タイムズカーのWebシステムへの不正アクセス

経緯

タイムズモビリティは第5報で、外部専門機関のフォレンジック調査の結果、Webシステムに存在した脆弱性が悪用されて発生したものと判断したと説明した⁠［5］。攻撃者は脆弱性を悪用してシステムに侵入した後、システム内の情報を探索し、取得した情報を使ってデータベースとファイル領域にアクセスしていた⁠［5］。攻撃手法の詳細とシステム構成は、二次被害を防ぐ観点から公表を差し控えるとした⁠［5］。

9月25日の第1報では、第三者がシステムにアクセスした形跡を確認したと説明していた⁠［1］。漏えいした可能性のある情報には、氏名・住所・生年月日・電話番号・メールアドレス・会員番号・免許情報・本人確認書類・法人会員情報・連携サービスIDなどを挙げた⁠［1］。

9月28日の第2報でタイムズモビリティは、不正アクセスを受けたシステムに保存されていた一部の会員情報が、第三者に取得されたことを確認したと説明した⁠［2］。監視を続けており、新たな不正アクセスは確認されていないとした⁠［2］。サービス提供への影響は確認されておらず、各種サービスは通常どおり続けていた⁠［2］。

目次へ

時系列

目次へ

影響範囲

タイムズモビリティの8月17日の発表では、タイムズカーの会員数は400万人を突破した⁠［23］。

第2報に挙がった対象は、タイムズカー会員と退会した人（入会を申し込んで完了していない人を含む）、タイムズビジネスサービス会員と退会した人である⁠［2］。漏えいしたアカウント数は約660万件だった⁠［2］。パスワードは復元できない形式で保管しており、アカウントが不正に利用される恐れはないとした⁠［2］。

第5報の説明では、タイムズビジネスサービスに「カンタン入会」で入会した人の契約情報をタイムズカーWebシステムで管理しているため、駐車場のみ（クレジットカード払い）を契約している人の情報も含まれる⁠［5］。会員管理とシステム運用のための識別情報も、アクセスされて外部送信された痕跡があった⁠［5］。タイムズモビリティは、これらの件数は外部専門機関の調査に基づく最終件数で、追加の対象範囲は確認されていないと説明した⁠［5］。

本人確認書類の画像は暗号化した状態で保管していたため、痕跡が確認されても直ちに画像の内容を閲覧できる状態になったことを意味しないと、タイムズモビリティは第5報で説明した⁠［5］。外部送信された暗号化データは、将来の復号の可能性を完全には否定できないともした⁠［5］。タイムズモビリティの質問と回答の資料によると、外部に送信された場合とアクセスされただけの場合をあわせて「漏えい（または漏えいのおそれ）」として公表している⁠［6］。

クレジットカード情報について、第2報は漏えいしていないことを確認したと書いていた⁠［2］。タイムズクラブWebシステムで漏えいしたカード番号の下4桁は、決済情報の非保持化に対応しており全桁とセキュリティコードを保持していないため、不正に利用されるおそれはないと第5報で説明した⁠［5］。

タイムズモビリティは第2報で、情報が不特定多数に公開された事実と、個人情報の不正利用などの事実は確認されていないとした⁠［2］。第5報では、把握している範囲で、漏えいした情報が売買・公開されたことを示す事実は確認されていないと説明した⁠［5］。タイムズモビリティは想定されるリスクとして、フィッシングメールやフィッシングサイトによる詐欺、なりすましによる申込みや問い合わせ、不正勧誘、個人情報の悪用を挙げた⁠［5］。

目次へ

対応と現状

再発防止策と調査委員会

第5報の発表では、侵入経路、攻撃者の行動、影響範囲を調べ、確認された侵害経路への対策を終えた⁠［5］。同じ構成のシステムの点検と脆弱性対策を行い、監視と検知を強める追加の対策も実施した⁠［5］。外部専門機関と連携してダークウェブを含む情報の流通状況の監視を続け、実害の発生状況も確かめる⁠［5］。

タイムズモビリティは、外部専門家の助言も踏まえて情報セキュリティ強化策を策定し、順次実施するとした⁠［5］。社外取締役を中心に外部専門家を加えた調査委員会で、グループの内部統制とガバナンスを検証する⁠［5］。具体的な情報セキュリティ強化策とガバナンス強化策は、年内を目処に公表する予定である⁠［5］。

保有ルールの変更と削除

タイムズモビリティは10月16日の第4報で、会員登録時に提出を受けた運転免許証などの本人確認書類の画像を、会員期間中と退会後7年間保有していたと説明した⁠［4］。登録時の本人確認のほか、「不正利用が疑われる事案への対応」、問い合わせ対応、各種の本人確認業務に使う目的だった⁠［4］。従来は、社内ルールで保有が不要になった画像と、本人の請求があった画像を削除していた⁠［4］。

第4報で、会員登録の完了後は画像を保有しない社内ルールに変え、いま保有している画像は申し出の有無にかかわらず10月末までに削除するとした⁠［4］。第5報によると、画像は削除するが、保存していた画像との同一性を確かめるための情報は保全している⁠［5］。

タイムズモビリティは質問と回答の資料で、氏名・住所・生年月日は法人税法などに基づいて7年間保管していると説明した⁠［6］。運転免許情報と画像は、なりすまし対策や問い合わせ対応のため7年間保管していた⁠［6］。

会員への通知と見舞金

第5報の発表では、影響を受けた人に個別の通知をしている⁠［5］。質問と回答の資料によると、メールには配信したときに漏えいを確認していた情報を書いている⁠［6］。退会した人には、登録された連絡先が今も有効とは限らないため、慎重に案内を進めている⁠［6］。

本人確認書類の画像データへのアクセスと外部送信の痕跡が確認された人には、見舞いとして3,000円相当の現金か金券を渡す⁠［5］。対象の範囲は、利用者への影響と負担も踏まえて決めた⁠［5］。質問と回答の資料によると、見舞いの金額は、信用情報機関の本人申告制度の利用に伴う費用負担なども検討要素の一つとして参考にしたが、特定の制度の利用を前提にしたものではない⁠［6］。

パーク２４は10月1日、タイムズカーの不正アクセスの問い合わせが多く、電話がつながりにくくなっているとタイムズクラブのサイトで告知した⁠［10］。パーク２４は10月29日の告知で、タイムズクラブの個別の案内はメールマガジンの受信を「希望する」に設定している会員に送るとした⁠［11］。11月4日の告知では、個別の連絡を受けていない人は、個人を特定できる情報の漏えいは確認されていないと説明した⁠［12］。

パーク２４の業績予想

パーク２４は10月23日の適時開示で、見舞金と諸対応の費用として、特別損失5,500百万円を計上する見込みだとした⁠［8］。2026年10月期の通期連結業績予想も修正し、親会社株主に帰属する当期純利益の予想を44,000百万円から38,500百万円にした⁠［8］。公表の直後、モビリティ事業で会員数の推移に一定の影響がみられたが、1日あたりの売上高は発生前の水準を維持しているとした⁠［8］。

関係組織と行政の動き

JR西日本は9月25日、WESTERポータルにタイムズカーWebサイトへの不正アクセスの告知を出した⁠［18］。10月23日の続々報でJR西日本は、パーク２４グループの調査の結果、WESTER IDは漏えいしていなかったことが確認されたと説明した⁠［17］。JR西日本のシステムへの不正アクセスは発生しておらず、WESTERのパスワードはJR西日本が管理しており、今回の不正アクセスで流出するものではないとした⁠［17］。他のサービスと同じパスワードを使っている利用者には、異なるパスワードへの変更の検討を求めた⁠［17］。

デイリースポーツが掲載した共同通信の10月7日の配信記事によると、国土交通省は業界団体に情報漏えい対策の点検を要請し、10月30日までに取り組み状況の報告を求めている⁠［21］。国土交通省は、免許証画像などの流出は「利用者の不安を引き起こし、レンタカー事業の信頼を揺るがす恐れがある」としている⁠［21］。静岡県警察は、タイムズカーWebサイトへの不正アクセスで運転免許証の画像などが漏えいした人は、免許証の再交付を申請できると告知した⁠［20］。

目次へ

未公表の事項

• 悪用された脆弱性の種類と、脆弱性のあった製品
• 漏えいの対象となった人数
• 攻撃者とその目的
• タイムズクラブWebシステムへの侵入の経路と、タイムズカーWebシステムへの不正アクセスとの関係（タイムズモビリティは第5報で「本事案に関連して」確認されたと説明した⁠［5］）
• 見舞いの内容と渡し方（タイムズモビリティは検討中で、決まり次第対象者に案内するとした⁠［5］）

注

• 〔注1〕第3報は、本人確認書類が漏えいしたアカウント数を約160万件としていた⁠［3］。第5報は、外部送信の痕跡の無い891,602件と合わせて計2,356,402件とした⁠［5］。
• 〔注2〕第2報は、連携サービスIDを「JR西日本グループの会員サービスWESTER ID」等の計9件としていた⁠［2］。第5報は調査の結果で件数を改め、WESTER IDは0件だったとした⁠［5］。
• 〔注3〕第2報は警察への「報告」と書いた⁠［2］。第5報の経緯の表は「警察への相談開始」と書いた⁠［5］。質問と回答の資料は、警察庁に相談していると説明した⁠［6］。

出典

更新記録

• 2026年9月29日：公開した。
• 2026年10月1日：タイムズモビリティの第1報の10月1日の追記（出典1）と質問と回答の資料（出典6）、パーク２４の窓口の混雑の告知（出典10）を加え、「時系列」と「対応と現状」を改めた。
• 2026年10月7日：国土交通省の点検の要請を伝えた共同通信の配信記事（出典21）を「時系列」と「対応と現状」に加えた。
• 2026年10月16日：タイムズモビリティの第4報（出典4）と静岡県警察の再交付の告知（出典20）を加え、「対応と現状」に画像の保有の見直しと再交付を書いた。
• 2026年10月23日：タイムズモビリティの第5報（出典5）、質問と回答の資料の改訂（出典6）、パーク２４の適時開示2件（出典7、8）、JR西日本の続々報（出典17）を加え、リード、「経緯」「影響範囲」「対応と現状」を改め、件数の差を「注」に書いた。
• 2026年10月29日：パーク２４のタイムズクラブの個別の案内の告知（出典11）を「時系列」と「対応と現状」に加えた。
• 2026年11月4日：パーク２４の個別の案内の完了の告知（出典12）を「時系列」と「対応と現状」に加えた。

目次へ