タイムズカーを運営するパーク24グループは、不正アクセスによる個人情報漏えいの調査結果を公表した。
運転免許証などの画像約146万件に外部送信の痕跡が確認され、対象者に3000円相当の見舞金を支払う方針を明らかにした。
個人情報662万件に送信痕跡、画像の保管も廃止
2026年10月23日、パーク24グループは、タイムズカーのWebシステムへの不正アクセスによる個人情報漏えいについて、調査結果と今後の対応を発表した。
同社は9月25日に異常なアクセスを検知し、対象サーバーの隔離や侵入経路の遮断を実施した。
外部専門機関によるフォレンジック調査（※）の結果、Webシステムの脆弱性を悪用した第三者による侵入が原因と判明したという。
調査では、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報など、662万8007件のデータに外部送信の痕跡が確認された。
さらに、タイムズクラブのWebシステムにも不正アクセスが及び、連携サービスID13万5436件などが対象となった。
特に問題となったのは、暗号化された運転免許証などの本人確認書類画像である。
146万4800件に外部送信の痕跡が確認され、送信の痕跡はないもののアクセスされた89万1602件と合わせて235万6402件に上った。
同社は、暗号化された本人確認書類画像へのアクセスと外部送信の痕跡が確認された顧客に対し、3000円相当の現金または金券を見舞金として渡す方針だ。
見舞金の具体的な内容や支払い方法は検討中で、決定後に対象者へ案内する。
画像は暗号化されており、外部送信されたからといって直ちに内容が閲覧可能になったわけではない。
ただし、将来的に復号される可能性は完全には否定できないという。
また、本人確認書類画像の保管ルールも変更した。従来は会員期間中と退会後7年間保有していたが、今後は登録確認完了後に即時削除する。
既存の画像も10月末までに削除する予定だ。
現時点で漏えい情報の売買や公開は確認されていない。同社は侵害経路への対策を完了しており、年内をめどに追加のセキュリティ強化策を公表する。
※フォレンジック調査：サーバーの通信記録や操作履歴、保存データなどを解析し、不正アクセスの侵入経路や攻撃者の行動、情報漏えいの範囲を特定する技術的調査。サイバー攻撃の原因究明や被害状況の把握、再発防止策の検討などに活用される。
保管リスクの軽減に期待、補償と信頼回復には課題
今回の事案は、企業が大量の本人確認情報を長期間保管することの危険性を浮き彫りにした。
特に運転免許証などの画像は本人確認に利用されるため、万一悪用されれば、なりすましや不正契約につながる可能性がある。
画像を登録直後に削除する仕組みは、将来的な情報流出の被害を抑えるうえで有効と考えられる。
一方、保存情報を減らすことで、過去の本人確認記録を参照する必要が生じた際の対応が難しくなる懸念もある。
安全性と業務効率を両立する運用設計が求められるだろう。
また、3000円という見舞金の妥当性についても議論の余地がある。金銭的な対応は利用者の不安軽減につながるものの、流出した情報そのものを回収できるわけではない。
長期的な悪用リスクを考慮すれば、一度限りの補償だけでは十分とは言い切れない。
今後は、継続的な監視と被害発生時の迅速な対応が信頼回復を左右するだろう。
今回の事案を契機に、他のオンラインサービスでも本人確認書類の保存期間や管理方法を見直す動きが広がる可能性がある。
関連記事：
カプコンで1177万件の情報漏えい 不正アクセスで会員情報流出
デジ庁GSSで個人情報24.6万件漏洩か VPN脆弱性を悪用
さくらインターネットが調査結果公表 約136万アカウントに影響の可能性
