タイムズカー情報漏洩・流出：第5報の確定件数と3,000円お見舞い、0120-25-8924は本物か、免許証画像への備え

タイムズカーの情報漏洩は、2026年9月の不正アクセスで会員情報6,628,007件が外部へ送信され、運転免許証などの本人確認書類の画像も暗号化された状態のまま持ち出された事案です。退会した人や入会手続きを途中でやめた人も対象に含まれます。利用者が最初に知りたいのは、自分が対象か、補償はあるか、0120-25-8924は本物か、そして免許証の画像が漏れた以上なにをすればよいか、でしょう。10月23日の第5報で、外部専門機関のフォレンジック調査が終わり、件数と原因、お見舞いの方針がそろって示されました。画像は外部送信の痕跡があるものが1,464,800件、アクセスだけ確認されたものが891,602件の計2,356,402件です。原因はWebシステムの脆弱性が悪用されたことで、画像の送信痕跡がある人には3,000円相当のお見舞いが渡されます。同じ攻撃でタイムズクラブのWebシステムにも不正アクセスがあり、カード番号19,510件などが漏れたことも分かりました。本記事は運営元タイムズモビリティの第1報〜第5報と、10月23日に更新された「ご質問と回答」PDF、国や業界の対応をもとに、2026年10月27日時点で確定している事実から答えます。後半では、本人確認書類の画像を受け付けるサービス側の保管設計を、実行確認したSQLと設定例で示します。

まとめ：タイムズカー情報漏洩の対象者・補償・窓口と、免許証画像への備え

自分が対象かは、タイムズカーのマイページで確かめられます。10月23日17時から、漏えいが確認された会員のマイページに、その人ごとに漏えいした情報が赤枠で表示されるようになりました。本人確認書類の漏えいが確認された会員には9月29日から順次メールも送られています。退会済みの人と入会を完了しなかった人は、マイページに入れないため専用の問い合わせフォームで照会します。0120-25-8924は、第1報から第5報まで「本件に関わる問い合わせ先（24時間）」として載っている公式の窓口です。

補償にあたるものとして、第5報は3,000円相当の現金または金券をお見舞いとして渡すと決めました。対象は、暗号化された本人確認書類の画像に攻撃者がアクセスし、外部へ送信した痕跡が確認された人です。アクセスの痕跡だけで送信の痕跡が無い891,602件は対象に入っていません。お見舞いの内容と渡し方は検討中で、決まり次第対象者へ案内するとされています。「お見舞いを受け取るために口座やカード番号を」と求める連絡が来ても、公式の案内ではないと考えて応じないでください。

画像の持ち方は10月16日の第4報で変わり、第5報でも同じ方針が繰り返されました。これまで会員期間中と退会後7年間保有していた本人確認書類の画像を、本人の申し出の有無にかかわらず10月末までに削除し、今後は登録確認が終わった時点で即時削除します。ただし削除は今後の保管をなくす措置で、すでに外部へ送信された画像が戻るわけではありません。同社は、画像が暗号化されていたので直ちに中身を見られる状態になったわけではないとしつつ、将来の復号の可能性は完全には否定できないと書いています。

免許証の画像が漏れた人がまずやるのは、信用情報機関への本人申告と、なりすまし連絡を相手にしない構えです。携帯電話のオンライン契約は2026年4月1日から原則ICチップの読み取りが必須になっており、画像だけで通る経路は狭くなっています。一方、対面の契約で書類を見せるだけの確認は2027年4月まで残るため、警戒は続けてください。原因について第5報は、Webシステムに存在した脆弱性が悪用されたと判断を示しました。攻撃手法の詳細やシステム構成は二次被害防止のため伏せられ、具体的な情報セキュリティ強化策とガバナンス強化策は年内を目処に公表するとしています。

自分が対象か・補償の有無・0120-25-8924が公式窓口かを公式発表で確認

0120-25-8924は第1報から第5報まで載る本件専用の問い合わせ窓口

0120-25-8924は、タイムズモビリティが本件の問い合わせ先として公表している番号です。第1報、第2報、第3報、第4報、第5報のいずれにも「本件に関わる問い合わせ先」として24時間受付で載っており、「おかけ間違いにご注意ください」と添えられています。パーク24グループのポイントサービスであるタイムズクラブも、10月1日のお知らせと10月23日のお知らせで、本事案の対象となる人の窓口として同じ番号を案内しました。通常の会員向けの問い合わせ窓口に載る0120-24-5037とは別の番号です。

注意したいのは電話の向きです。公式発表が示しているのは利用者からかける番号で、同社がこの番号から利用者へ電話をかけるという記載はありません。対象者への知らせはメールで個別に行うとされています。この番号を名乗る着信や、番号を書いたSMS・メールを受けたときは、その場で応じず、公式サイトのお知らせに載っている番号へ自分でかけ直してください。

「お詫び」の件名で届いたメールも同じ扱いです。個別メールの送信元アドレスは公式発表に記載が無いため、アドレスの見た目だけでは本物と決められません。本文のリンクを開かず、公式サイトの新着情報と照らし合わせます。同社はご質問と回答（PDF）のQ13（10月23日の改番前はQ10）で、電話やメールでSMS認証コード、パスワード、運転免許証やマイナンバーカードの暗証番号を聞くことはないと明記しています。

自分が対象かの確かめ方｜会員はマイページの赤枠、退会者は専用フォームで照会

対象になりうる範囲は、第2報が示す2区分です。タイムズカー会員と退会済みの人（入会を申し込んだが完了しなかった人を含む）、タイムズビジネスサービス会員と退会済みの人が該当します。第5報の注記によると、タイムズビジネスサービスに「カンタン入会」で入った人の契約情報はタイムズカーのWebシステムで管理されていたため、駐車場だけをクレジットカード払いで契約している人の情報も6,628,007件に含まれています。カーシェアを使っていない法人の駐車場契約者も、対象から外れているとは限りません。

会員が自分の分を確かめる手段は、10月23日17時に始まったマイページでの表示です。同社の確認方法の案内（PDF）によると、手順は次の4段階です。

1. タイムズカーのマイページにログインする
2. 右上の「登録情報」を押す（PCは「ご登録情報の確認」）
3. 2段階認証を済ませる
4. 画面上部に赤枠で表示される漏えい情報を確かめる

赤枠は漏えいが確認された人にだけ表示されます。ログインはメールやSMSのリンクからではなく、ブックマークや検索結果から公式サイトを開いて行ってください。漏えいの通知を装ったメールでログイン画面に誘導するのは、偽サイトでパスワードを集める典型的な手口です。

FAQのQ3（10月23日更新）は、影響を受けた人には個別通知を実施しているとし、マイページの確認を案内しています。本人確認書類の漏えいが確認された会員へのメール通知も、9月29日から順次実施されているものです。Q4は、メールには配信時点で漏えいを確認した情報を記載していると答えています。9月や10月初めに届いたメールの記載は、調査が終わった10月23日より前の内容です。最終的な範囲は、マイページの表示で確かめ直すのが確実です。

退会済みの人と入会を完了しなかった人は、マイページを使えないため、Q3とQ5が退会者専用の問い合わせフォームでの照会を求めています。退会済みの人には10月1日から順次個別の案内が始まっていますが、退会時の連絡先が今も使えるとは限りません。フォームで退会時の登録情報を伝えると、記入から2週間程度を目処に順次案内するとされています。フォームの入口は、メールアドレスの認証を先に行う inquiry.timescar.jp のページに変わっており、10月上旬に案内されていた share.timescar.jp のURLからも転送されます。返信を受け取れるよう、timescar.jp ドメインからのメールの受信設定を先に確認しておくと取りこぼしません。

お見舞いは3,000円相当｜対象は画像の外部送信の痕跡がある人で渡し方は検討中

補償の扱いは、10月23日の第5報で決まりました。同社は、暗号化された運転免許証などの本人確認書類の画像へのアクセスと外部送信を示す痕跡が確認された人に、お見舞いとして3,000円相当の現金または金券を渡すとしています。第5報の件数でいえば、送信の痕跡がある1,464,800件が該当する区分です。お見舞いの内容と渡し方は「現在検討中」で、決まり次第対象者へ案内するとされています。10月27日時点で、申請の手続きは示されていません。

対象の線引きについて、FAQのQ10（10月23日追加）は理由を説明しています。画像は暗号化して保管していたため、送信の痕跡があっても直ちに中身を見られる状態になったわけではないものの、外部へ出た暗号化データは将来のリスクを完全には否定できない、という判断です。送信の痕跡が無い画像は、アクセスはされたが中身を見られたり取得されたりした可能性は低いとして、対象から外しました。Q11は、この2区分をあわせて「漏えい（または漏えいのおそれ）」として公表していると補っています。

金額の根拠は、Q9（10月23日追加）が答えています。不正利用やなりすまし被害への備えとして取りうる対応と、その負担を総合的に勘案したもので、検討要素の一つに信用情報機関の本人申告制度の利用に伴う費用負担も参考にしたとされています。ただし特定の対策を推奨するものではなく、それぞれの状況に応じて使ってほしいという位置付けです。

お見舞いの決定で、詐欺の文面はかえって作りやすくなりました。「3,000円のお見舞いを振り込むので口座番号を」「金券を送るので本人確認のため免許証の写真を」と求める連絡は、10月27日時点の公式発表に無い手順です。リンクを開かず、0120-25-8924か公式サイトで自分で確かめてください。なお、タイムズカーのサイトにある補償制度は、利用中の事故で対人・対物や車両の損害を補償する料金上の制度で、今回の漏えいへの補償とは別物です。クレジットカードについては、FAQのQ2が、関連して不正アクセスを受けたタイムズクラブのWebシステムからカード番号の下4桁が漏えいしたと認めつつ、全桁とセキュリティコードは保持していないため不正に利用されるおそれはないと説明しています。

補償とは別の動きとして、弁護士が損害賠償を求める集団訴訟の参加希望者を募っています。牧野法律事務所の専用サイトは、会員と退会済みの人に登録を呼びかけています。費用は「後日ご案内します」とされ、金額は出ていません。週刊アスキーの報道によると、担当弁護士は10月4日に、登録者が3万人を超えたとXで発信したとされています。登録は参加希望の表明で、提訴するかは委任の手続きなどを経て決まると報じられています。会社のお見舞いは任意の支払いとして示されたもので、受け取ることが訴訟への参加を妨げるかどうかは第5報に記載がありません。気になる人は、登録先の事務所に確かめてから判断してください。

訴訟で認められうる慰謝料の水準は、過去の判例が目安になります。最高裁は2017年10月23日の判決で、通信教育会社から氏名・住所・電話番号などが漏えいした事案について、プライバシーの侵害を認め、迷惑行為や財産的損害の立証が無いことだけを理由に請求を退けた原判決を破棄しました。一方、同じ漏えいをめぐる東京高等裁判所の控訴審判決が認めた慰謝料は1人2,000円です。この事案で漏えいしたのは氏名や住所などで、本人確認書類の画像は含まれていません。今回は顔写真付きの免許証画像が含まれる点で事情が異なり、金額は個別の審理次第です。弁護士JPニュースの解説は、実害が出ていない段階の慰謝料を1人数千円程度にとどまる可能性が高いとみています。会社が任意で出すお詫びとして、2014年の事案ではベネッセが500円分の金券を用意したとITmediaが報じています。今回の3,000円相当はその6倍の額で、同社のFAQのQ9によれば、なりすましへの備えに伴う負担などを勘案して決めた額です。ただし、お見舞いの額が訴訟で認められる慰謝料の額を決めるわけではありません。

タイムズクラブ側でもカード番号19,510件などが流出｜タイムズのB利用者の扱い

第5報で新たに分かったのが、タイムズクラブのWebシステムへの不正アクセスです。フォレンジック調査の結果、本事案に関連してタイムズクラブ側にも侵入があったことが確認され、タイムズクラブのお知らせ（10月23日）も同じ件数を公表しました。攻撃者がアクセスし、外部送信の痕跡が確認された項目は次のとおりです。

ここでの連携サービスIDは、タイムズクラブが提供する他社提携サービスと連携するための識別番号です。件数が最も多いのはこのIDで、氏名などの個人を直接特定する項目は5件にとどまります。クレジットカードは下4桁だけで、全桁とセキュリティコードは保持していないため不正に使われるおそれはないという説明です。ただし下4桁は、カード会社を名乗る詐欺で「末尾◯◯◯◯のカードに不正利用の疑い」と本物らしく見せる材料になります。下4桁を言い当てられても、それだけで相手を信用しないでください。

駐車場予約のタイムズのBだけを使っている人を対象とする記載は、10月27日時点の公式発表とFAQにありません。一方で、タイムズクラブの会員はタイムズクラブ側の漏えいに含まれうるため、「タイムズカーを使っていないから無関係」とは言い切れなくなりました。過去に一度でもタイムズカーへ入会した人や、入会を申し込んで途中でやめた人も、今使っていなくても対象区分に入ります。心当たりがあるなら、マイページの表示か、退会者フォーム、0120-25-8924で照会するのが確実です。

保有中の免許証画像は10月末までに全削除｜第4報で変わった保有ルール

第4報（2026年10月16日）は、本人確認書類の画像の保有ルールを見直したと発表しました。これまでは入会時の確認に加え、不正利用が疑われる事案への対応や問い合わせ対応、各種の本人確認に使う目的で画像を保有していました。今後は会員登録が完了した後は画像を保有しません。

利用者が手続きをする必要はありません。第4報と第5報は、現在保有している画像を本人の申し出の有無にかかわらず2026年10月末までに削除するとしています。削除を依頼する連絡や、削除のためのログインを求めるメールが届いても、公式発表に無い手順なので応じないでください。第5報は、画像そのものは消す一方で、将来の問い合わせ対応などに備え、保存していた画像との同一性を確かめるための情報は適切に保全していると付け加えました。画像の代わりに何を残したかの中身は書かれていません。

受け止めとして押さえたいのは、削除で防げるのは今後の流出だけという点です。すでに外部へ送信された1,464,800件の画像は削除の対象外で、回収もできません。画像は暗号化されていましたが、同社自身が将来の復号の可能性を完全には否定できないとしています。次章の本人申告や点検は、削除が済んでも続ける意味がある対応です。画像を手放した後のなりすまし対策について、FAQのQ14（10月23日の改番前はQ12）は防犯上の理由から詳細を控えるとしつつ、不正利用対策を緩めるものではなく、適切な本人確認を続けると答えています。

運転免許証の画像が流出した人の備え｜本人申告・再交付・本人確認ルール

信用情報機関3社への本人申告｜申告の登録期間と悪用防止効果の限界

運転免許証画像は回収できないため、利用者の手で打てる対策は、名義を使った契約を通りにくくすることと、悪用に早く気付ける状態を作ることです。前者のうち、加盟会社が信用情報を照会する与信取引には本人申告を検討できます。ただし、全国銀行個人信用情報センターへの照会は預金口座開設時には行われません。CICの本人申告は、本人確認書類の紛失・盗難や名義を悪用される恐れがあるときに申告情報を信用情報へ登録できる制度で、登録日から5年間有効です。登録は加盟会社の与信判断で参照されますが、効力の保証はないとCICは明記しています。タイムズモビリティもFAQのQ12（10月23日追加）で本人申告制度を説明し、加盟会社の慎重な判断が期待できる一方、悪用の防止効果は保証されず、与信に限られるため預金口座の開設時には使われないと注意を添えました。同社は制度の利用を推奨も保証もしない立場で、使うかどうかは本人の判断とされています。

信用情報機関は3社あり、加盟先の範囲が異なります。JICCの本人申告コメントは「本人確認書類の紛失・盗難」「名義の悪用防止」など4種類で、有効期間は登録から5年間です。銀行系の全国銀行個人信用情報センターは、マイナンバーカードの公的個人認証を使ったインターネットでの申告に対応しています。開示を併せて申し込めば、自分の名義で身に覚えのないカードやローンの申込がないかも確かめられます。

公表直後は申込が集中しました。CICは2026年9月30日のお知らせで、インターネット開示と本人申告の受付番号が取得しにくく、コールセンターもつながりにくい状況だと案内しています。つながらなければ時間をおいて試し直し、発表日と窓口の番号を控えておいてください。

運転免許証の再交付｜手数料と変更できる券面情報・流出後に残るリスク

免許証の再交付は、道路交通法第94条第2項が定める手続で、免許証を亡失・滅失・汚損・破損したときなどに住所地の公安委員会へ申請できます。東京都の場合、警視庁の再交付手続のページは、遺失・盗難・汚損・破損のほか「現在表示されている写真を変更したい方」も対象に挙げており、手続は府中・鮫洲・江東の運転免許試験場で平日に受け付け、代理人による申請はできません。手数料は警視庁の手数料表で運転免許証の再交付が2,600円です。

費用の負担について、J-CASTニュースの10月9日の報道によると、パーク24は取材に対し、再交付は「お客様それぞれのご事情やご判断によるもの」と答え、所定の手数料が発生する見込みだと説明したとされています。第5報も再交付の費用には触れておらず、手数料を個別に負担するという記載はありません。10月23日に決まった3,000円相当のお見舞いは、FAQのQ9によると特定の対策を前提としない一律の額です。画像の送信痕跡がある人が受け取れば東京都の手数料2,600円を上回りますが、再交付の費用として支払われるものではありません。

判断の材料は、再交付で何が変わらないかです。氏名、生年月日、住所、免許の種類は新しい券面でも同じで、流出した画像に写る情報はそのまま有効です。写真を撮り直せば券面の顔写真は変わりますが、なりすましの申込で使われる氏名や生年月日の組み合わせは消せません。再交付だけで悪用を防げるわけではなく、前の項の本人申告と同じく、打てる手の一つにとどまります。再交付を選ぶなら、今後の追加の案内や訴訟に備えて領収書を保管しておいてください。

免許証画像の悪用リスク｜携帯は2026年4月からICチップ必須、対面は2027年4月から

FAQのQ8（10月23日の改番前はQ9）は10月13日の更新で、金融機関やクレジットカード会社、携帯電話事業者の非対面の本人確認では、書類の画像だけでなく容貌画像との照合、ICチップ情報の読み取り、公的個人認証、本人名義口座による確認といった追加の手続きが使われると説明を足しました。そのうえで、なりすましの可能性を完全には否定できないとも書いています。どこに穴が残るかは、制度の施行日で整理すると見えます。

総務省の携帯電話の本人確認ルールは、オンライン契約では令和8年（2026年）4月1日からICチップの読み取りが原則必須になったと案内し、「本人確認書類の写真をアップロード」する方法を原則廃止の対象に挙げています。ICチップは券面の画像から複製できないので、流出した画像だけで新しい回線を作る経路は狭まりました。

残る穴は対面です。同じページは、店頭でICチップの読み取りが原則必須になるのは令和9年（2027年）4月以降としています。それまでは、画像をもとに偽造した券面を窓口で見せる手口が理屈の上では通りうる状態です。金融機関のオンライン申込も、書類の画像と容貌の画像を送る方式が2027年4月1日の廃止まで残ります。金融庁は10月9日、本人確認書類の画像を含む顧客情報の漏えいが相次いでいることを受けて金融機関へ注意喚起を出し、非対面の確認で画像に不自然な点がないかを改めて確かめることと、ICチップ読み取りへの切り替えを施行日を待たず進めることを求めました。本人確認制度の変更後も、流出情報を使った詐欺の連絡や制度の対象外の契約などへの警戒は必要です。2027年春を警戒終了の目安にはできません。犯収法の改正内容は犯罪収益移転防止法の本人確認：2027年4月の対面IC読み取り義務化と改修要件で詳しく扱っています。

利用者が今日やる点検｜なりすまし連絡・パスワードの管理と相談先

タイムズカーを装うメール・SMS・電話に対して先に決めておく対応

第2報と第3報は、タイムズモビリティを装ったメール・SMS・電話に注意するよう呼びかけ、身に覚えのない連絡のリンクや添付ファイルを開かないこと、パスワードや認証コード、クレジットカード情報を入力しないことを求めています。FAQのQ13（10月23日の改番前はQ10）は、同社のほか金融機関、携帯電話事業者、公的機関を名乗る連絡にも注意を広げました。第5報は、漏えいした情報が売買・公開されたことを示す事実は10月23日時点で確認されていないとしたうえで、想定されるリスクとしてフィッシングメールやフィッシングサイトによる詐欺、なりすましによる各種申込みや問い合わせ、不正勧誘、個人情報の悪用の4つを挙げ、ダークウェブを含む情報流通の監視を続けるとしています。同社が本件を警察庁に相談し、警察を装う「ニセ警察詐欺」への注意喚起とともに、詐欺電話の発着信を警告する無料アプリの紹介を受けたことも記されています。

判断は、連絡の中のリンクや電話番号を使わず、自分で公式サイトを開いて確かめる、の一点に絞ると迷いません。表示される番号も信用しないでください。警察庁は、実在する警察署などの番号を偽装して表示させる手口を注意喚起しています。登録しているという事実だけで偽の通知の宛先にされる構図は、メールアドレス3,687件の登録の有無が特定されたスタディサプリの不正アクセスにも共通します。

パスワードの使い回し先と連携サービスを優先度に沿って確認する順番

タイムズカーのパスワードを他サービスでも使っている場合は、使い回し先から先に変更します。優先度は、パスワード再設定の受け口になるメールアカウント、決済や送金に関わるサービス、連携サービスIDとして登録していたサービスの順です。変更と同時に二要素認証を有効にしておくと、パスワードが知られても単独では入れなくなります。方式の違いは二段階認証とはを参照してください。

不審な連絡や身に覚えのない契約に気付いた利用者の相談先と連絡の目安

相談先は内容で分けます。タイムズカーの漏えいそのものは0120-25-8924、警察を名乗る電話や、自分の名義で作られた口座・回線に気付いたときは警察相談専用電話の#9110です。警察庁の相談窓口の案内によると、#9110は全国どこからかけても、その地域を管轄する警察本部などの相談窓口につながります。身に覚えのない請求や契約のトラブルは、消費者ホットライン188が身近な消費生活センターを案内します。188は消費者庁につながる番号ではない点に注意してください。

公表内容の時系列｜9月25日の検知から10月23日の第5報と国の対応まで

9月25日の不正アクセス検知から9月26日の遮断完了までの対応経過

第1報（2026年9月25日）によると、同日9時07分に同社のシステムで不正アクセスを検知し、第三者がシステムにアクセスした形跡を確認しました。この時点の表現は「漏えいした可能性」で、対象はタイムズカー会員と退会済み会員とされていました。9月26日の追記では、同日7時25分までに侵入の経路と攻撃元からの通信を遮断し、遮断後にアクセスできないことを確認したと報告されています。検知から遮断の確認までは約22時間です。

第2報と第3報で確定した漏えいの件数・対象者と本人確認画像の種類

9月28日の第2報で、表現は「第三者に取得されたことを確認」に改まりました。漏えいしたアカウント数は約660万件で、申込未完了者とタイムズビジネスサービスの会員がここで対象に加わっています。9月29日の第3報は、本人確認書類が漏えいしたアカウント数を約160万件と確認しました。対象の画像は、運転免許証画像、現住所確認書類画像（公共料金の請求書など）、学生証画像（学生プランの場合）、家族確認書類画像（家族プランの場合）の4種類です。この約160万件は、10月23日の第5報で送信痕跡あり1,464,800件とアクセスのみ891,602件の計2,356,402件に置き換わりました。

第3報は、漏えいの詳細を外部専門機関の調査結果を踏まえて「2週間程度を目処」にあらためて案内するとしていました。9月29日から数えると10月13日前後にあたりますが、10月16日の第4報はこの案内を10月23日（金）に変更し、当初の時期から遅れることを詫びています。案内は予定どおり10月23日の第5報として出ました。最新の発表は新着情報の一覧で確かめられます。

10月1日のFAQ公開から10月23日のQ1〜Q14への組み直しまでの更新

第1報から第3報の各ページは10月1日に更新され、ご質問と回答（PDF）の公開と、退会済みの人向けの専用フォームの設置が追記されました。FAQは10月6日にQ9（本人確認制度）とQ10（注意すべきこと）が加わり、10月13日にはQ9へ追加の確認手続きの説明、Q10へ参考法令と行政機関の公表資料が追記されています。10月16日は第4報と同じ日にQ11（公表に時間がかかる理由）とQ12（画像削除後のなりすまし対策）が加わりました。

10月23日の更新で、FAQはQ1〜Q14に組み直されています。補償方針を「調査後に決定」としていた旧Q6と、公表が遅れる理由の旧Q11は外れ、お見舞いの根拠（Q9）、お見舞いの対象の線引き（Q10）、画像は全部漏れたのかという問い（Q11）、本人申告制度（Q12）が加わりました。本人確認制度は旧Q9からQ8へ、注意すべきことは旧Q10からQ13へ、画像削除後のなりすまし対策は旧Q12からQ14へ移っています。10月16日以前のFAQを引用した記事やSNSの投稿は番号がずれているので、照合するときは質問の文言で探してください。

10月23日の第5報｜フォレンジック調査の終了と確定件数・原因・お見舞い

第5報（2026年10月23日）は、外部専門機関のフォレンジック調査が同日に終わったことを受けた報告です。これまで「漏えいのおそれ」としていた範囲を、攻撃者がアクセスし外部へ送信した痕跡があるものと、アクセスの痕跡だけがあるものに分けて数え直しました。最終件数は第5報のとおりで、現時点で追加の対象範囲は確認されていないとしています。

第5報の経緯表には、第4報までの発表に書かれていなかった対応日も載りました。9月25日の検知当日に対象サーバーの隔離、経路の遮断、フォレンジック調査の開始、個人情報保護委員会への報告まで済ませています。9月26日に侵害を受けた環境と関連環境の切り離しを終え、9月28日には警察への相談開始と国土交通省への一報、既存会員への案内開始がありました。法人会員への案内は10月2日に始まっています。

今後の対応としては、外部専門家の助言を踏まえた情報セキュリティ強化策の策定と、社外取締役を中心に外部専門家を加えた調査委員会による内部統制とガバナンスの検証が示されました。具体的な強化策は年内を目処に公表するとされています。確認された侵害経路への対策は完了し、同じ構成のシステムの点検と脆弱性対策、監視・検知の強化も実施済みと書かれています。

国と業界の対応｜国交省の総点検要請と10月9日の各省庁の注意喚起

事案は事業者1社の対応にとどまらず、国の動きにつながりました。共同通信の10月7日の配信によると、国土交通省はカーシェア事業者も加盟する全国レンタカー協会に10月1日付の文書で情報漏えい対策の点検を要請し、10月30日までに取り組み状況の報告を求めています。免許証画像などの流出は「利用者の不安を引き起こし、レンタカー事業の信頼を揺るがす恐れがある」としています。国交省の公表資料は、10月19日時点で確認できていません。

政府は10月8日、不正アクセスによる個人情報の漏えいが相次いでいることを受けて関係省庁会議を開くと発表したと共同通信が報じています。翌9日以降、各機関が注意喚起を出し、国家サイバー統括室の10月14日のお知らせが一覧にまとめています。利用者に関係が深いのは金融庁と警察庁、事業者に関係が深いのは残りの機関です。

この表は国内で相次ぐ漏えい全体への注意喚起で、タイムズカーの侵入経路を示すものではありません。同社の原因は次の項のとおり、第5報で大枠だけが示されています。

情報漏洩の原因はWebシステムの脆弱性悪用｜第5報で判明したことと伏せた点

第5報は、フォレンジック調査の結果として、本事案はWebシステムに存在した脆弱性が悪用されたことで起きたと判断しています。攻撃者はこの脆弱性を使ってシステムへ侵入した後、システム内の情報を探索し、そこで得た情報を使ってデータベースとファイル領域へアクセスしていました。画像は暗号化して保管されていましたが、攻撃者はその暗号化データに届き、一部を外部へ送信しています。

伏せられたのは、脆弱性の種類、製品名、攻撃手法の詳細、システム構成です。同社は二次被害防止の観点から公表を差し控えるとしています。本記事では、特定の製品や脆弱性に結び付けた推測はしません。第2報が続報で示すとしていた中長期の再発防止策は、年内を目処に公表する強化策として持ち越されました。

開発する側が読み取れるのは、入口の脆弱性と、侵入後に届いた範囲が別の論点だという点です。第5報の記述では、攻撃者は侵入した地点から直接データを抜いたのではなく、システム内で得た情報を足がかりにデータベースとファイル領域へ進んでいます。何がその足がかりになったかは公表されていません。一般論として、アプリケーションサーバーの設定ファイルや環境変数に置いた接続情報、画像の復号に使う鍵が、同じ権限で読める配置になっていれば、入口を一つ破られただけで奥まで届きます。後半の章で扱う権限の分離は、この「侵入後の距離」を伸ばすための設計です。

流出した項目を種類別に仕分ける｜免許証画像・連絡先・パスワードの重さ

運転免許証画像が住所・生年月日と一緒に流出したときに想定される悪用の型

第2報に並ぶ漏えい情報は、氏名、法人会員の所属部署名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報（運転免許証画像など）、パスワード、連携サービスIDです。対象者によって含まれる項目は異なるとされています。第5報は、これを項目ごとの件数に分けて確定させました。

件数の上で読み違えやすいのは、6,628,007件という総数と、項目ごとの数の差です。6,628,007件は氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報の組に付いた数で、登録内容によって含まれる項目は人ごとに異なります（駐車場だけの法人契約者は運転免許情報を登録していない場合があります）。パスワードや連携サービスIDは数件にとどまります。逆に画像は、約160万件とされていた第3報から、アクセスのみの分を含めて2,356,402件へ広がりました。このほか、会員管理とシステム運用のための識別情報にもアクセスと外部送信の痕跡があったとされています。

最も重いのは運転免許証画像です。顔写真、氏名、住所、生年月日、免許証番号が一枚にそろっており、なりすましの材料としてそのまま使える形をしています。住所や電話番号、券面の顔写真は変更できますが、生年月日や、すでに流出した画像そのものを変更することはできません。公共料金の請求書は住所確認の書類として別の申込に流用されかねず、家族確認書類には同居家族の氏名や続柄が含まれうるため、会員本人以外の情報まで漏れた可能性があります。

「復元できない形式」で保管されたパスワードのリスクの受け止め方

タイムズモビリティは、パスワードを復元できない形式で保管しており、アカウントが不正に利用される恐れはないと説明しています。第5報は、ハッシュ化されたパスワードに攻撃者がアクセスし外部へ送信した痕跡が確認されたのは4件だったと確定させました。約660万件の大半はパスワードの送信痕跡が確認されていないことになりますが、自分が4件に入るかはマイページの表示で確かめてください。ハッシュ化の方式は明かされていません。解読のしやすさは方式で大きく変わります。OWASPのPassword Storage Cheat Sheetは、Argon2idならメモリ19MiB・反復2回・並列度1、既存システムでbcryptを使う場合はwork factor 10以上、FIPS対応が必要でPBKDF2-HMAC-SHA256を使う場合は60万回以上の反復を挙げています。この水準でも、短い文字列や辞書に載る語は早く破られるおそれがあるため注意が必要です。心当たりがある人は漏えいと同じ扱いにしてください。ハッシュと暗号化の違いはハッシュ化とはで整理しています。

連携サービスIDは9件から4件へ訂正｜法人の所属部署名3,677件が示すリスク

連携サービスIDについて、第2報は「JR西日本グループの会員サービスWESTER ID」など計9件と記していました。第5報はこれを調査の結果4件に訂正し、WESTER IDは0件だったとしています。タイムズクラブ側の連携サービスID135,436件は、タイムズクラブの他社提携サービスと連携するための別の識別番号です。IDはパスワードではないため、単独で連携先へログインされることはありません。ただしどのサービスを併用しているかが分かるため、連携先を名乗るフィッシングの文面に使われる余地があります。法人会員の所属部署名も見落とされがちで、第5報では3,677件と確定しました。社名、部署名、氏名、メールアドレスがそろえば、取引先や社内の担当を装う標的型メールを作りやすくなります。タイムズビジネスサービスを社用車代わりに使っている企業は、従業員への注意喚起まで範囲に入れてください。

本人確認書類の画像を残さない設計｜保存期間・自動削除・権限の分離

本人確認の審査が終わった免許証画像を持ち続ける理由と保存期間の根拠

ここからは、本人確認書類の画像を受け付けるサービスを作る側の話です。退会者の画像が残っていた理由について、タイムズモビリティはFAQのQ7（10月23日の改番前はQ8）で、氏名・住所・生年月日は法人税法等に基づき7年間、運転免許情報と画像はなりすまし対策や問い合わせ対応のため7年間保管していたと説明しています。画像の7年は法令ではなく、同社の判断による期間でした。10月23日版のQ7は、画像以外の情報についても保管ルールなどを見直すとしています。

見直す余地は、画像そのものと確認した結果の記録を分けて期間を決めるところにあります。入会時の本人確認と運転資格の確認が終われば、確認した日時、確認の方式、免許証の有効期限といった結果の記録で足りる場面は少なくありません。個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。個人情報保護委員会のガイドライン（通則編）3-4-1は、利用目的が達成されて保有する合理的な理由がなくなった場合をその典型に挙げ、法令で保存期間が定められている場合は除くとしています。業法で保存が義務付けられている項目は別として、画像を残す期間は根拠とセットで決めてください。会員DB全体の保存期間と削除の設計は顧客情報管理システムの要件で扱っています。

入会が完了しなかった申込の本人確認画像を期限で抽出するSQL

今回の対象に申込未完了者が含まれていたことは、途中で止まった申込のデータにも期限が必要なことを示しています。次はPostgreSQLで、申込から30日を過ぎても完了せず、画像がまだ残っている申込を抽出し、画像を消した後にキーを消して削除日時だけを残す例です。テーブル名と列名は自社の設計に合わせて読み替えてください。

-- 申込から30日を過ぎても入会が完了せず、画像が未削除の申込を抽出する
SELECT id, kyc_object_key, created_at::date
FROM applications
WHERE status = 'pending'
  AND created_at < now() - interval '30 days'
  AND kyc_object_key IS NOT NULL
  AND kyc_deleted_at IS NULL
ORDER BY created_at;

-- ストレージから画像を消したあと、キーを消して削除日時だけを残す
UPDATE applications
SET kyc_object_key = NULL, kyc_deleted_at = now()
-- ARRAY[1] は検証用。実運用では画像削除に成功した申込IDだけを指定する
WHERE id = ANY (ARRAY[1]::bigint[])
  AND kyc_deleted_at IS NULL
RETURNING id, kyc_object_key, kyc_deleted_at IS NOT NULL AS deleted;

PostgreSQL 18.6で、作成から45日・10日・31日（削除済み）・60日（画像なし）の未完了申込と400日前の完了済み申込の5行に流すと、抽出されたのは45日前の1行だけでした。削除結果をDBへ記録した行は次回の抽出から外れます。ただし、並列実行や画像削除後・DB更新前の障害では同じ行を再処理し得るため、排他制御と再実行しても支障のない削除処理が別途必要です。期間を30日にするか90日にするかは、返金や問い合わせへの対応に必要な日数から逆算してください。退会者を含む登録者全員が漏えいのおそれの対象になった事例は大起水産の不正アクセスと17万4,933人の個人情報、退会年月日まで会員サーバーに残っていた事例はセイコーマートの不正アクセスと57万人の会員情報で扱っています。

S3ライフサイクルで本人確認画像を自動で消す設定とバージョニングの落とし穴

画像をAmazon S3に置いている場合、削除をアプリのジョブだけに頼らず、ストレージ側の規則でも上限を切っておくと取りこぼしが減ります。S3ライフサイクルの公式ガイドによると、設定は既存のオブジェクトと後から追加するオブジェクトの両方に効きます。次は kyc/ 配下の画像を作成から90日で期限切れにする上限のルールです。

{
  "Rules": [
    {
      "ID": "expire-kyc-hard-limit",
      "Filter": { "Prefix": "kyc/" },
      "Status": "Enabled",
      "Expiration": { "Days": 90 },
      "NoncurrentVersionExpiration": { "NoncurrentDays": 1 }
    }
  ]
}

ライフサイクルルールの公式説明によると、Days はオブジェクトの作成日からの日数で、審査が終わった日からではありません。「審査完了から30日」のように起点を変えたい場合は、審査完了日を会員DBに記録して上のSQLのような定期ジョブで消し、ライフサイクルは消し漏れを補う仕組みとして使います。ただし処理は非同期で、バージョニング有効時には非現行化後の保存期間も加わるため、指定日数以内の完全削除は保証されません。審査中や係争中の画像、法令で保存が義務付けられた書類もこの規則で一律に消えるため、それらは kyc-retained/ のような別プレフィックスへ、保存が必要な全バージョンを退避し、アプリ側の参照先も更新してください。通常の移動では元の旧バージョンが残り得るため、移動先の保存内容と元の削除対象を確認します。

NoncurrentVersionExpiration を入れているのは、バージョニングを有効にしたバケットでは Expiration だけでは画像が消えないためです。Expiring objectsの公式説明によると、期限が来てもS3は削除マーカーを付けて現行バージョンを非現行にするだけで、非現行バージョンはこの要素で日数を指定しない限り残り続けます。画面上は消えたように見えて、旧バージョンとして画像が丸ごと残る状態です。削除したつもりのデータが侵害時に持ち出される構図は、削除済み画像のメタデータまで流出したGyazoの不正アクセスと同じ形をしています。

もう一つの落とし穴は設定の上書きです。put-bucket-lifecycle-configurationはバケットのライフサイクル設定を丸ごと置き換える操作で、公式リファレンスも既存の設定を残したいなら新しい設定に含めるよう明記しています。ログの移行などのルールが既に入っているバケットでは、先に現在の設定を取得してバックアップし、既存の Rules 配列へ上のルールを足したファイルを渡してください。

aws s3api get-bucket-lifecycle-configuration --bucket example-kyc-images > lifecycle-backup.json
# lifecycle-backup.json の Rules に expire-kyc-hard-limit を足して lifecycle.json を作る
aws s3api put-bucket-lifecycle-configuration --bucket example-kyc-images \
  --lifecycle-configuration file://lifecycle.json

本人確認画像へのアクセス制限｜S3の公開遮断とKMS鍵の権限分離

本人確認画像のバケットは、まず外部公開の経路を閉じます。S3のBlock Public Accessは、ACLとバケットポリシーによる公開をまとめて拒否する設定です。

aws s3api put-public-access-block \
  --bucket example-kyc-images \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

次に、画像をSSE-KMSで暗号化し、鍵の利用を審査用の役割に限定します。S3の読み取り権限を持つだけでは復号できないため、Webアプリの実行権限が奪われても画像の中身までは届かない構成を作れます。会員の氏名や住所を読むWebアプリと、免許証画像を読む審査担当の画面で、使う権限を分けるのが要点です。

暗号化だけでは足りない理由は、今回の第5報が示しています。タイムズカーの画像は暗号化した状態で保管されていましたが、攻撃者は暗号化データに届いて1,464,800件分を外部へ送信し、同社は将来の復号の可能性を完全には否定できないとしました。同社の鍵の置き場所は公表されていません。一般に、暗号化が侵害時に効くのは、データを読める権限と鍵を使える権限が別の主体に分かれている場合です。Webアプリが画像の読み取りと復号の両方をできる構成では、アプリを乗っ取られると両方が攻撃者の手に渡ります。KMSの鍵ポリシーで復号を審査用の役割だけに許し、Webアプリの役割には暗号化して書き込む権限（kms:GenerateDataKey）だけを渡す、という分け方を設計の初期に決めておいてください。マルチパートアップロードでは書き込みにも kms:Decrypt が要るため、免許証画像のような小さなファイルは単一のPUTで受けるか、アップロード専用の役割を別に用意します。

この分離を入れるべきなのは、会員数が数万を超える、本人確認書類の画像を受け付けている、または退会者のデータを残す運用になっているサービスです。流出時の被害は、情報の種類や件数、悪用のされ方などによって異なります。不要なデータの削除と、必要なデータへのアクセス制限を組み合わせてください。画像を保存しないシステムでは、画像専用のS3・KMS構成は不要です。ただし、免許証番号などへのアクセス権限は、人数だけでなく利用目的と漏えい時の影響に応じて分離してください。画像を保存しない設計を守り、アクセス権の棚卸しとログの確認を先に固めてください。画像を送らせる方式とICチップを読み取る方式の違いはeKYCとはで比べられます。

国の注意喚起から自社の点検項目を拾う｜API制限・保有データ・委託先

10月9日前後に出た注意喚起は、本人確認書類を扱う事業者がそのまま点検表に使えます。国家サイバー統括室の文書は、ウェブシステムの脆弱性管理、委託先を含むサプライチェーンの管理、データの適切な管理の3本柱を挙げ、利用目的を終えた情報を速やかに削除することと、閲覧権限と更新権限の分離を求めています。個人情報保護委員会も10月7日に大規模な漏えい等事案を踏まえた注意喚起を公表しました。

攻撃側の具体像はJPCERT/CCの注意喚起が詳しく、既知の脆弱性の探索、公開スマートフォンアプリを解析して内部APIを突く手口、BIツールのSQLインジェクション、アプリケーションサーバーへのWebシェル設置の4類型を挙げています。NICTは10月13日の注意喚起で、公開Androidアプリを解析して接続先サーバを狙う手法を「A2B攻撃」と名付けました。どちらも特定の事業者の原因を示すものではありませんが、会員アプリを公開しているサービスは、アプリから読み取れるAPIを外部の攻撃者も知っている前提で点検する必要があります。

JPCERT/CCが最初に挙げる対策は、APIへの単位時間あたりのリクエスト件数の制限です。nginxを前段に置いている場合は、limit_reqモジュールで接続元ごとの上限を切れます。次は会員情報を返すAPIを1秒あたり5件、瞬間的な超過を10件までに抑える例です。値は実際のアクセス傾向に合わせて決めてください。

# http ブロック：接続元IPごとに1秒5リクエストまで
limit_req_zone $binary_remote_addr zone=member_api:10m rate=5r/s;
limit_req_status 429;

# server ブロック：会員情報を返すAPIにだけ適用する
location /api/members/ {
    limit_req zone=member_api burst=10 nodelay;
    proxy_pass http://app_backend;
}

件数の制限は大量取得を遅らせる手段で、認可の不備そのものは直りません。内部APIで権限を確かめているか、画面からは呼べない操作がAPIからは通ってしまわないかは、設計とテストで確認する領域です。

個人情報の漏えい等報告の期限と次の侵害に備えた保管データ点検の順番

個人情報保護委員会の案内では、報告の対象は要配慮個人情報の漏えい等、財産的被害のおそれがある個人データ、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1,000人を超える漏えい等（民間事業者）の四類型です。速報は発覚から3〜5日以内、確報は30日以内、不正目的の場合は60日以内とされています。タイムズモビリティは第1報の時点で委員会へ報告し、第2報では警察への報告も明記しました。フォレンジック調査を終えて項目別の件数を確定させた第5報は、検知から28日目の10月23日に出ています。不正目的の漏えいでは確報の期限が60日あるとはいえ、利用者への案内と件数の確定を1か月以内にそろえるには、どのログがどの期間分残っているかを平時から把握しておくことが必要です。類型の見分け方は個人情報保護委員会への報告義務で解説しています。

自社が本人確認書類の画像を受け付けているなら、点検は次の三つの順で進める手順です。最初に、保存している画像の件数と、そのうち退会者・申込未完了者の分がどれだけあるかを数えます。次に確かめるのは、画像の保存先へ届く権限をWebアプリと審査用で分けているかという点です。最後に、削除の規則が旧バージョンやバックアップまで及んでいるかを確認します。外部からの入口と、破られた後に何が読めるかを第三者の目で確かめたい場合は、脆弱性診断・セキュリティ診断で、Webアプリから画像ストレージや会員DBまでの経路を含めて点検できます。

よくある質問

タイムズカーの情報漏洩について、利用者から出やすい質問に2026年10月27日時点の公式発表で答えます。

0120-25-8924はタイムズカーの正式な問い合わせ窓口ですか？

正式な窓口です。タイムズモビリティの第1報から第5報に「本件に関わる問い合わせ先」として24時間受付で載っており、タイムズクラブの10月1日と10月23日のお知らせも同じ番号を案内しています。ただし、同社がこの番号から利用者へ電話をかけるという記載はありません。着信やSMSで番号を示されたときは応じず、公式サイトで番号を確かめて自分でかけてください。

タイムズカーの情報漏洩で補償やお詫びの品はもらえますか？

本人確認書類の画像に外部送信の痕跡が確認された人は、3,000円相当の現金または金券をお見舞いとして受け取れます。10月23日の第5報で決まり、対象区分は1,464,800件です。画像にアクセスされただけで送信の痕跡が無い891,602件と、画像以外の情報だけが漏れた人は対象に入っていません。内容と渡し方は検討中で、決まり次第対象者へ案内されます。訴訟で求める慰謝料は、過去の判例では氏名や住所などの漏えいで1人2,000円を認めた控訴審判決があり、免許証画像を含む今回の事案での金額は決まっていません。お見舞いを理由に口座番号や免許証の写真を求める連絡は公式発表に無い内容なので、リンクを開かずに窓口で確かめてください。

タイムズカーを退会していても流出の対象になりますか？

対象になりえます。第2報は、タイムズカー会員とタイムズビジネスサービス会員それぞれについて退会済みの人を対象に含め、入会手続きを完了しなかった人も対象としています。退会者には10月1日から順次個別の案内が始まりました。会員が使えるマイページでの確認は退会者には使えないため、退会者専用の問い合わせフォームで退会時の登録情報を伝えると、2週間程度を目処に案内が届くとされています。退会後7年間保有されていた画像は、第4報と第5報によれば10月末までに削除される予定です。退会者でも画像の送信痕跡が確認されれば、3,000円相当のお見舞いの対象区分に入ります。

タイムズカーの流出で運転免許証は再交付したほうがよいですか？

必須ではありません。再交付で券面の写真は撮り直せますが、氏名・生年月日・住所は変わらず、流出した画像の情報はそのまま有効です。東京都の再交付手数料は2,600円で、パーク24は再交付を利用者の判断とし、手数料が発生する見込みだと説明したと報じられています。第5報のお見舞い3,000円相当は特定の対策の費用ではなく、再交付の手数料を別に負担するという発表もありません。信用情報機関への本人申告と開示も合わせて検討し、再交付する場合は手数料の扱いが決まるまで領収書を保管してください。

タイムズカーの情報漏洩の原因は公表されていますか？

大枠は公表されました。10月23日の第5報は、外部専門機関のフォレンジック調査の結果、Webシステムに存在した脆弱性が悪用されたことで起きたと判断しています。攻撃者は侵入後にシステム内の情報を探索し、得た情報を使ってデータベースとファイル領域へアクセスしていました。一方、脆弱性の種類や製品名、攻撃手法の詳細、システム構成は二次被害防止の観点から公表されていません。確認された侵害経路への対策は完了し、具体的な情報セキュリティ強化策は年内を目処に公表される予定です。原因を特定の製品や手口に結び付ける情報は、公式発表で裏付けられるまで推測として扱ってください。

関連記事

• Gyazoの不正アクセスと2,362万件の流出｜利用者の点検手順とアップロード基盤の見直し
• ブックオフ不正アクセス：約638万人の対象確認と本物メールの見分け方
• eKYCとは？方式の違いと2027年4月の犯収法改正で変わる本人確認要件
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• さくらインターネットの不正アクセスと最大136万件｜管理基盤経由の侵害と利用者の点検手順