不正アクセス不正アクセス個人情報漏えいカーシェア本人確認書類Webシステム

タイムズカーで約660万件の情報漏えい｜免許証画像も対象

2026年10月7日

タイムズモビリティ株式会社

影響規模：約660万アカウント（うち約160万アカウントで本人確認書類）

タイムズカーへの不正アクセスと情報漏えいの概要

2026年9月25日、タイムズモビリティ株式会社は、カーシェアリングサービス「タイムズカー」のWebシステムへの不正アクセスを検知しました。

その後の調査により、同システムに保存されていた約660万アカウントの情報が第三者に取得されたことが確認されました。

さらに9月29日の発表では、このうち約160万アカウントで、運転免許証画像などの本人確認書類も漏えいしたことが公表されました。本人確認書類とは、サービスの申込者が本人であることを確認するために提出する書類です。

2026年10月7日時点では、不正アクセスの原因と会員ごとの詳しい影響範囲について調査が続けられています。漏えいした情報がインターネット上で広く公開された事実や、本件に起因する不正利用は確認されていません。

公表されている内容を整理すると、以下の通りです。

項目	公表内容
不正アクセスを検知した日時	2026年9月25日9時07分
漏えいしたアカウント数	約660万件。アカウント数であり、660万人という意味ではありません
本人確認書類を含むアカウント数	約160万件
対象	現在・過去の個人会員、入会手続き未完了者、現在・過去の法人会員
主な漏えい情報	氏名、住所、生年月日、電話番号、メールアドレス、免許情報、本人確認書類など
クレジットカード情報	漏えいしていないことを確認
サービスへの影響	発表時点では確認されず、通常どおり利用可能
不正アクセスの原因	専門会社が調査中で、具体的な侵入経路は公表されていません

発見から発表までの流れ

日付	内容
9月25日	Webシステムへの不正アクセスを検知し、調査を開始
9月26日	不正アクセスに使用された経路と、攻撃元からの通信を遮断
9月28日	約660万アカウントの情報が第三者に取得されたことを発表
9月29日	約160万アカウントで本人確認書類の漏えいを確認し、対象会員への個別案内を開始

どのような情報が漏えいしたのか

漏えいした情報は対象者によって異なります。タイムズモビリティが公表した項目には、次の情報が含まれます。

氏名
法人会員の所属部署名
住所
生年月日
電話番号
メールアドレス
運転免許情報
運転免許証画像などの本人確認書類
復元できない形式で保存されたパスワード
WESTER IDなどの連携サービスID

約660万件のすべてで、上記の情報がすべて漏えいしたわけではありません。クレジットカード情報は漏えいしていないことが確認されています。

免許証画像の漏えいで想定されるリスク

漏えいが確認された書類には、運転免許証画像のほか、公共料金の請求書などの現住所確認書類、学生証画像、家族関係を確認する書類が含まれます。

本人確認書類には、氏名、生年月日、顔写真、住所など、簡単には変更できない情報が含まれます。これらの情報が漏えいすると、なりすましによるサービスへの申込や、漏えい情報を悪用したフィッシングメール（本物を装った偽メール）に利用されるおそれがあります。

ただし、タイムズモビリティの発表では、2026年9月29日時点で、本件に起因する不正利用は確認されていません。現時点で被害を断定するのではなく、今後の公式発表を確認することが重要です。

タイムズカー利用者が確認すべきこと

対象となる会員には、タイムズモビリティから順次、個別に案内が送られています。次の3点を確認してください。

タイムズモビリティから個別案内が届いていないか確認する
タイムズカーを名乗るメールやSMSが届いても、本文中のリンクを安易に開かない
メール、SMS、電話でパスワード、認証コード、クレジットカード情報を求められても伝えない

連絡が正規のものか判断できない場合は、届いたメッセージ内のリンクを使用せず、タイムズモビリティの公式発表から問い合わせ窓口を確認してください。

本人確認書類が漏えいした場合に検討できる「本人申告制度」

タイムズモビリティから運転免許証画像などの漏えいについて個別案内を受けた方は、名義悪用への追加対策として、信用情報機関の「本人申告制度」を検討できます。

本人申告制度は、本人確認書類の漏えいなどにより名義を悪用されるおそれがあることを信用情報に登録する制度です。加盟会社がクレジットカードやローンなどの審査で信用情報を照会した際、本人確認や審査を慎重に行うための参考情報として利用されます。

JICCは、運転免許証などの現物が手元にあり、画像や記載情報だけが漏えいした場合も登録できると案内しており、その場合は「名義の悪用防止」を選択します。

信用情報機関	申込方法	手数料
CIC（株式会社シー・アイ・シー）	インターネット	1,000円
JICC（株式会社日本信用情報機構）	スマートフォン	700円
KSC（全国銀行個人信用情報センター）	インターネット	500円

手数料は2026年10月7日時点のオンライン申込料金で、3機関の合計は2,200円です。申込方法や本人確認に必要な書類は機関ごとに異なります。加盟会社も異なるため、広い範囲へ注意喚起したい場合は3機関それぞれへの登録を検討できますが、登録は任意です。

本人申告制度は、不正な契約を自動的に拒否したり、名義悪用を完全に防いだりする制度ではありません。信用情報の照会を伴う審査で利用される注意情報であり、銀行口座の開設や、信用情報機関への照会が行われない契約など、すべての本人確認を対象とするものではありません。

2026年10月7日時点で、タイムズモビリティの公表資料には、本人申告制度への登録を求める記載はありません。制度の内容と限界を確認したうえで、追加対策として利用するかを判断してください。

個人情報を扱う企業が確認すべき5つの項目

ここからは、会員情報や免許証画像を保管している企業向けの内容です。

以下は、今回の不正アクセスの原因を推測するものではありません。会員情報や本人確認書類を扱う企業が、同様の被害に備えるための一般的な確認項目です。

1. 退会者や申込未完了者の情報を必要以上に保管していないか

今回の対象には、退会済みの会員や、入会手続きを完了しなかった申込者も含まれます。法令や業務上必要な保存期間を明確にし、期限を迎えた情報を適切に削除する運用が必要です。

2. 本人確認書類へのアクセスを必要最小限に制限しているか

免許証画像などの重要な情報は一般的な会員情報と分けて保管し、アクセスできるシステムや担当者を必要最小限に絞ることが重要です。暗号化に加え、暗号化した情報を元に戻す鍵の管理方法やアクセス権限も確認します。

3. 会員画面・API・管理画面の権限設定は適切か

ログインできるかどうかだけでなく、他の利用者の情報を閲覧できないか、システム間でデータをやり取りする仕組み（API）から想定外の情報を取得できないか、管理者専用の機能へアクセスできないかを確認します。

4. 大量データの不審な取得を検知できるか

通常と異なる時間帯や回数でのアクセス、短時間での大量ダウンロード、管理者用アカウントの不審な利用を検知できる仕組みが必要です。また、「いつ、誰が、何をしたか」という操作記録（ログ）を、調査に必要な期間保存することも重要です。

5. 一つの脆弱性から重要情報へ到達できないか

個別の弱点（脆弱性）だけでなく、一つの弱点を足がかりに、別のシステムや重要情報まで到達できないかを確認します。想定される侵入経路と影響範囲を把握することで、優先して対策すべき箇所を判断しやすくなります。

自社サイトの安全性を確認したい企業へ

今回の公表情報だけでは、タイムズカーWebシステムへの具体的な侵入経路は明らかになっていません。そのため、「特定の診断を実施していれば防げた」と断定することはできません。

一方、会員サイトや本人確認機能を運営する企業では、ログイン機能、API、管理画面、認証・認可（誰がどの情報を閲覧・操作できるかの制御）を定期的に確認することが重要です。

Webアプリセキュリティ診断では、次のような診断から、自社に適した方法を整理できます。

脆弱性診断 — システムに既知の弱点や設定ミスがないかを幅広く確認する診断
ペネトレーションテスト — 合意した範囲で攻撃手法を試し、重要情報へ到達できないかを確認する診断

診断対象が決まっていない場合でも、公開している機能や保管している情報を伺い、必要な診断範囲を一緒に整理します。

無料相談で診断範囲を整理する

まとめ

タイムズカーの不正アクセスでは、約660万アカウントの情報が第三者に取得され、そのうち約160万アカウントで運転免許証画像などの本人確認書類も漏えいしたことが確認されました。

利用者は公式案内を確認し、タイムズカーを名乗る不審なメール、SMS、電話に注意する必要があります。個人情報を扱う企業は、データの保存期間、本人確認書類へのアクセス制限、会員画面や管理画面の権限設定、大量データ取得の検知、想定される侵入経路を改めて確認すべき事案です。

参考情報

御社のセキュリティは大丈夫ですか？

このインシデントと同様の攻撃に、御社のシステムは耐えられるでしょうか。
ペネトレーションテストで事前にリスクを把握することが最善の防御策です。

まずは無料で相談する資料をダウンロード

▼ セキュリティ対策の基礎知識

ペネトレーションテスト会社の選び方おすすめのセキュリティ診断ツール