、9月26日に発表した第一の件を調べている途中で、別の手法による第二の件が見つかりました。発表は、引き続き調査を続け、新たな事実が分かった場合は速やかに知らせるとしています。つまり、2026年10月20日時点の内容が最終的なものとは限らないということです。

アプリを使っている人は、しばらくの間、ニッポンレンタカーの公式サイトのお知らせの一覧をときどき確かめておくと安心です。確かめるときは、検索結果やSNSで回ってきたリンクではなく、自分で公式サイトを開き、トップページからお知らせをたどります。

これから出発の予定がある人は、予約の扱いにも気をつけます。予約情報が閲覧されたおそれがあるので、出発日や営業所に合わせて「ご予約が取り消されました」「受け付けの前に追加の確認が必要です」といった連絡が届くかもしれません。そうした連絡が来ても、まずアプリの予約の画面を開いて、予約が残っているかを自分で確かめます。電話で確かめたいときは、届いた連絡に書かれた番号ではなく、公式サイトに載っている営業所や窓口の番号に自分からかけます。

問い合わせ窓口

2つの発表には、この件に関する問い合わせ窓口として「お客様サポート窓口」が載っています。連絡方法はメールで、宛先のアドレスは発表のページに書かれています。電話番号と受付時間は、発表には書かれていません。

宛先のアドレスは、メールで届いた案内からではなく、ニッポンレンタカーの公式サイトのお知らせの一覧から発表を開いて確かめてください。偽のメールに書かれた問い合わせ先に連絡すると、かえって情報を渡してしまうことがあるからです。

この件とは関係なく、不審なメールやSMSを受け取って判断に迷ったときは、公的な相談窓口を使えます。

情報処理推進機構（IPA）の情報セキュリティ安心相談窓口。ウイルスや不正アクセスに関する技術的な相談を受け付けていて、電話は03-5978-7509、受付は10時00分から17時00分（土日祝日と年末年始を除く）です。詳しくはIPAの情報セキュリティ安心相談窓口に載っています
個人情報保護委員会の個人情報保護法相談ダイヤル。事業者の個人情報の取り扱いに関する苦情や、制度についての質問を電話で受け付けていて、電話は03-6457-9849、受付は9時30分から17時30分（土日祝日と年末年始を除く）です

偽の連絡でお金を払ってしまった、カード番号を入力してしまったという場合は、カード会社の窓口に連絡してカードを止めることが先です。そのうえで、最寄りの警察署や消費生活センターに相談します。

在宅で仕事をする人が気をつけること

ここからは、フリーランスや在宅で仕事をする人に向けた話です。取材や撮影、地方の取引先への訪問で、レンタカーを仕事に使う人もいるはずです。仕事で使っているサービスで漏えいの発表が出たときに、取引先との関係で何を考えればよいかを整理します。

まず、今回の件で閲覧されたおそれがあるのは、会員本人の情報です。取引先から預かった個人情報ではありません。自分の情報が対象になったことを理由に、取引先に報告する義務が生じるわけではありません。

ただし、利用履歴と予約情報が対象に入っていることには、仕事の面で注意が要ります。いつ、どこで車を借りたかという情報は、取引先を訪ねた日や場所と重なることがあります。取材先や取引先の名前を明かさない約束で仕事をしている場合は、偽の連絡で予約の話を持ち出されても、仕事の予定や行き先を答えないことです。

個人情報保護委員会は、事業者が漏えいの報告と本人への通知の義務を負う場合として、要配慮個人情報（病歴など特に配慮が必要な情報）を含むもの、不正に使われて財産的な被害が出るおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるものを挙げています。同委員会の資料では、不正の目的によるおそれがある漏えいなどの類型は件数にかかわらず対象になると説明していて、不正アクセスによる漏えいがその例に挙がっています。今回のニッポンレンタカーの件は対象が数十名ですが、ニッポンレンタカーは個人情報保護委員会に報告済みとしています。取引先から顧客名簿などを預かって仕事をしている人は、自分が報告や通知をする側になることもあるので、契約書に事故のときの連絡の決まりがあるかを一度確かめておくと安心です。

取引先に事故の連絡を書く必要が出たときは、事実と推測を分け、分かっていないことは分かっていないと書くのが基本です。ビジネス文書検定の内容は、こうした報告の文書を整える練習にもなります。

運営者の視点：件数が小さくても確かめる習慣

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。漏えいの発表は、件数が大きいものほど報道されますが、今回のように数十名の規模の発表でも、対象になった人にとっては、免許証やカードに関わる大事な話です。件数の大小ではなく、自分の情報が対象か、何が対象かを確かめる習慣を持っている人は、トラブルが起きたときにも落ち着いて動けます。

在宅で働く人は、取引先ごとに違うサービスを使い、仕事の移動にも予約のサービスを使うので、登録先が自然と増えます。どのサービスにどのアドレスで登録しているか、どのサービスにカードや免許証の情報を登録しているかを一覧にしておけば、漏えいの発表が出たときにすぐ判断できます。

中間の手数料がかからない直接の取引では、依頼する側は同じ予算でより多くの仕事を頼めて、受ける側は手取りが厚くなります。その分、情報の扱いや連絡の決まりを当事者どうしで決める場面も増えます。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

よくある質問

Q. ニッポンレンタカーアプリの情報漏洩で、何が漏れたのですか？

2026年10月1日の発表では、55名の会員の氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報が閲覧されたおそれがあるとしています。運転免許証やカードを登録していた会員は、免許証番号、住所、生年月日、カード番号の下4桁、名義人名も対象です。9月26日には別の手法による41名の件も発表されています。