タイムズカーの不正アクセス — 本人確認書類の画像約146万件に外部送信の痕跡が残った経緯と、身分証の画像を預かる企業の3つの対策

タイムズカーの不正アクセスとは

タイムズカーの不正アクセスは、カーシェアリング「タイムズカー」のWebシステムが第三者に侵入され、会員の個人情報と本人確認書類の画像に外部送信の痕跡が確認された事案です。2026年9月25日9時07分に異常なアクセスを検知し、翌26日7時25分までに不正アクセスの経路を遮断しました。調査の過程で、関連するタイムズクラブWebシステムへの不正アクセスも確認されています。

10月23日の第5報で、外部専門機関によるフォレンジック調査の終了と、対象の件数、発生原因が示されました。漏えいした情報が売買・公開されたことを示す事実は、現時点で確認されていません。最新の動きは、当社の事例速報「タイムズモビリティ（タイムズカー）のサイバー攻撃被害」で更新しています。

検知から調査結果の公表までの経緯

検知から4日のうちに漏えいの規模が示され、会員への個別の案内は会員の種類ごとに順に始まりました。画像の保有ルールの見直しは、調査結果より先の10月16日に公表されています。

漏えいした情報と件数

第3報で約160万件とした本人確認書類の画像は、詳しい調査の結果、外部送信の痕跡が確認されたものが1,464,800件と改められました。外部送信の痕跡はないものの、攻撃者のアクセスの痕跡が確認された画像も891,602件あります。

同社は、本人確認書類の画像に外部送信の痕跡が確認されたお客様に、お見舞いとして3,000円相当の現金または金券を渡すと決めました。内容と渡し方は検討中で、決まり次第、対象のお客様に案内するとしています。

なぜ本人確認書類の画像まで外部に送信されたのか

画像まで外部に送信されたのは、Webシステムの脆弱性から侵入した攻撃者が、システムの中で得た情報を使って、会員情報のデータベースと画像を置くファイル領域の両方に進んだからです。公表資料から分かる点を3つに分けて整理します。

Webシステムの脆弱性から、データベースとファイル領域へ進んだ

第5報によると、攻撃者は脆弱性を悪用してシステムへ侵入した後、システム内の情報を探索し、取得した情報を利用してデータベースおよびファイル領域へアクセスしていました。悪用された脆弱性の内容、攻撃手法の詳細、システム構成は、二次被害を防ぐ観点から公表が差し控えられています。同社は確認された侵害経路への対策を終え、同じ構成のシステムの点検と脆弱性対策、監視と検知の強化を実施したと説明しました。

退会後7年間の保有が、退会した人まで対象を広げた

タイムズカーは、会員登録の時に提出された本人確認書類の画像を、会員期間中と退会後7年間、暗号化して保有していました。目的は、登録時の本人確認に加え、不正利用が疑われる場合の対応、問い合わせへの対応、各種の本人確認業務とされています。第2報が対象に挙げたのは、現会員に加えて退会済みの方と、入会を申し込んで完了しなかった方でした。保有する期間が長いほど、事故の日に対象となる人の範囲も広がることを、この事例は示しています。

暗号化していても、復号の可能性は否定しきれない

本人確認書類の画像は暗号化した状態で保管されていました。同社は、外部送信の痕跡があっても直ちに画像の内容が閲覧できる状態になったことを意味しないと説明する一方で、外部送信された暗号化データの将来の復号の可能性は完全には否定できないとしています。お見舞いの対象を画像に外部送信の痕跡がある方としたのも、この判断によるものです。暗号化は持ち出された後の被害を抑える手段であり、持ち出されること自体を止める手段にはならないといえます。

本人確認書類の画像を預かる中小企業が狙われる理由

本人確認書類の画像が狙われるのは、氏名・住所・生年月日と顔写真がそろい、なりすましの申込みや詐欺の材料にそのまま使えるからです。レンタル、不動産、人材紹介、中古品の買取、会員制のサービスなど、オンラインで申込みを受ける中小企業でも、身分証の画像をアップロードしてもらう仕組みは広く使われています。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、公開Webの脆弱性診断は年に1回では足りず、最低でも月次、できれば週次で自動の診断を回すよう勧めています。Webサーバーの脆弱性からカード番号とPINが流出したモスカードの事例と同じく、外から触れる画面の穴が、奥にある大切なデータへの入口になります。

本人確認書類の画像の漏えいを防ぐには？預かる企業が取るべき3つの対策

本人確認書類の画像を預かる企業が優先したいのは、①照合が済んだ画像は消し、残すのは照合の記録だけにする、②会員登録や書類アップロードの画面を改修のたびに診断し、侵入されても画像の置き場所まで届きにくくする、③漏えいが分かった日に、本人ごとの影響の示し方となりすましへの注意を出せるようにしておく、の3つです。①は持ち出され得る量を減らすため、②は入口をふさぐため、③は事故の後にお客様を守るための備えにあたります。

対策1：本人確認書類の画像は照合が済んだら消し、残すのは照合の記録だけにする

身分証の画像を預かる企業がまず取り組みたいのは、照合が済んだ画像を残さない流れに変えることです。タイムズカーでは、画像を会員期間中と退会後7年間保有していたため、アクセスの痕跡が確認された画像は計2,356,402件にのぼりました。同社は事故の後、登録確認の完了後すぐに画像を削除するルールに改め、将来の問い合わせに備えて、保存していた画像との同一性を確かめるための情報だけを保全するとしています。

個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消すことを努力義務として定めています。運転免許証の番号は個人識別符号に当たり、それだけで個人情報になる点にも気をつけたいところです。画像の受け取りから削除までを、次の5段で組み直してください。

1. 画像を受け取る経路（申込フォーム、メールの添付、チャット、店頭での撮影）と、置かれる場所（サーバー、共有フォルダ、本人確認の委託先）をすべて書き出す
2. 画像を使う目的ごとに、照合が済むまでに要る日数を決める
3. 照合が済んだら画像を消し、確認した日、書類の種類、確認した担当者などの照合の記録だけを残す
4. 退会した人と、申込みが完了しなかった人の画像を、期限が来たら自動で消す設定を入れる
5. 法令で記録の保存が求められる業種は、求められる項目と期間を所管の官庁の資料で確かめ、それを超えて画像を持たない

判断の目安は、「退会した人と照合が済んだ人の画像が、サーバーにもメールにも残っていない」状態です。陥りやすいのは、データベースからは消したのに、メールの添付や共有フォルダ、バックアップに画像が残り続けることでしょう。暗号化しているから長く持っていても安全だと考えるのも、この事例を踏まえると見直したい点になります。棚卸しは個人情報の責任者とシステムの担当者で1〜2日あれば終わり、その後は四半期ごとに残っている画像の数を確かめます。

対策2：会員登録や書類アップロードの画面を改修のたびに診断し、侵入されても画像の置き場所まで届きにくくする

2つ目は、画像を受け取る公開Webの画面に穴を残さず、仮に入られても画像の置き場所へ進みにくい作りにしておくことです。タイムズカーの事例では、Webシステムの脆弱性が入口になり、侵入後に得た情報でデータベースとファイル領域に進まれました。同社が対策として挙げた同じ構成のシステムの点検、脆弱性対策、監視と検知の強化は、中小企業の会員システムでもそのまま確かめる項目になります。

IPAの「安全なウェブサイトの作り方」は、SQLインジェクション、OSコマンド・インジェクション、ディレクトリ・トラバーサル、アクセス制御や認可制御の欠落など、Webアプリケーションで起きやすい11種類の脆弱性と対策をまとめています。自社の構成に当てはめて、次の表の5か所を確かめてください。

判断の目安は、「改修した画面が公開前に診断を通り、画像を一度に大量に読み出す動きがあれば当日中に気づける」ことです。落とし穴は、会員システムの開発や保守を外部に任せたまま、改修の後に誰も診断の結果を見ていない状態にあります。診断の手配と結果の確認はシステムの担当者が月に数時間、構成の見直しは開発の委託先と1〜2回の打ち合わせで進められます。

対策3：漏えいが分かった日に、本人ごとの影響の示し方と、なりすましへの注意を出せるようにしておく

3つ目は、漏えいが分かったとき、誰の何が漏れたのかを本人が確かめられるようにし、本人確認書類の悪用への注意を具体的に伝える段取りを決めておくことです。タイムズモビリティは、会員の種類ごとに個別の案内を順に始め、10月23日にはマイページにお客様ごとの漏えいの内容を載せました。退会者には専用の問い合わせフォームを設け、窓口は24時間で受け付けています。

同社は、想定されるリスクとして、フィッシングメールやフィッシングサイトによる詐欺、なりすましによる各種の申込みや問い合わせ、不正な勧誘、個人情報の悪用を挙げました。不正アクセスによる漏えいは、個人情報保護委員会に概ね3〜5日以内の速報と60日以内の確報を出し、本人に通知することが求められます。事故の日に向けて、次の5つを準備しておきます。

1. 会員ごとに、どの項目と画像を預かっているかを引き出せるデータの持ち方にする
2. 退会者や申込みの途中でやめた人に連絡する手段と、本人が対象かを問い合わせる窓口を決める
3. 本人確認書類の画像が漏れた人に向けて、身に覚えのない契約や申込みの確かめ方を案内する文を用意する
4. 「当社がメールやSMSで本人確認書類の再提出やパスワードを求めることはない」と明記した注意の文を用意する
5. 個人情報保護委員会への速報と確報、警察への相談、所管の官庁への連絡の担当を決める

判断の目安は、「漏えいが分かった日から数日のうちに、本人が自分の影響を確かめられる場所と、相談の窓口がそろう」状態です。落とし穴は、現会員への連絡だけで手が回らず、データの残っていた退会者が置き去りになることにあります。問い合わせが急に増えるため、よくある質問のページを先に用意しておくと、窓口の負担を抑えやすくなるでしょう。段取りは経営者、個人情報の責任者、窓口の責任者で半日ほどかけて決め、年に一度、連絡先と文面を確かめ直します。

本人確認の入口ごとに見る、ガーディアンの支援

身分証の画像を預かる企業が守る入口は、書類をアップロードする画面だけにとどまりません。お知らせを出す公式サイト、会社の名前で届くメール、関連するサイトの管理画面まで、入口ごとに点検することと当社のサービスを並べました。

事故の日の案内と、会社を名乗る偽の連絡への備えは SCSC Dog が受け持つ

本人確認書類の漏えいが起きると、お客様は公式サイトのお知らせと窓口を確かめに来ます。同時に、会社を名乗って書類の再提出やログインを求める偽のメールが出回るおそれもあります。SCSC Dog は、公式サイトを当社の基盤で運用し、更新、WAF、24時間365日の有人監視、障害時の復旧までを受け持つサービスです。会社のドメインを名乗るメールを受信側で見分けやすくする SPF・DKIM・DMARC も標準で整えます。この基盤では15年間、事故は確認されていません（当社集計）。

画像を受け取る画面は SCAN DOG 正規版で見続け、関連サイトは SCAN DOG ライト版でまとめて確かめる

会員登録や書類アップロードの画面のように、改修が続き、大切な画像を受け取るページは、SCAN DOG 正規版で決めた頻度の診断を続けるのが合っています。正規版では指摘ごとに対応の状況を残せるので、開発の委託先に直してもらった箇所が次の診断で消えたかどうかも追えます。店舗ごとのサイトや関連会社の申込ページは、SCAN DOG ライト版でURLをまとめてお預かりし、外から見える穴を一度に洗い出すと、手を入れる順番を決めやすくなるでしょう。

SCS評価制度で問われる、情報の保管期限と更新の期限

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省などが進める任意の制度で、企業のセキュリティ対策の水準を★の数で表します。★3・★4の申請受付は2026年度末に始まる予定です。取引を直接規制するものではありませんが、本人確認書類のような重い情報を扱う企業ほど、取引先から保管のルールや更新の体制を尋ねられる場面が出てくると考えられます。

この事例に関わるのは、★3の要求事項「3-1-4 機密区分に応じた情報の管理」と「4-4-4 セキュリティパッチ・アップデートの手続」です。前者は、重要な機密情報ごとに、管理者や保管場所に加えて保管期限を把握する仕組みを整えることを求めています。後者は、重大な脆弱性を直すアップデートを、公開から14日以内に当てることを求めるものです（IPA「★3・★4 要求事項・評価基準」）。画像の保管期間を決める対策1と、更新の期限を決める対策2は、この2つへの準備にもなります。★3の要求事項の全体はSCS評価制度への対応で整理しました。

まとめ

タイムズカーの事例では、Webシステムの脆弱性を悪用した不正アクセスで、6,628,007件の個人情報と、暗号化した本人確認書類の画像1,464,800件に外部送信の痕跡が確認されました。タイムズモビリティは画像を登録確認の完了後すぐに削除するルールに改め、保有中の画像を10月末までに削除するとしています。

会員登録やオンライン申込で本人確認書類の画像を預かる企業が、今日から進めたいのは次の3つです。

• 画像の受け取りの経路と置き場所を書き出し、照合が済んだ画像と退会者の画像を消す流れをつくる
• 会員登録や書類アップロードの画面を改修のたびに診断し、接続情報と画像の保存場所の置き方を見直す
• 本人ごとの影響を示す方法、退会者への連絡手段、なりすましへの注意の文を手順書にまとめる

お知らせを載せる公式サイトの守りの基本がどこまでできているかは、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応