タイムズモビリティ株式会社（タイムズカー）のサイバー攻撃被害｜Webシステムに脆弱性を悪用した不正アクセス、6,628,007件の個人情報と約146万件の本人確認書類画像（暗号化）に外部送信の痕跡
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
速報サイバー攻撃の被害事例最終更新 2026年10月27日
タイムズモビリティ株式会社（タイムズカー）カーシェアのWebシステムに脆弱性を悪用した不正アクセス、6,628,007件の個人情報と約146万件の本人確認書類画像（暗号化）に外部送信の痕跡
- システム脆弱性を狙った攻撃
- 不正アクセス
状況調査結果を公表済み（フォレンジック調査は終了、強化策は年内を目処に公表予定）
被害発生日2026年9月25日
企業名タイムズモビリティ株式会社
この事例の要点
カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティは、外部専門機関によるフォレンジック調査を10月23日に終え、その結果を第5報として公表しました。Webシステムの脆弱性が悪用され、氏名や住所、運転免許情報などが外部送信された痕跡のあるものは6,628,007件、暗号化された運転免許証等の本人確認書類の画像で外部送信の痕跡があるものは1,464,800件でした。同社は、本人確認書類の画像に外部送信の痕跡が確認された方へ3,000円相当のお見舞いを渡すとし、保有している本人確認書類の画像は2026年10月末までに削除します。
最新の動き
- 2026年10月23日最新 第5報。外部専門機関によるフォレンジック調査を終了し、対象件数と発生原因を公表。本人確認書類の画像に外部送信の痕跡が確認された方へ3,000円相当の現金または金券をお見舞いとして渡すと決定。17時から、マイページにお客様ごとに漏えいが確認された情報を掲載。 出典
- 2026年10月16日 第4報。本人確認書類の画像を、会員登録の確認完了後すぐに削除する社内ルールに変更。保有している画像は、本人の申し出の有無にかかわらず2026年10月末までに削除すると公表。 出典
- 2026年9月29日 第3報。運転免許証画像などの本人確認書類が漏えいしたアカウント数を約160万件と公表し、メールでの個別案内を開始。 出典
- 2026年9月28日 第2報。漏えいしたアカウント数を約660万件と公表。警察への相談を始め、国土交通省へ一報。 出典
- 2026年9月25日 9時07分 不正アクセスを検知し、対象サーバーを隔離。個人情報保護委員会へ報告し、第1報を公表。9月26日7時25分までに不正アクセスの経路を遮断。 出典
分かっていること・まだ公表されていないこと
分かっていること
- 発生原因は、Webシステムに存在した脆弱性の悪用。攻撃者は侵入後にシステム内の情報を探索し、取得した情報を利用してデータベースとファイル領域にアクセスしていた
- 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報で外部送信の痕跡が確認されたもの：6,628,007件（タイムズビジネスサービスに「カンタン入会」で入会し、駐車場のみ（クレジットカード払い）を契約している方の情報を含む）
- 同じアカウントの属性・識別情報：法人会員様の所属部署名3,677件、タイムズカー会員番号（IC管理番号）8件、タイムズビジネスカード番号113件、連携サービスID4件。ハッシュ化されたパスワード4件
- 暗号化された本人確認書類の画像：外部送信の痕跡があるもの1,464,800件、アクセスの痕跡はあるが外部送信の痕跡はないもの891,602件（計2,356,402件）。暗号化していたため直ちに画像を閲覧できる状態になったことを意味しないが、将来的な復号の可能性は完全には否定できないとしている
- タイムズクラブWebシステムでも外部送信の痕跡：氏名・住所・生年月日・運転免許情報5件、タイムズクラブカード番号19,510件、タイムズビジネスカード番号12件、連携サービスID135,436件、クレジットカード番号の下4桁28件
- 決済情報の非保持化に対応しており、クレジットカード番号の全桁とセキュリティコードは保持していない
- 第2報で9件としていた連携サービスIDの漏えいは4件、漏えい対象としていた「WESTER ID」は0件と訂正
- 現時点で、漏えいした情報が売買・公開された事実は確認されていない。ダークウェブを含む情報流通の監視を続けている
- 確認された侵害経路への対策は完了。同一構成のシステムの点検と脆弱性対策、監視・検知の強化を実施した
- 社外取締役を中心に外部専門家を加えた調査委員会で、内部統制とガバナンスの観点から検証する
まだ公表されていないこと
- 悪用された脆弱性の内容、攻撃手法の詳細、システム構成（二次被害防止の観点から公表を差し控えるとしている）
- 攻撃者が最初に侵入した時期
- お見舞いの具体的な内容と渡し方（検討中で、決まり次第案内するとしている）
- 情報セキュリティ強化策とガバナンス強化策の中身（年内を目処に公表予定）
事例の概要
| 企業名 | タイムズモビリティ株式会社 |
|---|---|
| 被害発生日 | 2026年9月25日 |
| 被害の内容 | 2026年9月25日、カーシェアリングサービス「タイムズカー」のWebシステムで異常なアクセスを検知。Webシステムに存在した脆弱性が悪用され、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報が外部送信された痕跡のあるものが6,628,007件、暗号化された本人確認書類の画像データで外部送信の痕跡があるものが1,464,800件確認された。関連して、タイムズクラブWebシステムへの不正アクセスも確認された |
| 出典 | タイムズモビリティ株式会社「「タイムズカーWebシステム」への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」（2026年10月23日） |
対策に向けたガーディアンの見解
1本人確認書類の画像は、確認が済んだら残さない運用にする
タイムズカーは運転免許証などの画像を、会員期間中と退会後7年間、暗号化して保有していました。今回、登録確認の完了後すぐに削除するルールへ改め、保有中の画像も10月末までに消すとしています。会員登録で身分証の画像を受け取る企業は、照合に必要な情報だけを残して画像そのものは早めに消す流れにしておくと、侵入を受けた場合にも外に出てしまう情報を大きく減らせます。
2暗号化に加えて、侵入後に探される情報を減らしておく
公表によると、攻撃者はWebシステムに侵入したあとシステム内の情報を探索し、取得した情報を利用してデータベースとファイル領域にアクセスしました。暗号化は大切な守りですが、それだけで十分とは言い切れません。Webサーバー上に置く接続用の情報や設定を最小限にし、データベースへの権限を用途ごとに分け、普段と違う大量の読み出しを検知できるようにしておくと、侵入されたあとの被害の広がりを抑えやすくなるはずです。
3漏えいした項目を、本人ごとに確かめられる仕組みを用意する
タイムズカーは10月23日17時から、マイページにお客様ごとに漏えいが確認された情報を掲載しました。660万件を超える規模になると、問い合わせ窓口だけで一人ひとりに答えるのは難しくなります。会員サービスを持つ企業は、万一の際に対象者が自分の影響をログインして確かめられる表示の仕組みと、退会者向けの確認方法を平時から考えておくと、混乱と不安を和らげる助けになるでしょう。
詳しい解説と対策（WEB戦略ラボ）
タイムズカーの不正アクセス｜免許証画像の流出の経緯と本人確認書類を預かる企業の3つの対策
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。