リクルート「カーセンサー」 ― 不審なアクセスで全サービス停止

要点

発表された事実

リクルートは、2026年10月17日（土）に『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知したと公表した（『カーセンサーnet』に関連するサービスの一時停止に関するお知らせ、2026-10-18 13:05更新）。
利用者と取引先の安全確保と影響の確認のため、10月17日17時頃から、『カーセンサーnet』、アプリ版『カーセンサー』『カーセンサープラス』、中古車販売店向け業務支援サービス『C-match』など、関連するすべてのサービスを止めている（同）。
原因と影響範囲は調査中。「サイバー攻撃か、情報漏洩しているか」という問いにも「調査を進めている」と答えており、再開の見通しは立っていない（同）。

わかったこと

【2026-10-21】停止の影響はカーセンサーと連携する自動車メーカーのサービスにも広がった。日刊自動車新聞（10月21日）によると、日産自動車の「日産公式中古車検索サイト」と三菱自動車の「MCネット」は、運営を委託するリクルートが関連サービスの利用を制限していることを受けて10月20日までに一時停止し、20日夜の時点でも使えない。マツダはサイトを自社で運営しているため閲覧はできるが、カーセンサーと在庫情報を共有しているため車両情報の更新を止めた。リクルートは20日夜時点で復旧の見通しを公表していない（日刊自動車新聞）。
【2026-10-21】リクルートは10月21日、『カーセンサーnet』と『C-MATCH』が外部から不正アクセスを受け、個人情報が最大3,709,551件漏えいした可能性があると発表した。10月20日までの調査で項目と件数（最大値）を把握したという。内訳は、カーセンサーnet（アプリ版を含む）で販売店に問い合わせた人3,210,421件（大半は氏名と住所。住所は原則市区町村までだが、番地などまで含む可能性があるものが最大447,670件。一部は問い合わせ内容・年代・性別、電話番号・メールアドレスなども含む）、口コミ投稿者5,289件（氏名など）、C-MATCHに登録する中古車販売店483,168件（代表者・担当者の氏名と電話番号、古物商許認可番号、ログインIDなど。個人事業主は事業所住所や引落口座情報も）、同社従業員・業務委託先・販売代理店の従業員など10,673件（氏名、メールアドレス、ログインID）。いずれにも決済情報とログインパスワードは含まれない。原因は「第三者からの不正なアクセス」とだけ記し、詳細は調査中。個人情報保護委員会へは速報済みで、対象者には順次個別に連絡し、問い合わせ窓口を設けた。10月21日時点で二次被害は確認されていない（リクルート、ITmedia NEWS）。
【2026-10-22】リクルートは10月22日、サイトの安全性を確認できたとして、停止していた「カーセンサー」と販売店向けの「シーマッチ（C-MATCH）」を再開した。同日13時30分時点でカーセンサーは閲覧でき、シーマッチも使える状態で、販売店への問い合わせもできる。一方、来店予約機能などはまだ使えず、一部のページも閲覧できない。同社は「利用者の安全を確保でき次第、順次再開する」としており、完全な復旧は未定（日刊自動車新聞）。

わかっていないこと

「不審なアクセス」を受けたのがどのシステムか（【2026-10-21追記】対象サービスはカーセンサーnetとC-MATCHと公表されたが、侵入されたシステムの詳細は示されていない）
不正アクセスで具体的に何が行われたのか（【2026-10-21追記】不正アクセスによる漏えいの可能性は公表された。実際に持ち出されたと確認したのかは書かれていない）
侵入経路と原因
来店予約など、まだ止まっている機能の再開時期（【2026-10-22追記】サイトとC-MATCHは10月22日に再開した。完全な復旧は未定）

関係しそうな既知の手口

（考察）利用者向けのサイト・アプリと、販売店が車両を載せる業務システムを同時に止めている。両者が同じデータや仕組みを共有しているためと考えられ、10月に相次ぐ「複数のサービスの裏で共通の基盤が狙われる」事案と同じ形かもしれない。経路は公表されていない。

概要

中古車情報サイト「カーセンサー」を運営するリクルートが、10月17日に関連システムへの外部からの不審なアクセスを検知し、同日夕方から関連サービスをすべて止めた。
止めたのは利用者向けのWeb・アプリだけでなく、販売店が車両の掲載や問い合わせ対応に使う業務システム「C-match」も含む。
原因・影響範囲・情報漏えいの有無はいずれも調査中で、再開の見通しは立っていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-17（土）	『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知（リクルート）
2026-10-17（土）17時頃	『カーセンサーnet』に関連する全サービスを一時停止（リクルート）
2026-10-18（日）13:05	お知らせを更新（リクルート）。夕方時点でもサイトなどは使えない状態（日刊自動車新聞）
2026-10-20（火）	調査の結果、漏えいした可能性のある個人情報の項目と件数（最大値）を把握（リクルート）
2026-10-20（火）	日産の「日産公式中古車検索サイト」と三菱自動車の「MCネット」が一時停止。マツダもカーセンサーと共有する車両在庫情報の更新を停止。20日夜時点でリクルートは復旧見通しを公表せず（日刊自動車新聞）
2026-10-21（水）	リクルートが不正アクセスによる個人情報漏えいの可能性（最大3,709,551件）を公表。個人情報保護委員会へは速報済み、対象者へ順次個別連絡（リクルート）
2026-10-22（木）13:30頃	カーセンサーとシーマッチ（C-MATCH）の利用を再開。来店予約機能など一部は休止が続き、完全復旧は未定（日刊自動車新聞）

発表内容の整理

事実（リクルートの発表）

項目	内容
検知したこと	『カーセンサーnet』関連システムへの外部からの不審なアクセス（10月17日）
停止したサービス	『カーセンサーnet』、アプリ版『カーセンサー』『カーセンサープラス』、中古車販売店向け業務支援サービス『C-match』など、関連する全サービス
停止の時刻	10月17日17時頃から
停止の理由	利用者と取引先の安全確保、影響の確認
原因・影響範囲	調査中
情報漏えい	FAQで「調査を進めている」（【2026-10-21追記】10月21日に最大3,709,551件の漏えいの可能性を公表。決済情報・ログインパスワードは含まない）
再開	見通しは立っていない。見込みが立ち次第、各サービスのWebサイトなどで知らせる（【2026-10-22追記】10月22日にカーセンサーとC-MATCHを再開。来店予約機能などは休止中）

事実（報道）

ITmediaは、カーセンサーは2026年9月時点で約52万台の中古車情報を載せる日本最大級の中古車情報サイトで、停止により購入希望者はサイトからの検索や販売店への問い合わせができない状態だと伝えた。一部の販売店はブログなどで、自社サイトや電話、ほかの中古車情報サイトの利用を呼びかけている（ITmedia NEWS）。
日刊自動車新聞は、販売店は「シーマッチ（C-match）」を通じてカーセンサーへの車の掲載や値付けを行っていること、カーセンサーを主な販路にする事業者が多く、停止が長引けば業績に響く事業者も出そうだと伝えた（日刊自動車新聞）。
NHK WORLD-JAPANは、同じ10月17日（土）にセカンドストリートとゲオも不正アクセスを受けたと発表したと伝えた（NHK WORLD-JAPAN）。

考察

発表の言葉は「不正アクセス」ではなく「外部からの不審なアクセスを検知」だ。侵入や情報の取得が確認できた段階ではなく、怪しい動きを見つけた時点で止めた、とも読める（考察）。被害の確認を待たずに、まず全部を止める判断をした可能性がある（考察）。

止めた範囲が利用者向けのサイト・アプリにとどまらず、販売店の業務システムまで及んでいるのも特徴だ。販売店が入力した車両情報がそのまま検索サイトに出る仕組みなので、両者は同じデータでつながっている。どちらか一方だけを止めても安全を確かめきれない、という判断だと考えられる（考察）。

関係しそうな既知の手口

事実（既知の知見・同種事例）

JPCERT/CCは10月8日の注意喚起で、公開しているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定する手口や、内部APIへの攻撃を「API経由での不正な操作」として示した（JPCERT/CC）。
同じ週末に、セカンドリテイリング（ゲオ・セカンドストリート）も社内システムへの不正アクセスを受けてアプリとWebサービスを一斉に止めている（セカンドリテイリングの記事）。

考察

販売店側の情報も対象になりうる：C-matchには販売店の担当者のアカウントや、利用者から届いた問い合わせ・見積もり依頼の内容が入っていると考えられる。漏えいがあれば、利用者の連絡先だけでなく、販売店をかたる連絡や、販売店のアカウントを狙うフィッシングにも使われうる（考察）。
「止めてから調べる」コスト：販売店にとってカーセンサーは主な販路で、停止そのものが大きな損失になる。停止の判断が早かったぶん、被害が小さく済んでいることを期待したいが、何が起きたかは続報を待つ必要がある。

利用者・運用者がいまできること

事実（発表・報道に基づく）

再開の案内は、各サービスのWebサイトなどで出る（リクルート）。
商談中の販売店には、自社サイトや電話で直接連絡する（ITmediaが伝えた販売店の告知）。

考察（利用者向け）

カーセンサーやリクルートを名乗る「再開のお知らせ」「アカウントの確認」などのメール・SMSのリンクは開かず、公式サイトで確認する。
カーセンサーで使っていたアカウントと同じパスワードをほかで使っている場合は、変えておく。

考察（販売店向け）

C-matchのログインに使っていたパスワードを、ほかのシステムでも使っていないか確認する。
カーセンサー経由の問い合わせへの返信を装う連絡や、C-matchの再ログインを促すメールに注意する。

参考リンク

原文をGitHubで読む ↗