タイムズカー660万件流出、免許証画像が​漏れた​人が​今日やる​こと

2026年9月25日、パーク24グループのカーシェアリング「タイムズカー」のWebシステムが不正アクセスを受け、約660万件の会員情報と、約160万件の運転免許証などの本人確認書類画像が漏えいしたことが公表されました。国内の個人向けサービスとしては、流出した情報の「質」がこれまでにない事件です。

この記事では、煽らずに事実だけを時系列で整理したうえで、「自分は対象なのか」「漏れた情報で何ができてしまうのか」「今日何をすればいいのか」を、優先順に書きます。

何が起きたか（時系列）

侵入経路の詳細はフォレンジック調査中で、公表されていません（2026年10月9日時点）。一次情報は、パーク24の第1報・第2報を確認してください。経緯の整理はpiyolog のまとめが詳しいです。

誰が対象か

会社の発表では、次の人が対象です。

• タイムズカーの会員、および2019年9月末以降に退会した元会員
• 入会を申し込んだが入会完了していない人
• タイムズビジネスサービス（法人向け）の会員・元会員
• JR西日本グループ「WESTER ID」など、連携サービスのIDを登録していた人

「もう使っていない」人ほど忘れている

氏名・住所・生年月日などは税法等に基づき7年間、免許情報と本人確認書類は「なりすまし対策や問い合わせ対応のため」7年間保管されていました。退会済みでも対象になるのはこのためです。時事通信の記事では、専門家が「本人確認をした時点で削除すべきだった」と指摘しています。約660万件という数字は実人数ではなく、個人と法人の二重登録や複数回の入会など重複を含むとされています（日経クロステック）。

作成者 矢嶋

漏れた項目と、それで何ができてしまうのか

漏えいした可能性のある項目は、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報・本人確認書類の画像・パスワード（復元できない形式）・連携サービスIDです。

1. 連絡先が揃うと「本物そっくりの連絡」が作れる

攻撃者が最初にやるのは、漏れた情報を使ったフィッシングです。あなたの本名と、実際に使っているサービス名を知ったうえで「タイムズカーの本人確認が必要です」「補償のお手続きはこちら」といったメール・SMS・電話をしてきます。パーク24自身も、自社を装った連絡への注意を呼びかけています。

2. 免許証の画像は「本人確認」を突破する材料になる

3. パスワードは復元できない形式。ただし使い回しは危険

パスワードはハッシュ化されており、そのままでは読めません。ただし、推測されやすいパスワードは解析される可能性があり、同じパスワードを他のサービスでも使っていれば、そちらが狙われます。これは過去のほぼすべての漏えい事件で起きてきた「リスト型攻撃」の入口です。

今日やること（優先順）

対象の可能性がある人は、以下を上から順に進めてください。合計で1時間かかりません。

1. 「タイムズ」を名乗る連絡のリンクは踏まない0分・今日から

2. タイムズと同じパスワードのサービスを変更所要 15〜30分

メールアドレスとパスワードの組み合わせは、他サービスへのログインに機械的に試されます。心当たりがあるサービスから順に、別のパスワードに変えてください。この機会にパスワードマネージャーを使い始めるのが、一番確実な解決策です。

3. 主要サービスの2段階認証をオンにする所要 15分

Google・Apple・Amazon・ネット銀行・証券口座・SNS。パスワードが漏れても、2段階認証があれば乗っ取りは防げます。

4. 免許証画像が漏れた人は信用情報機関に本人申告所要 20分

なりすまし契約の抑止に直接効きます。JICCは問い合わせ殺到でアプリの新規受付を一時停止したこともあるので、空いている時間に進めてください。

5. 免許証の再発行は、焦らなくていい

免許証の番号そのものは変わらず、再発行しても画像の悪用を防ぐ効果は限定的です。警察や運転免許センターの案内を確認し、本人申告（4）を優先してください。

6. 自分のアドレスが「他の事件」で漏れていないか確認

タイムズカーの件は公表から日が浅く、公開の漏えいデータベース（Have I Been Pwned）には2026年10月9日時点でまだ登録されていません。ただ、今回のメールアドレスが過去の別の事件で漏れていれば、攻撃者の手元にはすでに「名簿」があります。当サイトの無料チェックで、過去の漏えい事件に含まれているかを10秒で確認できます。登録不要で、パスワードの入力は求めません。

会社側の対応と、これから

パーク24は、対象者へ約2週間をめどに個別に通知し、補償については外部専門機関の調査結果を踏まえて検討するとしています。集団訴訟の準備サイトには1万人超が登録したと報じられています。

この事件で問われているのは「退会後も本人確認書類を7年間、外部から到達できる場所に保管していた」というデータ管理です。個人情報保護法は、不要になった個人データを遅滞なく消去する努力義務を定めています。利用者としてできるのは、使わなくなったサービスは退会するだけでなく、本人確認書類の削除を依頼できるか確認すること。多くのサービスは問い合わせれば削除に応じます。

まとめ

参考・出典

• パーク24 第2報
• piyolog（経緯の整理）
• 日経クロステック
• 時事通信
• JPCERT/CC 注意喚起（2026年10月8日）