2026年9月25日の朝、タイムズカーのWebシステムで不正アクセスが検知されました。そして9月28日に公表された第2報で、漏えいしたアカウント数は約660万件、しかも運転免許証の画像などの本人確認書類まで含まれることが明らかになりました。
カーシェアリングは、いまや「クルマを持たない人」だけのものではなく、通勤や買い物、出張、さらには修理中の足代わりにまで使われる社会インフラに近い存在です。だからこそ、今回のニュースを「自分には関係ない」と受け流せない方は多いのではないでしょうか。
私は自動車業界に46年身を置いてきた業界関係者です。この長い年月のなかで、免許証をお預かりし、コピーを取り、契約書に綴じ、そして期限が来たら適切に廃棄するという作業を、数えきれないほど見てきました。だからこそ、今回の件は単なる「大企業の不祥事」ではなく、業界に身を置く者全員が自分事として受け止めるべき出来事だと感じています。
この記事では、9月29日時点で公表されている一次情報（パーク24およびタイムズモビリティの発表）と各報道を突き合わせ、事実と未確認事項をきちんと切り分けたうえで、次の点を丁寧に解説します。
- 何が起きたのか（時系列と「約660万件」の意味）
- 何が漏れたのか、何が漏れていないのか
- なぜ「免許証画像」が特に深刻なのか
- 会員だった方が、今日からできる具体的な対策
- 業界関係者の目線で見る、本人確認書類の保管という根本課題
なお、私は直接当該企業の関係者ではありません。公表されていない原因や侵入経路について憶測で書くことは避け、「わかっていること」と「まだわかっていないこと」を明確に分けてお伝えします。
まず全体像をつかむ：タイムズカー不正アクセスの要点整理
最初に、ここまでに確定している事実を短く整理します。詳細は以降の見出しで掘り下げますので、まずは全体像をつかんでください。
今回の事案の要点（9月29日時点）
「タイムズカー」と「タイムズのレンタカー」の違いに注意
今回の公表で対象とされているのは、カーシェアリングサービスである「タイムズカー」のWebシステムと、法人向けの「タイムズビジネスサービス」の会員です。
「タイムズ」という名称は、駐車場、カーシェア、レンタカーなど複数のサービスで使われているため、SNSなどでは混同した情報も見受けられます。公表文で対象として明記されているのは上記の範囲ですので、ご自身がどのサービスの会員だったのかを、まず確認することが大切です。なお、状況は今後更新される可能性があるため、最新の情報は必ず公式サイトでご確認ください。
時系列で見る：検知から第2報までの流れ
9月25日（金）：検知と第1報
9月25日9時07分に不正アクセスを検知し、同日中に第1報が公表されました。この時点では「個人情報漏えいの可能性」という表現で、対象もタイムズカーの会員および退会済みの会員とされていました。
同じ日に、連携サービスの提供元であるJR西日本も、自社の会員サービス「WESTER ID」がタイムズカーに登録されている方について、漏えいの可能性がある情報にWESTER IDが含まれ得ることを公表しています。あわせて、JR西日本側のシステムへの不正アクセスはなく、WESTERのパスワードは自社で管理しているため今回の件で流出するものではない、という趣旨の説明もされています。
9月26日（土）：経路の遮断
9月26日7時25分までに、不正アクセスの経路の遮断と、攻撃元との通信の遮断が完了しました。検知から約22時間での封じ込めです。その後も監視は続けられていますが、新たな不正アクセスは確認されていないとされています。
業界関係者の目線で言えば、検知から翌朝までに遮断を完了させた初動そのものは、スピード感のある対応だったと受け取れます。ただし、それは「被害の拡大を止めた」ことを意味するだけで、「すでに持ち出された情報が戻る」わけではありません。ここは切り分けて考える必要があります。
9月28日（月）：第2報で「約660万件」が判明
9月28日に公表された第2報で、第三者に会員情報が取得された事実と、漏えいしたアカウント数が約660万件であること、そして本人確認書類の画像などが含まれることが明らかになりました。第1報の「可能性」から、第2報では「取得されたことを確認」へと、表現が一段階重くなっています。
| 日 時 | 出 来 事 |
|---|---|
| 2026年9月25日 9時07分 | 不正アクセスを検知、調査開始。同日に第1報を公表 |
| 2026年9月26日 7時25分まで | 侵入経路と攻撃元との通信を遮断、遮断後のアクセス不能も確認 |
| 2026年9月28日 | 第2報を公表。約660万件、免許証画像等を含むことが判明 |
| 今後 | 対象者への個別案内、再発防止策を含む続報を公表予定 |
「約660万件」をどう読むか
ここで数字の読み方に注意が必要です。報道によれば、約660万件は「漏えいした可能性があるアカウント数の最大値」であり、各アカウントで実際にどの情報が漏れたのかは調査中とされています。
また、単位は「人数」ではなく「アカウント数」です。退会後に再入会した方や、複数のアカウントを持っていた方がいれば、人数とは一致しません。さらに、対象には現会員だけでなく、退会者や入会手続きが完了しなかった方まで含まれています。
つまり、「いま使っていないから大丈夫」とは言えません。過去に一度でも申し込みをした記憶がある方は、対象になり得ると考えて行動するのが安全です。
何が漏れて、何が漏れていないのか：情報を一つずつ読み解く
公表されている漏えい項目は、対象者によって異なります。ここからは、項目ごとに「悪用されると何が起こり得るのか」を、業界関係者の実務感覚を交えて解説します。
氏名・住所・生年月日・電話番号・メールアドレス
これらは一つひとつを見れば、名刺やネット通販でも扱われる情報です。しかし、組み合わさることで価値が跳ね上がります。
氏名と住所と生年月日と電話番号が揃えば、「本人に見せかけた問い合わせ」や「本人確認の突破」の材料になります。メールアドレスと電話番号が揃えば、フィッシングメールやSMS、さらには電話を使った詐欺の「宛先リスト」として使えてしまいます。
運転免許情報と免許証画像
今回もっとも重く受け止めるべきなのが、この項目です。運転免許証は、日本で最も広く使われている公的な本人確認書類の一つです。
免許証の画像には、氏名、住所、生年月日、免許証番号、顔写真、免許の種類や条件、有効期限などが写っています。これらが一枚の画像に凝縮されているため、悪意のある第三者にとっては、なりすましのための「ほぼ完成された素材」になり得ます。
顔写真つきの画像という点
顔写真つきの画像が含まれる場合、本人確認の場面で「本人の顔と一致するか」を見せられる材料が揃うことになります。パスワードのように変更で無効化できるものではなく、顔や生年月日は変えられません。この「一度出たら取り戻せない」性質が、被害を長期化させる要因です。
免許情報が示す「もう一つの危険」
免許の種類や条件は、それ自体が個人の属性情報です。たとえば「普通免許を持つ○歳」という情報は、レンタカーやカーシェア、自動車ローン、保険などの勧誘・詐欺のターゲット選定にも使われ得ます。
学生証（学割利用者）
報道によれば、学割の利用に伴って提出された学生証も、漏えい対象の本人確認書類に含まれるとされています。学生証には、氏名や学校名、学籍情報などが記載されているのが一般的です。
学生の方は、社会経験が浅く、詐欺の手口に慣れていない場合があります。保護者の方も含めて、「あなたの情報を知っている」という連絡を安易に信用しないよう、家族で話し合っておくことをおすすめします。
法人会員の所属部署名
タイムズビジネスサービスの会員については、所属部署名も漏えい情報に含まれます。個人の情報に「勤務先の部署」が加わると、ビジネスメール詐欺（取引先や上司を装ってお金や情報を求める手口）の精度が上がります。
法人で契約していた企業の担当者の方は、社内で注意喚起を行い、不審な依頼メールに対して「二人以上で確認する」運用を徹底してください。
パスワード：「復元できない形式」とは何か
公表では、パスワードは復元できない形式で保管しており、その情報を使ってアカウントが不正に利用されるおそれはないとされています。一方で、第三者に取得された情報に含まれていることは事実です。
一般に、この種の保管方式は「ハッシュ化」と呼ばれ、元のパスワードを直接保存せず、計算で得た値だけを保存する仕組みです。適切に実装されていれば、取得されても元のパスワードは簡単にはわかりません。
ただし、どのような方式・強度で保管されていたかの詳細は公表されていません。また、ハッシュ化されたパスワードでも、単純で推測されやすいものは時間をかけた解析で破られる可能性が理論上はあります。念のため、タイムズカーで使っていたパスワードを、他のサービスでも使い回していた方は、そちらも変更しておくのが安全です。
連携サービスID（WESTER IDなど計9件）
会員が他社のサービスと連携している場合、その連携サービスIDも漏えい対象になっています。公表では、JR西日本グループの会員サービス「WESTER ID」など、計9件とされています。
IDだけであればただちに他社サービスへ入られるわけではありませんが、「どのサービスを使っている人か」という情報は、なりすましの精度を高める材料になり得ます。連携サービスを利用していた方は、各社からの案内も確認してください。
漏えいしていないとされる情報：クレジットカード情報
クレジットカード情報については、対象システムに保管されていないため、漏えいしていないことが確認されたとしています。この点は不幸中の幸いです。
ただし、「カード番号が漏れていない」ことと「カードに関する詐欺が起きない」ことは別問題です。氏名・電話番号・メールアドレスが漏れている以上、「カード会社を名乗る連絡」や「カードの不正利用を装う連絡」には、引き続き警戒が必要です。
なぜ「免許証画像」の流出が特に深刻なのか
本人確認の「材料」が揃うという意味
現代の日本では、携帯電話の契約、銀行口座の開設、各種オンラインサービスの登録、レンタルサービスの申し込みなど、あらゆる場面で本人確認書類の提示が求められます。その代表が運転免許証です。
免許証の画像は、それ単体で何かができるわけではありません。しかし、氏名・住所・生年月日・電話番号・メールアドレスといった他の情報と組み合わされたとき、「本人になりすまして手続きを進める」ための材料が一通り揃ってしまいます。専門家からも、単なる情報漏えいとして片付けず、長期にわたり二次被害を警戒すべき事案だという指摘が出ています。
想定される二次被害の例
以下は、一般的にこの種の情報が悪用され得る例です。今回の件で実際に起きていると確認されているわけではありませんので、その点はご承知おきください。
- タイムズを装ったフィッシングメール・SMS・電話による、パスワードや認証コード、カード情報の詐取
- 氏名・住所・生年月日などを使った、詐欺電話や不審な勧誘
- 本人になりすました、携帯電話回線や各種サービスの不正な申し込み
- 金融・決済系サービスでの不正な口座開設や申請の試み
- 「あなたの個人情報が流出している」と不安をあおる、対策商品や有料サービスの売り込み
- 学生・若年層や法人担当者を狙った、状況に合わせた詐欺
「時間差」で使われるリスク
もうひとつ大切なのが、時間の問題です。盗まれた情報は、すぐに使われるとは限りません。数か月後、あるいは数年後に、別の事件で集められた情報と結びつけて使われることもあります。
「いまのところ被害がない」という公表の言葉は事実として受け止めつつも、安心材料と受け取りすぎず、長く警戒を続けることが重要です。
会員だった方が今日からできる具体的な対策
ここからは、実践的なチェックリストです。すべてを一度にやる必要はありません。優先度の高いものから順に進めてください。
今すぐやっておきたいこと
- 自分がタイムズカーやタイムズビジネスサービスの会員（または申込者）だったかどうかを思い出す
- 公式サイトの案内を確認し、対象者への個別案内（メールなど）が届いていないかを確認する
- タイムズカーと同じパスワードを使っているサービスがあれば、すべて別のパスワードに変更する
- 重要なサービス（メール、銀行、証券、SNS、携帯キャリア）で二段階認証を有効にする
- 「タイムズ」を名乗るメール・SMS・電話のリンクは開かず、必ず公式サイトやブックマークから確認する
数週間から数か月かけて行いたいこと
- 携帯キャリアや銀行、クレジットカード会社からの通知メールやSMSを、これまで以上に注意して確認する
- カードの利用明細を定期的にチェックし、身に覚えのない請求がないか確認する
- 身に覚えのない契約や督促が届いていないか、郵便物にも注意を払う
- 必要に応じて、信用情報機関で自分の信用情報の開示を検討する（不正な契約の有無を確認する手段のひとつです）
- 免許証の再交付などの対応が必要かどうかは、警察や免許センター、そして企業からの続報を確認したうえで判断する
不審な連絡を見分けるチェックポイント
公表では、タイムズ側がメール・SMS・電話でパスワードやクレジットカード情報を尋ねることはないと明言されています。この一文を、判断の基準として覚えておいてください。
- 「今すぐ対応しないとアカウントが停止される」など、焦らせる文面ではないか
- 差出人アドレスやURLが、公式のものと微妙に違っていないか
- パスワード、認証コード、カード番号、免許証番号などの入力を求められていないか
- 電話で「確認のためにお答えください」と個人情報を聞き出そうとしていないか
- 少しでも怪しいと感じたら、連絡先に記載された番号ではなく、公式サイトに掲載された窓口へ自分から連絡しているか
相談窓口
タイムズ側の会員向け問い合わせ窓口は、電話が0120-25-8924（24時間受付）、Webはタイムズカー公式の問い合わせフォームです。また、詐欺の被害に遭った、あるいは遭いそうな場合は、警察の相談専用電話「#9110」や、最寄りの警察署、消費生活センター（188）に相談できます。
業界関係者が見る、今回の本質：「本人確認書類をどう保管するか」
ここからは、46年この業界に身を置いてきた者として、今回の事案の底にある課題を考えたいと思います。以下は一般論であり、当該企業の内部事情について断定するものではありません。
免許証を「預かる」ことの重み
自動車業界では、契約、試乗、代車の貸出、名義変更の手続き、保険の手続きなど、免許証や身分証をお預かりする場面が非常に多くあります。私が業界に入った頃は、免許証のコピーを取り、書類に綴じて保管棚に並べるのが当たり前でした。
当時は紙でしたので、盗まれる危険も、持ち出せる量も物理的な限界がありました。しかしいまは、画像データとして、何百万件もの本人確認書類が、ひとつのシステムに集まる時代です。便利さと引き換えに、一度の事故で失われるものの規模が、桁違いに大きくなっているのです。
なぜ退会者や入会未完了者まで対象になるのか
今回、多くの方が驚いたのは、退会済みの方や、入会手続きを完了しなかった方まで対象に含まれていた点ではないでしょうか。
なぜそうなったのかという具体的な理由は公表されておらず、憶測で語るべきではありません。ただ一般論として、次のような事情でデータが残り続けることは、どの業界でもよくあります。
- 過去の利用履歴や請求の照会に対応するため、一定期間データを残している
- システムの設計上、退会処理をしても本人確認書類の画像が別の領域に残る
- 「いつ消すか」というルールが明確でなく、結果的に残り続ける
- 入会申込の途中で止まったデータの扱いが、そもそも決まっていない
いずれにしても、「利用が終わった人の本人確認書類が、なぜ手元に残っていたのか」は、今後の調査と再発防止策の中で、企業に説明が求められる論点になるでしょう。
個人情報保護法から見る、保管と削除の考え方
個人情報保護法では、事業者は、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めなければならないとされています（努力義務）。あわせて、個人データの漏えいなどを防ぐために、必要かつ適切な安全管理措置を講じることも求められています。
また、不正アクセスなどによる個人データの漏えいが発生した場合、個人情報保護委員会への報告と、本人への通知が義務づけられています。一般的には、速報は事態を知ったときから概ね3〜5日以内、確報は30日以内（不正の目的による漏えいなどの場合は60日以内）とされています。
今回、第1報から第2報まで3日、個人情報保護委員会と警察への報告も行ったと公表されています。これから確報、そして再発防止策の公表へと進んでいくことになります。
業界が学ぶべき「取らない・持たない・消す」
今回の件から、自動車業界に限らず、本人確認書類を扱うすべての事業者が持ち帰るべき原則は、突き詰めれば次の三つだと私は考えています。
取らない：本当に必要な情報だけを集める
免許証の画像そのものが必要なのか、確認だけで足りるのか。必要以上に集めない設計が、被害の最大値を小さくします。
持たない：確認したら画像を残さない仕組みにする
本人確認は「確認した事実」を記録すれば足りる場面も多く、画像を長期保管する必要がないケースもあります。持っていなければ、盗まれることもありません。
消す：利用が終わったら、期限を決めて確実に削除する
退会者や未完了者のデータについて、保管期間と削除の手順を明確に決め、実際に消えていることを定期的に検証する。地味ですが、もっとも効果のある対策のひとつです。
委託先やシステム全体を含めた管理の難しさ
大規模なサービスでは、Webシステム、アプリ、外部の認証サービス、委託先の運用会社など、多くの要素がつながっています。一箇所が破られたとき、その影響がどこまで及ぶかを常に把握しておくことは、想像以上に難しい作業です。
私は、今回の企業を一方的に責めるつもりはありません。むしろ、この規模のシステムを運営する難しさは、業界の人間としてよくわかります。だからこそ、公表された情報を丁寧に見守り、原因と再発防止策がどこまで開示されるかを、冷静に見極めたいと考えています。
自動車業界の現場から：免許証の取り扱いで変わっていくこと
お客様が身分証を出すことへの、これからの目線
今回の事案を受けて、今後、お客様の側も「なぜ免許証が必要なのか」「どのくらい保管されるのか」を、以前より気にされるようになるはずです。
私たち業界の人間は、これまで以上に「必要な場面で、必要な範囲だけをお預かりし、用が済んだら確実に返却・廃棄する」という基本を徹底する責任があります。
私たちが日頃から意識していること
- コピーを取る場合は、目的を説明したうえで、必要最小限にとどめる
- 保管する書類は、鍵のかかる場所や権限を絞った管理に限る
- 保管期間を決め、期限が来たら確実に廃棄する
- 廃棄するときは、復元できない方法（裁断など）で処理する
- スタッフ全員に、個人情報の重要性を繰り返し伝える
こうした基本は、決して派手ではありません。しかし、長い経験のなかで痛感するのは、大きな事故は、たいてい「基本の緩み」から始まるということです。
利用者の方が、身分証を出すときに確認したいこと
- 何のために、どの範囲まで使われるのかを説明してもらえるか
- 画像や写しを保管するのか、確認だけで終わるのか
- 退会した場合、その情報はどうなるのか
- 問い合わせ窓口が明確に案内されているか
これは、企業を疑うためではなく、お互いが安心して取引をするための、当たり前の確認だと考えていただければと思います。
今後の注目ポイント：企業の続報で何を見るべきか
第2報の公表文では、再発防止策について、実施済みの対策と今後の中長期的な対策、その実施予定時期を整理したうえで続報で公表するとされています。続報では、次のような点が明らかになるかどうかに注目したいと思います。
- 侵入経路と原因（脆弱性の種類、設定不備の有無など）
- 侵入や情報取得が始まった時期と、漏えいまでの期間
- 各アカウントで実際にどの情報が漏れたのかの内訳
- 本人確認書類の画像の保管方法と、保管期間・削除ルールの見直し
- 対象者への個別案内の内容と、二次被害への補償・サポート
- 再発防止策の具体的な内容と実施時期
これらが具体的に開示されるほど、利用者は自分の身を守る判断がしやすくなります。続報が出た際には、この記事もあらためて更新してお伝えする予定です。
よくある質問（FAQ）
Q1. 退会済みですが、自分も対象になりますか？
公表では、現会員だけでなく退会済みの方、入会手続きが完了しなかった方も対象に含まれています。対象者には順次個別の案内があるとされていますので、公式サイトと登録メールアドレスの受信を確認してください。
Q2. クレジットカードは止めたほうがいいですか？
公表では、クレジットカード情報は漏えいしていないことが確認されています。現時点で慌てて止める必要は高くありませんが、利用明細を定期的に確認し、不審な請求があればすぐにカード会社へ連絡してください。
Q3. パスワードは変更すべきですか？
公表では、復元できない形式で保管されていたため、パスワードを用いた不正利用のおそれはないとされています。ただ、保管方式の詳細は公表されていません。同じパスワードを他のサービスで使い回している場合は、念のため変更しておくことを強くおすすめします。
Q4. 「タイムズ」からメールやSMSが来ました。開いても大丈夫ですか？
まずは、リンクを開かず、添付ファイルも開かないでください。公表では、タイムズ側がメール・SMS・電話でパスワードやカード情報を尋ねることはないとされています。確認したい場合は、届いたメッセージのリンクではなく、公式サイトや公式アプリから確認してください。
Q5. 免許証を再発行したほうがいいですか？
現時点で、企業や警察から再発行を推奨する案内は示されていません。必要性については、今後の続報や警察・免許センターの案内を確認したうえで判断するのが確実です。不安な場合は、まず最寄りの警察署や免許センターに相談してみてください。
Q6. 今回のことで、カーシェアは使わないほうがいいのでしょうか？
サービスは通常どおり利用できると公表されています。私自身は、カーシェアやレンタカーという仕組みそのものを否定するのではなく、「本人確認書類を預ける相手が、どのような管理をしているか」を意識して選ぶ時代になったと捉えています。今後の再発防止策の内容も、選ぶ際の判断材料になるでしょう。
まとめ：業界関係者として伝えたいこと
今回のタイムズカーの不正アクセスについて、ポイントを改めて整理します。
- 2026年9月25日に検知され、9月28日の第2報で約660万件（最大値）の漏えいが公表された
- 対象は現会員だけでなく、退会者や入会未完了者、法人会員にも及ぶ
- 氏名・住所・生年月日・電話番号・メールアドレスに加え、運転免許証や学生証の画像なども含まれる
- クレジットカード情報は漏えいしておらず、パスワードは復元できない形式で保管されていた
- 現時点で不正利用は確認されていないが、なりすまし・フィッシングには長期的な警戒が必要
- 原因・侵入経路・再発防止策は続報待ちで、今後の開示に注目したい
46年間、この業界にいて思うのは、お客様の信頼は、クルマそのものの品質だけでなく、個人情報の預かり方にも宿るということです。便利なサービスが増えるほど、その裏側で「何を、どこに、いつまで保管しているのか」という問いは、重くなっていきます。
利用者の皆さまには、慌てず、しかし油断せず、今日できる対策から一つずつ進めていただきたいと思います。そして私たち業界に身を置く者は、この出来事を「他社の事故」として終わらせず、日々の基本を見つめ直すきっかけにしていきたいと考えています。
続報が出た際には、この記事も更新してお伝えします。
参考にした情報源
本記事は、2026年9月29日時点で公表されている以下の情報をもとに作成しました。状況は変わる可能性があるため、最新の情報は必ず公式の発表をご確認ください。
- パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日）
- パーク24「タイムズカーWebサイトへの不正アクセスによる個人情報漏えいの可能性について（第1報）」（2026年9月25日）
- タイムズカー公式 お問い合わせページ
- 西日本旅客鉄道（WESTERサービス）「タイムズカーWebサイトへの不正アクセスについて」（2026年9月25日）
- 日経クロステック「タイムズカー、最大660万件の個人情報が漏洩 免許証に加え学生証も対象」（2026年9月29日）
- piyolog「タイムズカーWebサイトへの不正アクセスについてまとめてみた」（2026年9月28日）
- 読売新聞オンライン（Yahoo!ニュース配信）「『タイムズカー』のシステムに不正アクセス、個人情報660万件漏えい…クレカ情報は含まれず」（2026年9月28日）
