タイムズカー ― 会員情報と本人確認書類の画像が流出

要点

発表された事実

タイムズモビリティは2026年9月25日9時07分、タイムズカーのシステムへの不正アクセスを検知し、第三者がアクセスした形跡を確認した。9月26日7時25分までに経路の遮断と攻撃元との通信遮断を完了した（第1報、第2報）。
9月28日の第2報で、システムに保存されていた会員情報の一部が第三者に取得されたことを確認し、漏えいしたアカウントは約660万件と公表。対象は現会員・退会者・入会手続きが完了しなかった人と、法人向けのタイムズビジネスサービス会員・退会者（第2報）。
漏えいした情報は氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類、パスワード（復元できない形式）、連携サービスID（WESTER ID など計9件）など。クレジットカード情報は保有しておらず対象外（同上、FAQ）。
9月29日の第3報で、本人確認書類が漏えいしたアカウントは約160万件と公表。運転免許証画像、現住所確認書類画像（公共料金の請求書など）、学生証画像、家族確認書類画像が含まれる（第3報）。
退会後も、氏名・住所・生年月日は税法等に基づき、運転免許情報と画像はなりすまし対策や問い合わせ対応のため、7年間保管していたと説明している（FAQ）。
【2026-10-06追記】広島県公安委員会は、流出を受けて希望者に運転免許証を再交付する特例の受付を10月1日から始めた。再交付では顔写真や免許証番号を変えられる。通常、再交付は紛失や住所変更などの場合に限られる。県警の担当者は「再交付で、流出した免許証画像の悪用を防げるわけではないが、不安に対応することにした」と話している（朝日新聞、2026-10-06）。タイムズカー側からは、第3報以降の新しい発表は10月6日時点で出ていない。
【2026-10-07追記】国土交通省は10月1日付の文書で、カーシェア事業者も加盟する全国レンタカー協会に、個人情報の漏えい対策の点検と再発防止の徹底を要請し、10月30日までに取り組み状況を報告するよう求めた。免許証画像などの流出は「利用者の不安を引き起こし、レンタカー事業の信頼を揺るがす恐れがある」としている（共同通信（沖縄タイムス＋プラス）、2026-10-07、NHKニュース、2026-10-07）。
【2026-10-07追記】岡山県公安委員会は10月1日から、岐阜県公安委員会は9月末から、流出を受けた運転免許証の特例の再交付を受け付けている。岐阜県警の担当者は「懸念される悪用が100％防げるかは断言できないが、漏えい内容と違う内容が登録されるので、一助にはなる」と話している（KSBニュース、2026-10-07、読売新聞、2026-10-07）。
【2026-10-07追記】弁護士が開設した集団訴訟の準備サイトの登録者は、10月7日時点で約6万4000人になった（TBS NEWS DIG、2026-10-07）。タイムズカー側の公式発表は、10月7日時点でも第3報（10月1日追記）が最新。
【2026-10-08追記】特例の再交付は、島根県・石川県・静岡県・宮城県でも行われていると報じられた。島根県公安委員会は希望者の再交付申請を特例で認める運用を始め、手数料は1500〜2700円で、免許証の画像と免許証番号の末尾が変わる（読売新聞オンライン／Yahoo!ニュース、2026-10-08）。石川県公安委員会の手数料はカード型2600円、マイナ免許証1500円で、実際に再交付を受けた人もいる（MRO北陸放送／Yahoo!ニュース、2026-10-08）。静岡県公安委員会では10月7日午前までに1人が申請した（静岡朝日テレビ／Yahoo!ニュース、2026-10-08）。宮城県運転免許センターは9月末ごろから受け付けており、これまでの再交付は約30件（FNNプライムオンライン、2026-10-08）。
【2026-10-09追記】西日本新聞の各県警への取材によると、九州7県でもタイムズカーの流出に絡む免許証の再交付申請が相次ぎ、10月6日時点の受理件数は福岡県75件、佐賀県5件、長崎県6件、熊本県16件、大分県3件、宮崎県0件、鹿児島県は「少なくとも7件」で、いずれも再交付した。警察庁は「再交付の特例に当たる」と判断した一方、担当者は「再交付によって悪用を完全に防げるとは言い難い」と話している（西日本新聞me／Yahoo!ニュース、2026-10-09）。
【2026-10-10追記】新潟県公安委員会も10月2日から、情報が流出した可能性がある人を対象に特例で免許証の再交付を認めている。顔写真の変更に加えて免許証番号の繰り上げもでき、手続きの期限は設けていない。手数料は自己負担（NST新潟総合テレビ）。島根県では8日時点で計13件の申請があった（朝日新聞）。
【2026-10-11追記】時事通信（10月11日配信）によると、警察庁は、なりすましによる金融口座の不正開設やクレジットカード契約への懸念から、関係業者に手続き時の本人確認の徹底を要請した。流出を受けて、ほぼ全ての窓口で免許証の再交付を認める運用をしているが、再交付で変わるのは顔写真と12桁の番号のうち末尾の再交付回数だけで、住所や生年月日はすでに渡っており、事業者側も更新後の免許証かどうかを確かめるすべがないため、犯罪抑止の効果は限られるという。2027年4月からは改正犯罪収益移転防止法により、金融機関などにマイナンバーカードや免許証のICチップ読み取りによる本人確認が義務付けられ、画像だけではなりすましができなくなる（時事ドットコム）。熊本県警では、この問題に絡む再交付の申請が8日までに26件あった（読売新聞オンライン）。
【2026-10-12追記】読売新聞（10月11日）によると、愛知県公安委員会も漏えいの可能性がある人を対象に、10月1日から免許証の再交付申請を受け付けている。県警に再交付の相談が複数寄せられたためで、免許証番号と顔写真を変更でき、手数料は1500〜2700円。運転免許試験場では7日までに74人に再交付した。試験場のほか東三河運転免許センターと県内23署で受け付けている（読売新聞オンライン）。
【2026-10-13追記】RNC西日本放送（10月13日）によると、香川県公安委員会も流出した可能性がある人を対象に免許証の再交付を認める特別措置を始め、10月1日から7日までに10件以上を交付した。県運転免許センターと3つの免許更新センターで受け付けている。県運転免許センターは「再交付は情報の悪用自体を防ぐものではない」として、変更後も個人情報に注意するよう呼びかけた（RNC NEWS NNN）。
【2026-10-17追記】タイムズモビリティは10月16日の第4報で、本人確認書類画像の保有ルールを見直すと発表した。これまでは会員期間中と退会後7年間保有していたが、今後は登録確認の完了後に即時削除する。現在保有している画像は、本人の申し出の有無にかかわらず2026年10月末までに削除する（タイムズモビリティ第4報）。
【2026-10-17追記】第3報で「2週間程度を目処」としていた外部専門機関の調査結果を踏まえた案内は、調査に時間を要しているとして10月23日（金）に変更した（同）。
【2026-10-19追記】NHK（10月19日）によると、福井県公安委員会も、漏えいの可能性がある人のうち希望者を対象に、運転免許証の再交付を受け付けている（NHK）。
【2026-10-20追記】読売新聞（10月20日）によると、宮崎県公安委員会も、漏えいの疑いがある希望者を対象に運転免許証の再交付申請を特例で受け付ける運用を始めた。全国的に影響が大きいことや被害者保護の観点から、県公安委が再交付を相当と認めた。再交付で顔写真が変わり、免許証番号の末尾が1桁繰り上がる。手数料は2600円で、19日までに22件の申請があった。各運転免許センターと警察署で受け付け、即日交付を希望する場合はセンターで申請する（読売新聞オンライン）。
【2026-10-25追記】タイムズモビリティは10月23日の第5報で、外部専門機関のフォレンジック調査を同日終えたと発表した。氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報について外部送信の痕跡が確認されたのは6,628,007件。暗号化して保管していた本人確認書類画像は、外部送信の痕跡ありが1,464,800件、アクセスされたが送信の痕跡がないものが891,602件（計2,356,402件）で、これまでの「約160万件」から改めた。暗号化されていたため直ちに閲覧可能になったとは限らないが、将来の復号の可能性は完全には否定できないとしている（タイムズモビリティ第5報、タイムズカー第5報）。
【2026-10-25追記】第5報によると、ハッシュ化されたパスワードの外部送信は4件。連携サービスIDは第2報の9件から4件に訂正し、WESTER IDは0件だった。調査では別システム「タイムズクラブWebシステム」への不正アクセスも確認され、タイムズクラブカード番号19,510件、連携サービスID 135,436件、クレジットカード番号の下4桁28件などの外部送信の痕跡があった。最終件数は上記のとおりで、追加の対象範囲は確認されていないとしている（同上）。
【2026-10-25追記】原因は、Webシステムに存在した脆弱性が悪用されたことと判断した。攻撃者は脆弱性を突いて侵入した後、システム内を探索し、取得した情報を使ってデータベースとファイル領域にアクセスしていた。攻撃手法の詳細は二次被害防止のため公表しない。侵害経路への対策は完了し、同じ構成のシステムの点検と監視強化も実施した。漏えいした情報が売買・公開された事実は現時点で確認されていない（同上）。
【2026-10-25追記】パーク24は、本人確認書類画像の外部送信の痕跡が確認された会員に、お見舞いとして3000円相当の現金または金券を渡すと発表した（産経ニュース、2026-10-23）。

わかったこと

【2026-10-17】本人確認書類画像は今後保有せず、保有中の画像は10月末までに全削除する。詳細な案内は10月23日に延期（タイムズモビリティ第4報）。
【2026-10-25】侵入経路・原因：Webシステムの脆弱性の悪用。手法の詳細は非公表（第5報）。
【2026-10-25】最終件数：アカウント情報6,628,007件、本人確認書類画像は外部送信の痕跡あり1,464,800件・アクセスのみ891,602件。タイムズクラブWebシステムへの不正アクセスも判明（同上）。
【2026-10-25】補償：画像の外部送信の痕跡が確認された会員に3000円相当の現金または金券（産経ニュース）。
【2026-10-25】再発防止策：侵害経路への対策完了、同一構成システムの点検、監視・検知の強化（第5報）。

わかっていないこと

攻撃手法の詳細（【2026-10-25追記】原因は脆弱性の悪用と判明したが、手法の詳細は二次被害防止のため非公表）
漏えいデータの公開・不正利用の有無（【2026-10-25追記】第5報時点で売買・公開の事実は確認されていない。ダークウェブを含む監視は継続）

関係しそうな既知の手口

（考察）免許証画像と現住所の書類画像が組で流出しているため、オンラインの本人確認（画像アップロード型）を使った口座開設やローン申込みへの悪用が最も懸念される。会社は現時点で不正利用は確認していないとしている。

概要

カーシェア大手の会員基盤から、退会者を含む約660万件の個人情報が第三者に取得された。
そのうち約160万件では、運転免許証画像に加え、公共料金の請求書など現住所確認用の画像まで流出した。
退会後7年間の保管が影響範囲を広げた。侵入経路と補償は未公表で、会員別の詳細は第3報（9月29日）から2週間程度をめどに案内される予定。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-09-25 9:07	タイムズカーのシステムへの不正アクセスを検知し調査開始。同日、第1報（漏えいの可能性）を公表
2026-09-26 7:25	不正アクセス経路の遮断、攻撃元との通信遮断、遮断後のアクセス不能確認を完了
2026-09-28	第2報。会員情報の一部が第三者に取得されたことを確認、約660万件。個人情報保護委員会と警察に報告
2026-09-29	第3報。本人確認書類が漏えいしたアカウントは約160万件。該当会員へメールで個別案内を開始
2026-10-01	よくある質問を公開。退会者への個別案内を開始
2026-10-02	弁護士による集団訴訟に向けた登録が1万人を超えたと報道（piyologのまとめによる）
2026-10-06	広島県公安委員会が、希望者への免許証の特例再交付（顔写真・免許証番号を変更可）を10月1日から受け付けていると報道（朝日新聞）
2026-10-07	国交省が10月1日付で全国レンタカー協会に漏えい対策の点検を要請し、10月30日までの報告を求めていたと報道（共同通信、NHK）。岡山県・岐阜県の公安委員会も特例の再交付を受け付けていると報道。集団訴訟の準備サイトの登録は約6万4000人に（TBS）
2026-10-08	島根県・石川県・静岡県・宮城県でも特例の免許証再交付が行われていると報道。手数料は1500〜2700円、宮城県ではこれまで約30件（読売新聞、MRO北陸放送、静岡朝日テレビ、FNN）
2026-10-09	九州7県の再交付の受理が10月6日時点で計100件超（福岡県75件など）と報道。警察庁担当者は再交付で悪用を完全に防げるとは言い難いと説明（西日本新聞）
2026-10-10	新潟県公安委員会が10月2日から特例の再交付（顔写真の変更と免許証番号の繰り上げ、期限なし）を行っていると報道。島根県は8日時点で13件の申請（NST、朝日新聞）
2026-10-11	警察庁が関係業者に本人確認の徹底を要請したと報道。再交付はほぼ全ての窓口で認められているが、変わるのは顔写真と番号の末尾だけで効果は限定的。熊本県警への申請は8日までに26件（時事通信、読売新聞）
2026-10-11	愛知県公安委員会が10月1日から対象者の再交付を受け付け、運転免許試験場で7日までに74人に再交付したと報道（読売新聞）
2026-10-13	香川県公安委員会も特別措置で再交付を受け付け、10月1日〜7日に10件以上を交付したと報道。県は再交付で悪用自体は防げないと注意を呼びかけ（RNC西日本放送）
2026-10-16	第4報。本人確認書類画像を登録確認後に即時削除するルールに変更し、保有中の画像は10月末までに全削除すると発表。調査結果を踏まえた案内は10月23日に変更（タイムズモビリティ第4報）
2026-10-19	福井県公安委員会も、漏えいの可能性がある人のうち希望者への免許証の再交付を受け付けていると報道（NHK）
2026-10-20（火）	宮崎県公安委員会も特例で免許証の再交付申請を受け付け、19日までに22件の申請があったと報道。手数料2600円（読売新聞）
2026-10-23（金）	第5報。フォレンジック調査を終了。アカウント情報6,628,007件、本人確認書類画像は外部送信の痕跡あり1,464,800件（約160万件から訂正）・アクセスのみ891,602件。タイムズクラブWebシステムへの不正アクセスも判明。原因はWebシステムの脆弱性の悪用。画像の送信痕跡がある会員に3000円相当のお見舞い（第5報、産経ニュース）

発表内容の整理

事実

対象

タイムズカー会員と退会者（入会申込み後に手続きが完了しなかった人を含む）
タイムズビジネスサービス会員と退会者
漏えいしたアカウント数は約660万件。うち本人確認書類が漏えいしたのは約160万件
【2026-10-25追記】第5報の最終件数では、アカウント情報6,628,007件、本人確認書類画像は外部送信の痕跡あり1,464,800件・アクセスのみ891,602件

漏えいした情報（対象者により異なる）

氏名、法人会員の所属部署名、住所、生年月日、電話番号、メールアドレス
運転免許情報
本人確認書類: 運転免許証画像、現住所確認書類画像、学生証画像（学生プラン）、家族確認書類画像（家族プラン）
パスワード: 復元できない形式で保管しており、アカウントが不正に使われるおそれはないと説明
連携サービスID: WESTER ID など計9件
クレジットカード情報: 保有していないため対象外

会社の対応と案内

本人確認書類が漏えいした会員へは9月29日から、退会者へは10月1日から順次メールで個別案内。退会者は登録時の連絡先が有効とは限らないため、問い合わせフォームから退会時の登録情報を連絡するよう求めている。
会員ごとの漏えい詳細は、外部専門機関の調査結果を踏まえて2週間程度をめどに案内する。
補償は調査結果を踏まえて全体方針を決める。
会社を装ったメール・SMS・電話に注意するよう呼びかけ。会社からパスワードやカード情報を聞くことはないとしている。

考察

約660万件という数字は、piyologがまとめた会員数（8月末時点で約414.9万人）を大きく上回る（piyolog）。差の多くは、7年間保管していた退会者と入会未完了者の情報と考えられる。「なりすまし対策」のために保管していた免許証画像が、流出によってなりすましの材料になったという逆説的な結果になっている。

パスワードは「復元できない形式」とされているが、ハッシュの方式（ソルトの有無やアルゴリズム）は書かれていない。弱いパスワードはハッシュからでも推測されうるため、他のサービスで同じパスワードを使っている人は変更しておくのが無難。

関係しそうな既知の手口

考察

本人確認書類の画像は、オンラインの本人確認で画像を送るだけの方式（eKYCの一部）や、対面でない契約での偽造の材料に使われうる。piyologのまとめによれば、公表後、信用情報機関には本人申告の問い合わせが殺到し、警察庁は免許証の再交付を申請できるとしている（piyolog）。
【2026-10-11追記】警察庁は関係業者に本人確認の徹底を求めた（時事通信）。再交付で番号の末尾が変わっても、画像を受け取る側は古い免許証かどうかを見分けられないため、利用者の対策より、受け取る側の確認方法を変えるほうが効く構図になっている（考察）。2027年4月のICチップ読み取りの義務化までは、画像を送るだけの本人確認が残る。
侵入経路は未公表。数百万件の会員データと書類画像をまとめて取得されている点から、Webシステムの脆弱性かシステム側の認証情報を経由して、データベースや画像ストレージに直接届いた可能性が考えられるが、確認はできない。

利用者・運用者がいまできること

事実（発表に基づく）

個別案内のメールで、自分のどの情報が漏えいしたかを確認する。退会者は問い合わせフォームから退会時の登録情報を連絡すると案内を受けられる。
タイムズカーを装ったメール・SMS・電話のリンクや添付は開かない。

考察（利用者向け）

本人確認書類が漏えいした人は、信用情報機関への本人申告（本人確認書類の紛失・盗難の申告）を検討する。名義を使った借入れの申込みに対し、金融機関が注意できるようになる。
免許証の再交付を受けると、番号が変わるかどうかを含めて手続きの内容を窓口で確認する。【2026-10-06追記】広島県では特例の再交付で顔写真と免許証番号を変えられると報じられた。ただし、すでに流出した画像が使えなくなるわけではなく、県警もそう説明している。再交付を受けても、信用情報機関への本人申告などほかの対策は続けたほうがよい。他の都道府県の扱いは、居住地の免許センターや警察署で確認する。【2026-10-07追記】岡山県と岐阜県でも特例の再交付が報じられた。
他のサービスでタイムズカーと同じパスワードを使っていれば変更する。

考察（本人確認書類を預かる事業者向け）

本人確認が済んだ後も画像そのものを保管し続ける必要があるかを見直す。確認結果と番号の一部だけを残す設計にできないか検討する。
退会者データの保管年限と、保管中のデータを通常の業務システムから切り離せているかを点検する。
【2026-10-07追記】国交省の点検要請は全国レンタカー協会あての文書で、報告期限は10月30日。レンタカー・カーシェア事業者は、免許証画像の保管範囲と保管期間を、この点検の中で説明できるようにしておく必要がある。

参考リンク

原文をGitHubで読む ↗