01
退会した人の情報まで、残っていた
事件の概要
- 被害
- パーク24グループ「タイムズカー」のWebシステム
- 発覚・公表
- 2026年9月25日に検知し同日公表、9月29日に第3報
- 規模
- 約660万アカウント、うち本人確認書類の画像の漏えいが約160万件
- 原因
- 未公表（再発防止策はあらためて公表するとしている）
- 対応
- 経路の遮断、個人情報保護委員会と警察への報告、対象者へのメール通知と専用窓口
- 2026/09/25
午前9時7分に検知、同日に第1報
Webシステムへの不正アクセスに気づき、その日のうちに公表しました。
- 2026/09/26
午前7時25分までに経路を遮断
サービスは止めずに続けています。
- 9/28以降
対象は約660万アカウント
第2報とその後の追記で示された範囲。退会した人、入会手続きが終わっていない人、法人会員も含みます。
- 2026/09/29
本人確認書類の画像は約160万件
運転免許証などの画像が漏えいしたアカウントが約160万件と確認されました。
660万件
160万件
パスワードは元に戻せない形で保存され、クレジットカードの情報は含まれていないとされています。一方で、退会した人や入会手続きが終わっていない人の情報まで対象になっていました。
漏えいした本人確認書類
運転免許証の画像
現住所の確認書類（公共料金の請求書など）
学生証の画像
家族の確認書類の画像
出典：パーク24（第3報）
02
本人確認書類を預かる会社へ
レンタル、中古買取、会員制のサービスなど、中小企業でも本人確認書類の画像を受け取る場面は増えています。いちばん確実な守りは、持っていない状態にすることです。
持ちすぎない4つ
- 1確認が済んだら、画像の保管期間を決める法律で残す必要があるものを除き、確認が終わった画像はいつ消すかを決めておきます。
- 2退会した人の情報を残さない退会や入会途中で止まった人の情報も、期限を決めて消します。
- 3画像は分けて保管し、見られる人を絞る会員情報と同じ場所に置かず、見られる担当者を限ります。
- 4漏れたときの案内を用意しておく「当社を名乗る連絡でカード番号を聞くことはない」など、なりすましへの注意を伝える文面を準備します。
会員を預かるサイトの入口、点検していますか
ドメインを入力するだけで、外から見えている弱点を無料で点検します。
出典
- タイムズカー「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）」（2026年9月25日）
- タイムズカー「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日）
- パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」（2026年9月29日）
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。