タイムズカーは、パーク24グループのタイムズモビリティが運営するカーシェアサービスです。
全国のタイムズの駐車場に置かれた車を、アプリやカードで予約し、必要な時間だけ借りられます。
その「タイムズカー」を運営するタイムズモビリティ（パーク24グループ）は、9月25日9時7分に外部からの不正アクセスを検知しました。
結論から言うと、今回の最大の問題は、簡単には変えられない本人確認書類の情報が、退会した人まで含めて大量に流出したことです。
クレジットカードのように「番号を変えれば終わり」とはいきません。
660万件の情報漏えい
9月26日7時25分までに、侵入経路と攻撃元との通信を遮断しています。
現在も監視を続けていて、新たな不正アクセスは確認されていないとのことです。
当初の9月25日の発表は「漏えいの可能性」でした。
しかし9月28日の第2報で、約660万件のアカウント情報が第三者に取得されたことが確認されたと発表されました。
対象になるのは次の方々です。
- タイムズカーの会員と、退会済みの方
- 入会を申し込んだものの、手続きが完了していない方
- タイムズビジネスサービスの会員と、退会済みの方
漏えいした情報は人によって異なりますが、次のものが含まれます。
- 氏名、住所、生年月日、電話番号、メールアドレス
- 運転免許情報、運転免許証の画像などの本人確認書類情報
- パスワード
- 連携サービスID（JR西日本グループのWESTER IDなど計9件）
- 法人会員の所属部署名
一方で、会社は次の点を説明しています。
- クレジットカード情報は漏れていない
- パスワードは復元できない形式で保管していた
- 情報が公開されたり、不正に使われたりした事実は今のところ確認されていない
個人情報保護委員会と警察への報告は済んでいて、外部の専門機関による調査も進行中です。サービス自体は通常どおり使えます。
問題点1：運転免許証の画像が漏れた
いちばん深刻なのは、免許証の画像まで流出したことです。
免許証は、日本で最もよく使われる本人確認書類です。
氏名、住所、生年月日、免許番号と画像がそろえば、口座開設、携帯電話の契約、各種オンラインサービスの申し込みで、なりすましに使われる恐れがあります。
クレジットカードは再発行すれば番号が変わります。
しかし免許証は、再発行しても記載内容はほとんど同じです。SNSでは「免許証の本人確認としての信頼性が下がったのでは」という声も出ています。
問題点2：退会した人や未完了の人も対象
今回は、今使っている会員だけが対象ではありません。何年も前に退会した人や、申し込みだけして使わなかった人も含まれます。
「もう使っていないから関係ない」と思っていた人が、実は対象になっている可能性があります。
実際にSNSでも、10年近く前に登録した人や、一度も乗らずに退会した人が不安を書き込んでいます。
問題点3：なぜ本人確認の画像を持ち続けていたのか
タイムズカーの公式FAQでは、退会後の個人情報は約7年間保管し、その後に消去すると説明されています。
理由は、法令で取引記録の保管が義務づけられているためです。
ただし、保管が必要なのは「取引の記録」です。免許証の画像そのものまで残す必要があったのかは、別の問題です。
使い終わった本人確認の画像を、サーバーに置き続けていた運用そのものが問われています。
また、オンラインでの本人確認（eKYC）の方式の一つに、本人確認書類の画像と顔画像を送る方法があります。
この方式は2027年4月1日に廃止される予定です。
今回の件を受けて、SNSでは「廃止を前倒しすべきだ」という声も出ています。
画像だけで本人確認を済ませる仕組みに、限界が来ているのかもしれません。
問題点4：被害が長引き、利用者の負担も重い
想定される悪用の例は次のとおりです。
- 消費者金融やクレジットカードの不正な申し込み
- 携帯電話などのなりすまし契約
- 詐欺メールや詐欺電話への利用
- SNSの不正アカウント作成
信用情報機関に「情報漏えいの被害を受けた」と本人が申告する方法もあります。
ただ、利用者からは「手数料がかかる」という声が出ています。
被害者が自分でお金と手間をかけて身を守らなければならないのは、納得しにくい面があります。
問題点5：原因と再発防止策がまだ見えない
初動は比較的早かったと言えます。
検知から約22時間で、侵入経路を遮断しています。
しかし、「いつから侵入されていたのか」「どこから入られたのか」「なぜこれだけ大量のデータが取り出せたのか」は、まだ公表されていません。
再発防止策についても、会社は「続報で公表する」としているだけです。
まとめ
過度に不安がる必要はありませんが、不安な方は以下のことをしてみてください。
- 会社を装った連絡に注意する：メール、SMS、電話のリンクは開かず、パスワードやカード情報も入力しないでください。会社がそれらを聞くことはありません。
- 同じパスワードを使い回していないか確認する：パスワードは復元できない形で保管されていたとされています。それでも、他のサービスと同じなら変更しておくと安心です。
- 身に覚えのない請求や契約がないか確認する：カードの利用明細、届いた郵便物、登録した覚えのないサービスからの通知に目を配りましょう。
- 公式の案内を待つ：対象者には、順次個別に連絡が届く予定です。情報は公式サイトで確認してください。
- 不安なときは窓口に相談する：問い合わせ窓口は0120-25-8924（24時間）です。
今回の事件は「個人情報が漏れた」だけの話ではありません。
変えられない本人確認情報が大量に流出したことで、被害が長く続く恐れがあります。
企業には、セキュリティの強化に加えて、「本当に必要な情報だけを、必要な期間だけ持つ」という基本に立ち返ることが求められます。
私たち利用者も、どのサービスにどんな書類を預けているのかを、この機会に見直す必要があるのかもしれません。
今後の調査結果と再発防止策の発表には、引き続き注目したいと思います。
