タイムズカーの情報漏洩｜パーク24の調査結果 6,628,007件の範囲とお見舞い・利用者が確かめること 2026

タイムズカーの情報漏洩は、パーク２４株式会社が2026年10月23日に調査結果を公表し、件数と範囲が確定しました。 タイムズカーWebシステムから氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報が6,628,007件、暗号化された本人確認書類の画像は外部送信の痕跡が確認されたものが1,464,800件、タイムズクラブWebシステムからはクレジットカード番号の下4桁28件などが外部に送信された痕跡があると発表しています。 利用者がまずすることは3つです。タイムズカーのマイページにログインして自分の漏えい項目を確かめる。タイムズカーと同じパスワードを他のサービスで使っていれば変える。会社や警察や金融機関を名乗る電話・SMS・メールで認証コードや暗証番号を聞かれても答えない。

この記事は、2026年10月25日時点でパーク２４株式会社とタイムズモビリティ株式会社が公式に発表している資料だけをもとに書いています。報道で伝えられている数字や見立ては使っていません。会社が「可能性」「おそれ」と書いている部分は、その表現のまま書きます。

2026年10月25日時点で分かっていること

タイムズカーは、パーク２４株式会社の連結子会社であるタイムズモビリティ株式会社が運営するカーシェアリングサービスです。2026年9月25日に外部からの不正アクセスが検知され、同日中に「個人情報漏えいの可能性」として第1報が公表されました。その後、9月28日に約660万件、9月29日に本人確認書類の画像約160万件という数字が示され、10月23日にフォレンジック調査（侵入の経路や攻撃者の動きをログから調べる専門調査のこと）の完了を受けて、最終の件数が公表されました。

10月23日の発表で確定した主な数字は次のとおりです。

• タイムズカーWebシステムから、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報が外部送信された痕跡のあるもの: 6,628,007件
• 暗号化された本人確認書類の画像で、外部送信の痕跡が確認されたもの: 1,464,800件
• 暗号化された本人確認書類の画像で、攻撃者のアクセスの痕跡はあるが外部送信の痕跡は確認されなかったもの: 891,602件（上記と合わせて2,356,402件）
• ハッシュ化されたパスワードで外部送信の痕跡があるもの: 4件
• タイムズクラブWebシステムから、タイムズクラブカード番号19,510件、連携サービスID 135,436件、クレジットカード番号の下4桁28件など

会社は、2026年10月23日時点で「漏えいした情報が売買・公開されたことを示す事実は確認されていない」と書いています。一方で、氏名や住所に加えて本人確認情報が含まれていることから、フィッシング詐欺、なりすましによる申込み、不正勧誘、個人情報の悪用のリスクが想定されるとも書いています。

対象者には個別通知が行われており、10月23日17時からはタイムズカーWebサイトのマイページに、利用者ごとに漏えいが確認された項目が表示されるようになりました。本人確認書類の画像が外部送信された痕跡のある利用者には、お見舞いとして3,000円相当の現金または金券を渡すことも決まっています。ただし内容と渡し方は「検討中」で、決まり次第、対象者に案内するとしています。

公表の経緯。9月25日の第1報から10月23日の第5報まで

この事案は、第1報から第5報まで5回の公表と、その間の個別通知で情報が積み上がってきました。どの時点で何が分かったのかを並べると、今の数字の意味が読みやすくなります。日付と内容は、タイムズカーの新着情報の各報と、パーク２４株式会社の適時開示（証券取引所のルールで上場会社が出す正式な発表のこと）で確かめたものです。

日付	公表	分かったこと
2026年9月25日	第1報	9時07分に不正アクセスを検知し調査を開始。漏えいした「可能性」のある情報として氏名、住所、生年月日、電話番号、メールアドレス、会員番号、免許情報、本人確認書類、法人会員情報、連携サービスIDなどを列挙。個人情報保護委員会に報告。専用の問い合わせ窓口を開設
2026年9月26日	第1報に追記	7時25分までに侵入経路の遮断と攻撃元との通信の遮断を完了
2026年9月28日	第2報と適時開示	漏えいしたアカウント数を約660万件と発表。対象はタイムズカー会員と退会済みの人（入会手続きが完了していない人を含む）、タイムズビジネスサービスの会員と退会済みの人。クレジットカード情報は漏えいしていないと明記。パスワードは復元できない形式で保管。警察への相談を開始、国土交通省へ一報。既存会員への案内を開始
2026年9月29日	第3報	本人確認書類の画像が漏えいしたアカウント数は約160万件。画像の種類は運転免許証、現住所確認書類（公共料金の請求書など）、学生証（学生プラン）、家族確認書類（家族プラン）。対象者へメールで個別案内を開始。詳細は2週間程度を目処に改めて案内すると予告
2026年10月1日	各報に追記	「ご質問と回答」を掲載。退会済みの人への案内を開始。退会者専用の問い合わせフォームを案内
2026年10月2日	個別通知	法人会員への案内を開始
2026年10月16日	第4報	本人確認書類の画像の保有ルールを見直し、会員登録完了後は画像を保有しない方針に変更。保有中の画像は2026年10月末までに削除。詳細の案内を10月23日に変更すると告知
2026年10月23日	第5報と適時開示	フォレンジック調査が完了。件数と項目を確定。原因はWebシステムの脆弱性。お見舞い3,000円相当を決定。17時からマイページに漏えい項目を表示。特別損失の計上と業績予想の修正を開示

経緯を見ると、第2報の「約660万件」と第5報の「6,628,007件」はほぼ同じ規模で、第3報の「約160万件」は第5報で「外部送信の痕跡あり1,464,800件」と「アクセスの痕跡のみ891,602件」に分かれました。第2報で「漏えいした」としていた連携サービスIDは9件から4件に修正され、JR西日本グループの「WESTER ID」は0件だったことも第5報で明らかになっています。

第5報は、タイムズカーの新着情報のページで全文を読めます。

「タイムズカーWebシステム」への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）

漏れた項目の一覧と、会社が「含まれない」と明記した項目

第5報の表を、利用者が自分の状況に当てはめやすい形に並べ直します。会社の発表は「攻撃者によりアクセスされ、外部送信された痕跡が確認されたもの」と「アクセスの痕跡はあるが外部送信の痕跡が確認されなかったもの」を分けて書いているので、ここでもその区別を残します。

システム	項目	件数	会社の表現
タイムズカーWeb	氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報	6,628,007件	外部送信された痕跡が確認された
タイムズカーWeb	法人会員の所属部署名	3,677件	外部送信された痕跡が確認された
タイムズカーWeb	タイムズカー会員番号（IC管理番号）	8件	外部送信された痕跡が確認された
タイムズカーWeb	タイムズビジネスカード番号	113件	外部送信された痕跡が確認された
タイムズカーWeb	連携サービスID	4件	外部送信された痕跡が確認された
タイムズカーWeb	ハッシュ化されたパスワード	4件	外部送信された痕跡が確認された
タイムズカーWeb	暗号化された本人確認書類の画像	1,464,800件	外部送信された痕跡が確認された
タイムズカーWeb	暗号化された本人確認書類の画像	891,602件	アクセスの痕跡はあるが外部送信の痕跡は確認されなかった
タイムズクラブWeb	氏名、住所、生年月日、運転免許情報	5件	外部送信された痕跡が確認された
タイムズクラブWeb	タイムズクラブカード番号	19,510件	外部送信された痕跡が確認された
タイムズクラブWeb	タイムズビジネスカード番号	12件	外部送信された痕跡が確認された
タイムズクラブWeb	連携サービスID	135,436件	外部送信された痕跡が確認された
タイムズクラブWeb	クレジットカード番号の下4桁	28件	外部送信された痕跡が確認された

このほか、会員管理とシステム運用のための識別情報についても、攻撃者がアクセスし外部送信した痕跡があったと書かれています。会社は「外部専門機関による調査の結果に基づく最終件数は上記のとおりで、現時点で追加の対象範囲は確認されていない」としています。

会社が含まれない、または不正利用のおそれはないと明記している項目は次のとおりです。

• クレジットカード番号の全桁とセキュリティコード。会社は決済情報を保持しない仕組み（非保持化）にしているため「一切保持していない」と書いています。下4桁だけが28件、タイムズクラブWebシステムから送信された痕跡があります
• パスワードそのもの。外部送信の痕跡があるのはハッシュ化されたパスワード4件で、第2報の時点から「復元できない形式で保管している」と説明しています
• JR西日本グループの会員サービス「WESTER ID」。第2報では漏えい対象としていましたが、第5報で0件と確定しました

6,628,007件の中には、タイムズカーの会員だけでなく、タイムズビジネスサービスに「カンタン入会」で入会した人の契約情報も含まれます。会社は、駐車場のみをクレジットカード払いで契約している利用者の情報も含まれると注記しています。カーシェアを使っていなくても、タイムズの駐車場をカード払いで契約している人は対象になりうるということです。

「約160万件」が2つに分かれた意味。暗号化と外部送信の違い

第3報の「約160万件」が、第5報で「1,464,800件」と「891,602件」に分かれたことが、この事案を読む上で一番分かりにくいところです。

会社は、本人確認書類の画像を暗号化した状態で保管していました。暗号化とは、鍵がないと中身を読めない形に変換して保存することです。攻撃者がその暗号化されたデータにアクセスし、外部に送った痕跡があるのが1,464,800件。アクセスはしたが外部に送った痕跡が見つからなかったのが891,602件です。会社の説明は次のとおりです。

本人確認書類画像データは暗号化した状態で保管していたため、攻撃者によるアクセスや外部送信を示す痕跡が確認された場合であっても、直ちに画像内容が閲覧可能な状態になったことを意味するものではありません。一方で、外部送信された暗号化データについては、将来的な復号の可能性を完全に否定できるものではありません。 出典: share.timescar.jp

つまり、画像が外部に送られたとしても、暗号化されているので今すぐ中身が見られる状態とは限らない。ただし、将来、何らかの方法で復号される可能性はゼロとは言えない、という立場です。お見舞いの対象を外部送信の痕跡がある1,464,800件に限ったのも、この区別に基づいています。会社の「ご質問と回答」では、外部送信の痕跡が確認されなかった画像について「画像内容が閲覧または取得された可能性は低いものと考えております」と書いています。

画像の種類は、第3報で示されたとおり運転免許証、現住所確認書類（公共料金の請求書など）、学生証（学生プランの場合）、家族確認書類（家族プランの場合）です。運転免許証だけでなく、公共料金の請求書や学生証の画像も対象に含まれる点は、自分が何を提出したかを思い出しておく必要があります。

なお、会社はこの事案を受けて、会員登録が完了した後は本人確認書類の画像を保有しないルールに変更し、保有していた画像は2026年10月末までに削除すると発表しています。従来は会員期間中と退会後7年間、暗号化した状態で保有していました。「ご質問と回答」によれば、氏名・住所・生年月日については法人税法などに基づき7年間保管しており、見直しの対象は画像の部分です。

原因と、会社が実施した対応

第5報とパーク２４株式会社の適時開示は、原因を「Webシステムに存在した脆弱性が悪用されたこと」と判断しています。脆弱性とは、ソフトウェアの設計や設定の弱点で、外部から入り込む入口になりうるもののことです。

本事案は Web システムに存在した脆弱性が悪用されたことにより発生したものと判断しております。攻撃者は当該脆弱性を悪用してシステムへ侵入した後、システム内の情報を探索し、取得した情報を利用してデータベースおよびファイル領域へアクセスしていたことを確認しております。 出典: release.tdnet.info

攻撃手法の詳細とシステム構成は、二次被害を防ぐ観点から公表しないとしています。どの脆弱性だったのか、いつから侵入されていたのかは、2026年10月25日時点で公表されていません。

会社が「実施した」または「実施する」と発表している対応は次のとおりです。発表に無いことは書いていません。

• 2026年9月26日7時25分までに、侵入経路の遮断と攻撃元との通信の遮断を完了
• 確認された侵害経路への対策を完了。同じ構成のシステムの点検と脆弱性対策を実施し、監視と検知を強化
• 個人情報保護委員会への報告、警察への相談、国土交通省への一報
• 影響を受けた利用者への個別通知と、専用の問い合わせ窓口の設置
• 外部専門機関と連携し、ダークウェブを含む情報流通状況の監視と、実害の発生状況の確認を継続
• 本人確認書類の画像を会員登録完了後は保有しないルールに変更し、保有中の画像を2026年10月末までに削除
• 社外取締役を中心に外部専門家を加えた調査委員会で、グループの内部統制とガバナンスを検証
• 情報セキュリティ強化策とガバナンス強化策の具体的な内容を、年内を目処に公表

業績への影響については、同じ10月23日に「特別損失の計上および通期連結業績予想の修正に関するお知らせ」を開示し、お見舞いと諸対応の費用として特別損失55億円を計上する見込みと発表しています。利用者に直接関わる話ではありませんが、会社が対応の規模をどう見ているかの目安になります。

お見舞い3,000円相当の対象と受け取り方

第5報で決まったお見舞いの内容を、公式の表現どおりに整理します。

対象は「暗号化された運転免許証等の本人確認書類画像データへのアクセスおよび外部送信を示す痕跡が確認されたお客様」です。件数で言えば1,464,800件の区分に入る人で、氏名や住所などが送信された6,628,007件の全員ではありません。アクセスの痕跡はあるが外部送信の痕跡が確認されなかった891,602件の人も対象外です。

内容は「3,000円相当の現金または金券」。ただし、2026年10月25日時点で「お見舞いの内容およびお渡し方法については現在検討中であり、決定次第、対象となるお客様へご案内いたします」とされています。申し込み方法や受け取りの時期はまだ公表されていません。

金額の根拠について、会社の「ご質問と回答」は、利用者が不正利用やなりすまし被害への備えとして取りうる対応とその負担を総合的に勘案したと説明し、検討要素の一つとして「信用情報機関における本人申告制度の利用に伴う費用負担等」も参考にしたと書いています。同時に、特定の対策を推奨するものではなく、利用者それぞれの状況に応じて活用してほしい、としています。

ここで注意したいのは、お見舞いの案内を装った偽の連絡です。会社はまだ渡し方を決めていないので、2026年10月25日時点で「お見舞いの受け取りにはこちらから手続きを」と誘導するメールやSMSが届いたら、公式の案内ではない可能性が高いと考えて、リンクを開かずに公式窓口で確かめるのが安全です。会社は、メールや電話でパスワードやクレジットカード情報を聞くことはないと繰り返し書いています。

不正アクセスに関する調査結果および今後の対応に関するお知らせ（パーク２４株式会社の適時開示）

自分が対象かを確かめる方法

対象かどうかは、会社からの個別通知とマイページの表示で確かめられます。

現在の会員（個人会員・法人会員）

2026年10月23日17時から、タイムズカーWebサイトのマイページに、利用者ごとに漏えいが確認された情報が表示されています。会社が公開している確認手順は次の4段階です。

1. マイページにログインする
2. 右上の「登録情報」を押す（PCの場合は「ご登録情報の確認」）
3. 2段階認証を行う
4. 画面の上部に赤枠で表示される内容を確認する

赤枠は、漏えいが確認された利用者にだけ表示されます。表示が無ければ、2026年10月23日時点の調査結果では対象になっていないと読めます。ログインの際は、メールやSMSのリンクからではなく、ブラウザのブックマークや検索結果からタイムズカーの公式サイトを開いてください。偽のログイン画面にパスワードを入れてしまうのを防ぐためです。

会社は、対象者にメールでも個別に案内しています。「ご質問と回答」では、メールには配信時点で漏えいを確認した情報を記載している、と説明しています。9月29日以降に届いたメールと、10月23日以降のマイページの表示で内容が違う場合は、新しいほうのマイページの表示が最終の調査結果に基づくものです。

退会済みの人、入会手続きを完了しなかった人

退会済みの人にも2026年10月1日から順次案内が始まっていますが、登録していた連絡先が今も有効とは限らないため、会社は慎重に進めているとしています。自分が対象かを確かめたい場合は、退会者専用の問い合わせフォームから、退会時の登録情報を伝える流れです。会社の案内では、入力してから2週間程度を目処に順次案内するとしています。

駐車場だけを契約している人

タイムズビジネスサービスに「カンタン入会」で入会し、駐車場のみをクレジットカード払いで契約している人の情報もタイムズカーWebシステムで管理されていたため、対象に含まれます。カーシェアの会員でなくても、通知が届いたら無視せず内容を確かめてください。

利用者がすること。漏れた項目に合わせて

何をすべきかは、自分のどの項目が漏れたかで変わります。マイページの赤枠で確かめた項目ごとに書きます。

氏名・住所・生年月日・電話番号が対象の人

この組み合わせは、なりすましの申込みや、本人を名乗る問い合わせに使われるおそれがあります。会社も想定されるリスクとして「なりすましによる各種申込みや問い合わせ」「不正勧誘」を挙げています。身に覚えのない契約や請求の通知が届いたら、その書面の連絡先ではなく、各社の公式サイトに載っている窓口に自分からかけ直して確かめてください。住所が漏れたときに起こりうることと対処の順番は、別の記事で詳しく書いています。

メールアドレスが対象の人

メールアドレスは、フィッシングメール（本物の会社を装って偽のサイトに誘導し、パスワードやカード情報を入力させるメールのこと）の宛先に使われます。タイムズカーを装ったものだけでなく、宅配便、通信会社、銀行、税務署などを装った不審なメールが増える可能性があります。メールの中のリンクからログインしない、という習慣にしておくと、文面の巧拙に関係なく防げます。自分のメールアドレスが過去に他の漏えいにも含まれていないかは、無料で調べられます。

運転免許情報や本人確認書類の画像が対象の人

ここが一番心配になる部分です。会社の「ご質問と回答」は、金融機関、クレジットカード会社、携帯電話事業者などの非対面の本人確認では、本人確認書類の画像だけでなく、本人の容貌画像との照合、ICチップ情報の読み取り、公的個人認証の利用、本人名義口座による確認といった追加の手続きが使われていると説明しています。ただし、第三者による不正な申込みの試みや、他の情報と組み合わせたなりすましの可能性を完全に否定するものではない、とも書いています。

会社が紹介している備えの一つが、信用情報機関の本人申告制度です。本人確認書類の盗難・紛失や画像の流出で第三者に不正利用される可能性がある場合に、本人の申告に基づいて信用情報に本人申告情報を登録できる制度で、金融機関やクレジット会社が与信判断のときに通常より慎重に判断することが期待されるものです。会社は、悪用防止の効果を保証するものではなく、預金口座の開設時には利用されないこと、制度の利用は利用者自身の判断になることも書き添えています。利用するかどうかを決めるときは、各信用情報機関の公式サイトで手続きと費用を確かめてください。

パスワードが対象の人、または他のサービスと同じパスワードを使っている人

外部送信の痕跡があるハッシュ化されたパスワードは4件で、会社は「復元できない形式で保管」としています。それでも、タイムズカーと同じメールアドレスとパスワードの組み合わせを他のサービスで使っている人は、この機会に変えておくのが確実です。漏えいしたメールアドレスに対して、よく使われるパスワードを総当たりで試す攻撃は、どの漏えい事案の後でも起こります。マイページの2段階認証はすでに確認手順の中に組み込まれているので、他の主要なサービス（メール、SNS、通販、ネットバンキング）でも二段階認証を有効にしておくと、パスワードが漏れただけではログインされない状態になります。

クレジットカード番号の下4桁が対象の人

タイムズクラブWebシステムから28件、下4桁だけが送信された痕跡があります。会社はカード番号の全桁とセキュリティコードを保持していないため、不正利用のおそれはないとしています。それでも、カードの利用明細を1か月に1回は見る習慣にして、身に覚えのない請求があればカード会社に連絡してください。下4桁は、カード会社を名乗る偽の電話で「お手元のカードの末尾は○○○○ですね」と信用させる材料に使われることがあります。相手が下4桁を知っていても、それだけで本物の会社だと判断しないことが大切です。

偽のメール・SMS・電話の見分け方。会社が「聞かない」と明言していること

漏えいの後に実際の被害につながりやすいのは、漏れた情報そのものより、それを使った偽の連絡です。見分けるときの基準になるのは、会社が「当社から聞くことはない」と明言している項目です。

当社から、お客様に対してお電話やメール等でSMS認証コード、インターネットサービスのパスワード、運転免許証やマイナンバーカードの暗証番号等をお聞きすることはありません。 出典: corp.timescar.jp

これを基準にすると、次の連絡は内容がどれだけ本物らしくても応じないと決められます。

• SMSで届いた認証コードを「本人確認のため教えてください」と求める電話
• 「漏えい対応のためパスワードを再設定してください」と書かれたメールのリンクから入力させる画面
• 「お見舞いの受け取り手続き」としてクレジットカード番号や口座情報を入力させるフォーム
• 運転免許証やマイナンバーカードの暗証番号を聞く電話

会社の「ご質問と回答」は、この事案について警察庁に相談しており、警察官を装って電話をかけてくる「ニセ警察詐欺」への注意喚起も受けたと書いています。「あなたの免許証が犯罪に使われている」「捜査のために口座を確認する」といった電話は、警察が本当にかけてくるものではありません。一度切って、地域の警察署の代表番号に自分からかけ直してください。会社は、警察庁から紹介された特殊詐欺対策の無料アプリ（犯行に使われることが多い国際電話番号などの発着信をブロックや警告する機能を持つもの）も案内しています。

迷惑メールや偽サイトの見分け方は、会社員向けの訓練の記事で具体的な文面の例とともに書いています。個人で読んでも、そのまま使える内容です。

不審な連絡を受けたときの共通のルールは1つです。その場で情報を伝えず、相手の言う連絡先ではなく、公式サイトに載っている窓口に自分からかけ直す。タイムズカーについては、次の節の窓口がその「公式」です。

問い合わせ窓口

公式に載っている窓口は次のとおりです。会社の第1報から第5報まで、電話番号とフォームは変わっていません。

窓口	内容	受付時間
専用フリーダイヤル 0120-25-8924	本事案に関する問い合わせと相談	24時間
お問い合わせフォーム（share.timescar.jp/inquiry.html）	本事案に関する問い合わせ	記載なし
退会者専用のお問い合わせフォーム	退会済みの人、入会手続きを完了しなかった人が、自分が対象かを確かめる	入力後、2週間程度を目処に順次案内

会社は「おかけ間違いにご注意ください」と注記しています。電話番号は、この記事ではなく、会社の公式ページの表記を見てからかけてください。

会社の対応に納得できないときや、個人情報の取り扱いについて相談したいときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、受付は9時30分から17時30分、土日祝日と年末年始を除く）があります。事業者の個人情報の取り扱いに関する苦情と、個人情報保護法に関する質問を電話で受け付け、ガイドラインやQ&Aの内容に基づいて助言するものです。法律への適法性・違法性の判断を求める相談には応じない、と委員会のページに書かれています。

個人情報保護法相談ダイヤル（個人情報保護委員会）

在宅で仕事をする人が、タイムズカーを仕事でも使っている場合

フリーランスや個人事業主で、取引先への訪問や機材の運搬にタイムズカーを使っている人は、「取引先に知らせるべきか」が気になるところです。整理すると、答えは分かれます。

まず、今回漏れたのは、タイムズカーの会員としてのあなた自身の情報です。あなたが取引先から預かっている顧客名簿や納品データが、この事案で漏れたわけではありません。個人情報保護委員会が定める「漏えい等報告」の義務は、事業者が自分で取り扱っている個人データが漏えいしたときの話で、委員会のページは報告が義務になる場合を4つ挙げています。要配慮個人情報（病歴や犯罪経歴など）が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的で行われたおそれがある場合、本人の数が1,000人を超える場合です。タイムズカーの会員としてあなたの情報が漏れたことは、あなたの事業の個人データの漏えいではないので、あなたが委員会に報告する義務は生じません。報告するのはタイムズカー側で、実際に会社は9月25日に報告しています。

漏えい等の対応（個人情報保護委員会）

一方で、間接的に取引先の情報に影響が及ぶ経路はあります。タイムズカーと同じメールアドレスとパスワードを、取引先とのやり取りに使うメール、クラウドストレージ、チャットツールでも使っていた場合です。漏えいしたメールアドレスに対してパスワードを試す攻撃が成功すると、そこから取引先のデータが見られる状態になります。これはタイムズカーの事案ではなく、あなたの事業で起きた不正アクセスとして扱われ、預かっている個人データの件数や内容によっては、上の4つの要件に当たりうる話になります。委員会のページは、不正アクセスによる漏えいは「不正の目的をもって行われたおそれ」の例として挙げており、この場合の報告期限は発覚日から60日以内と書いています。だからこそ、使い回しのパスワードを変えることが、自分の身を守るだけでなく、取引先の情報を守る行動にもなります。

取引先に知らせるかどうかの考え方は、次のとおりです。

• 仕事用のアカウントとタイムズカーのパスワードが別で、二段階認証も有効なら、現時点で取引先に知らせる必要はありません。知らせる事実がないからです
• 同じパスワードを使っていた場合は、まず変更し、仕事用のアカウントのログイン履歴に不審なものがないかを確かめます。不審なログインが無ければ、通知の義務はありませんが、業務委託契約に「セキュリティ事故の報告」の条項があるなら、その条項に従います
• 不審なログインが見つかった場合は、何が見られた可能性があるかを確かめた上で、取引先に事実を伝え、委員会への報告が必要かを判断します。判断に迷うときは、個人情報保護法相談ダイヤルで一般的な扱いを聞けます

@SOHOのように在宅の仕事を仲介するサイトでも、依頼者と働く人のやり取りはメールアドレスとパスワードで守られています。2004年から仲介を続けてきた運営の立場で見ると、アカウントの乗っ取りが起きるのは、サービス側のシステムが破られたときより、別のサービスで漏れたパスワードが使い回されていたときのほうが多いというのが実感です。情報セキュリティの仕事そのものに関心がある人は、AI・マーケティング・セキュリティのお仕事で、企業の情報セキュリティ対策を支援する業務の内容と求められる知識を確かめられます。今回のような事案のたびに、企業側では対策の見直しの需要が生まれています。

今後の続報で見るべき点

2026年10月25日時点で、まだ決まっていない、または公表されていないことを並べておきます。続報が出たときに、何が新しい情報なのかを見分けるためです。

• お見舞いの内容（現金か金券か）と渡し方、申し込みの要否、時期。会社は「検討中」としています
• 情報セキュリティ強化策とガバナンス強化策の具体的な内容。年内を目処に公表するとしています
• 社外取締役を中心とする調査委員会の検証結果
• 本人確認書類の画像の削除完了の報告。2026年10月末までに削除するとしています
• 漏えいした情報の売買や公開が確認された場合の追加案内。会社はダークウェブを含む監視を続け、新たな事実が判明した場合は追加の案内と対応策を検討するとしています

続報は、タイムズカーの新着情報のページと、パーク２４株式会社のニュースリリースのページに掲載されます。メールやSMSで「続報」が届いても、リンクを開く前に、これらの公式ページに同じ内容が載っているかを確かめてください。第1報のページには、第2報以降へのリンクと「ご質問と回答」へのリンクが追記されているので、入口として使えます。

「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）

会社が「可能性」「おそれ」と書いているものは、この記事でもその表現を保っています。「漏えいした」と言い切れるのは、会社が「外部送信された痕跡が確認された」と発表した項目だけです。報道や解説で件数や被害の見立てが異なる場合は、上に挙げた公式の資料で確かめてください。

よくある質問

Q. タイムズカーの情報漏洩で、自分が対象かどうかはどこで確かめられますか？

現在の会員は、タイムズカーWebサイトのマイページにログインし、「登録情報」（PCでは「ご登録情報の確認」）を開いて2段階認証を行うと、漏えいが確認された項目が画面上部に赤枠で表示されます。2026年10月23日17時から表示されています。退会済みの人や入会手続きを完了しなかった人は、退会者専用の問い合わせフォームから退会時の登録情報を伝えると、2週間程度を目処に案内が届きます。

Q. お見舞いの3,000円相当は誰がもらえますか？

対象は、暗号化された運転免許証などの本人確認書類の画像について、攻撃者のアクセスと外部送信の痕跡が確認された利用者（1,464,800件の区分）です。氏名や住所が送信された6,628,007件の全員ではなく、アクセスの痕跡だけで外部送信の痕跡が確認されなかった891,602件の人も対象外です。現金か金券か、渡し方や時期は2026年10月25日時点で検討中で、決まり次第、対象者に案内されます。

Q. クレジットカードは不正利用されますか？

会社はクレジットカード番号の全桁とセキュリティコードを一切保持していないため、不正に利用されるおそれはないと発表しています。タイムズクラブWebシステムから下4桁だけが28件、外部送信された痕跡があります。下4桁だけで決済はできませんが、カード会社を名乗る偽の電話で信用させる材料に使われることがあるので、相手が末尾を知っていても本物とは判断せず、カードの利用明細は定期的に確かめてください。

Q. パスワードは変えたほうがいいですか？

外部送信の痕跡があるハッシュ化されたパスワードは4件で、会社は復元できない形式で保管していると説明しています。それでも、タイムズカーと同じメールアドレスとパスワードの組み合わせを他のサービスで使っている人は、変えておくのが確実です。漏えいしたメールアドレスに対してパスワードを総当たりで試す攻撃は、どの事案の後でも起こります。合わせて、メールや通販、ネットバンキングで二段階認証を有効にしておくと、パスワードが漏れただけではログインされません。