対象：カーセンサーnet（アプリ版を含む）で中古車販売店に問い合わせたり口コミを投稿したりしたことがある人、C-MATCHを使っている販売店、顧客の問い合わせを取引先に取り次ぐサービスを運用している人。本記事は株式会社リクルートの公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月22日13時30分時点まだ分かっていないこと
- 実際に漏えいした情報があるか（発表は「漏えいした可能性」）
- 原因の詳細と経路（調査中）
- 個別の連絡の方法（郵送・メールなど）と時期
- 件数が何人にあたるか
- 個人事業主の販売店で引落口座情報が対象になる件数
- 警察への相談・届出の有無（記載なし）
同社は、原因と影響範囲の詳細を調査中としています。10月19日時点のお知らせでは、サービス再開の見込みが立ち次第、各サービスのウェブサイト等で知らせ、調査で知らせるべき事実が確認された場合は速やかに案内するとしていました。
カーセンサーnetのトップページのお知らせは、10月22日に「『カーセンサーnet』サービス再開に伴うご注意とお願い」に替わりました。10月22日13時頃から、安全性を確認できたサービス・機能から順次再開しているとしています。停止期間中に変わった車両の在庫状況や販売価格が掲載情報に反映されていない場合があるため、来店や契約の前に販売店に直接確かめるよう求めています。停止前に販売店へ送った問い合わせへの回答も遅れている場合があるとしています。
続報の時期は書かれていません。10月22日時点で、同社のプレスリリース一覧に続報は出ていません。
自分が対象かを確かめる
発表の対象は、次の4つのグループです。件数は同社が把握した最大値で、人数ではなく件数です。
| 対象者（同社の発表より） | 件数 | 項目 |
|---|---|---|
| カーセンサーnet（アプリ版を含む）で中古車販売店に問い合わせた人 | 3,210,421件 | 氏名・住所（3,176,375件）／氏名・住所・問い合わせ内容・年代・性別（33,247件）／氏名・住所・問い合わせ内容・電話番号・FAX番号・メールアドレス（799件） |
| カーセンサーnet（アプリ版を含む）で口コミを投稿した人 | 5,289件 | 氏名（5,285件）／氏名・メールアドレス（4件） |
| C-MATCHに登録のある中古車販売店 | 483,168件 | 代表者・担当者の氏名・電話番号、古物商許認可番号・許認可保有者氏名・発行都道府県、ログインID。個人事業主の場合は、加えて事業所・窓口の住所、郵便番号、電話番号、FAX番号、引落口座情報 |
| 同社の従業員（退職者を含む）、業務委託先（過去を含む）の従業員・個人事業主、販売代理店（過去を含む）の従業員 | 10,673件 | 氏名、メールアドレス、ログインID |
| 合計 | 最大3,709,551件 | 全てのグループに、同社内で付与する管理用IDが含まれる |
問い合わせた人の「住所」は、同社によれば原則として市区町村名までです。ただし、町名・番地・建物名・部屋番号まで含む住所が記載されている可能性があるものが、最大447,670件あります。
サイトやアプリで車を見ただけの人は、対象として挙げられていません。同社は該当する対象者に順次個別に連絡するとしていますが、連絡の方法は書かれていません。
問い合わせ・口コミをした人が今日やること
心当たりのない郵便物・メール・SMSのリンクや添付を開かない
同社は、漏えいした可能性のある情報を悪用した不審な連絡が届くおそれがあるとして、メール・SMS・郵送物の開封や電話への応答をしないこと、本文に記載されたリンクを開かないこと、添付されたファイルを開封しないことを呼びかけています。
今回の項目の大半は氏名と住所です。メールアドレスや電話番号よりも、宛名の正しい郵便物に注意が必要です。見分け方の基本は フィッシングとは にまとめています。
「補償」「返金」をうたう連絡は、発表ページから確かめる
同社は対象者に順次個別に連絡するとしています。本物の連絡と偽物が同じ時期に届くことになります。
「お詫びの補償」「返金」「アンケートの謝礼」といった名目（当サイトの例）でも、届いた郵便物やメールに書かれた電話番号・URL・QRコードは使いません。自分で検索して開いたリクルートの発表ページから、そこに載っている窓口をたどって確かめてください。
問い合わせた車の話をする連絡にも応じない
33,247件と799件には、問い合わせ内容も含まれます。一般に、問い合わせた車種や販売店の名前を言い当てる連絡は、本物らしく見えます。
販売店を名乗る連絡でも、相手が問い合わせの内容を知っていることは本物の証拠になりません。その場で答えず、販売店の電話番号を自分で調べてかけ直してください。
パスワードは、使い回しているなら分けておく
同社は、ログインパスワードは含まれていないとしており、パスワードの変更は求めていません。
それとは別に、同じパスワードを複数のサービスで使っているなら、この機会に分けておくと安心です。これは同社の案内ではなく、当サイトの一般的な助言です。管理には パスワードマネージャー が使えます。
すでに個人情報を伝えた・払ったときは、窓口と警察へ
問い合わせは、発表ページに載っている専用の問い合わせ窓口（リクルートのヘルプページからのメールでの問い合わせ）へ送ります。
不審な連絡にお金を払った、カード番号を伝えたという場合は、カード会社や銀行にも連絡し、警察の相談窓口（#9110）に相談してください。
C-MATCHを使う販売店がやること
ログインIDを知っている相手からの「再ログイン」の連絡に注意する
販売店の項目には、代表者・担当者の氏名・電話番号とログインIDが含まれます。同社はログインパスワードは含まれないとしています。
一般に、ログインIDと担当者名がそろうと、サービスの運営者を装ってパスワードの入力を求める偽の連絡が作れます。「サービス再開に伴う再ログイン」「アカウントの確認」などの連絡（当サイトの例）が来ても、本文のリンクから入力せず、ブックマークや公式の案内から開いてください。
個人事業主は、引落口座についての連絡に注意する
個人事業主の場合、引落口座情報も対象とされています。全国銀行協会は、銀行員などを名乗って口座情報や暗証番号を聞き出そうとする手口に注意を呼びかけています（この事件についてではなく、一般の注意です）。
「引落ができなかった」「口座の確認が必要」といった連絡が来ても、書かれた番号やURLは使わず、銀行や同社の公式の窓口に自分で確かめてください。不審な引き落としがあれば、すぐに銀行に連絡します。口座情報が漏れたときの考え方は らしんばんの記事 でも扱っています。
従業員に、担当者名を名乗る偽の連絡が来うることを伝える
担当者の氏名と電話番号が対象です。一般に、店の担当者名を名指しした電話やメールは、店の中で本物として扱われやすくなります。
C-MATCHやカーセンサーを名乗る連絡で、支払い先の変更やログイン情報を求められたら、その場で応じず、別の経路で確かめるよう店の中で決めておきます。
何が起きたのか（リクルートの発表より）
株式会社リクルートは、2026年10月21日に「『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」を公表しました。以下はすべて同社の発表と、カーセンサーnetのお知らせにもとづきます。
2026年10月17日（土）
『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知。同日17時頃から、カーセンサーnet、アプリ版カーセンサー、C-MATCHなど、カーセンサーnetに関連する全てのサービスを一時停止した。10月20日（火）
調査の結果、外部からの不正アクセスにより漏えいした可能性のある個人情報の項目と件数（最大値）を把握した。10月21日（水）
発表を公表。個人情報保護委員会へはすでに速報を行ったとしている。専用の問い合わせ窓口を設置。10月22日（木）
13時頃から、安全性を確認できたサービス・機能から順次再開。カーセンサーnetのお知らせを「サービス再開に伴うご注意とお願い」に替えた。
不正アクセスがいつ始まったかは、発表に書かれていません。10月17日は、同社が不審なアクセスを検知した日です。
- 運営会社
- 株式会社リクルート
- 対象サービス
- 中古車情報サイト『カーセンサーnet』（アプリ版を含む）、中古車販売店向け業務支援サービス『C-MATCH』
- 件数
- 最大3,709,551件（漏えいした可能性のある件数）
- 項目
- 上の表のとおり。全てのグループに同社内で付与する管理用IDが含まれる
- 含まれないもの
- クレジットカードなどの決済情報、ログインパスワード（全てのグループ）
- 原因
- 第三者からの不正なアクセス。原因と影響範囲の詳細は調査中
- 行政への報告
- 個人情報保護委員会へ速報済み
- 対象者への連絡
- 順次個別に連絡する。連絡ができない人には、発表でお知らせし、問い合わせ窓口で対応する
- 二次被害
- 10月21日時点で同社が把握している範囲では、確認されていない
- 再発防止策
- 原因究明を図るとともに、同社グループとしてより一層の対策を検討・実行するとしている。具体的な内容は書かれていない
- 問い合わせ先
- 発表に載っている専用の問い合わせ窓口（リクルートのヘルプページ。メールでの問い合わせ）
分かっていること・分かっていないこと
2026年10月22日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不審なアクセスの検知と停止 | 10月17日に検知し、同日17時頃から関連する全サービスを一時停止 | 確定（同社） |
| 原因 | 第三者からの不正なアクセス。詳細は調査中 | 確定（同社）／詳細は調査中 |
| 件数 | 最大3,709,551件（件数。人数は未公表） | 可能性（同社） |
| 問い合わせた人の氏名・住所 | 3,210,421件。住所は原則として市区町村名まで（番地等まで含む可能性は最大447,670件） | 可能性（同社） |
| 問い合わせ内容・年代・性別・電話番号・メールアドレス | 問い合わせた人の一部（33,247件、799件） | 可能性（同社） |
| 販売店の担当者情報・ログインID | 483,168件 | 可能性（同社） |
| 個人事業主の販売店の引落口座情報 | 対象に含まれる（件数は書かれていない） | 可能性（同社） |
| 従業員・委託先などの氏名・メールアドレス・ログインID | 10,673件 | 可能性（同社） |
| クレジットカードなどの決済情報 | 含まれない | 含まれない（同社） |
| ログインパスワード | 含まれない | 含まれない（同社） |
| 不正アクセスの開始時期・経路 | 書かれていない | 記載なし |
| 漏れた情報の悪用 | 10月21日時点で二次被害は確認されていない | 確認されていない（同社） |
| 対象者への個別の連絡 | 順次個別に連絡する（方法は書かれていない） | 順次実施中（同社） |
| 個人情報保護委員会への報告 | 速報済み | 確定（同社） |
| 警察への相談・届出 | 書かれていない | 記載なし |
| サービスの再開 | 10月22日13時頃から、安全性を確認できたサービス・機能から順次再開 | 再開（順次） |
| 停止期間中の掲載情報と問い合わせへの回答 | 在庫状況や販売価格の変更が掲載情報に反映されていない場合がある。停止前の問い合わせへの回答が遅れている場合がある | 同社が注意を呼びかけ |
読み方の注意：「可能性」と「含まれない」
発表の件数と項目は「漏えいした可能性のある」もので、3,709,551件すべてについて漏れたと確定したわけではありません。一方で、漏れていないと確定したわけでもありません。
「含まれない」と明記されているのは、クレジットカードなどの決済情報とログインパスワードだけです。また、件数は人数ではありません。同じ人が複数の販売店に問い合わせた場合などに、どう数えたかは書かれていません。
対象の項目の組み合わせで何が起きうるか
以下は一般に起きうることで、今回すでに起きたという意味ではありません。同社は、10月21日時点で二次被害は確認されていないとしています。
氏名＋住所（問い合わせた人）
↓→
宛名の正しい郵便物（補償・返金・アンケートをうたうもの）
→ 同封の番号やQRコードを使わず、発表ページで確かめる
氏名＋住所＋問い合わせ内容
↓→
問い合わせた車の話をする、販売店を装う連絡
→ 内容を知っていることを本物の証拠にしない／自分で調べた番号にかけ直す
担当者名＋電話番号＋ログインID（販売店）
↓→
運営者を装い、パスワードの入力や支払い先の変更を求める連絡
→ 本文のリンクから入力しない／別の経路で確かめる
発表で含まれないとされたもの
- クレジットカードなどの決済情報
- ログインパスワード
漏えいした可能性がある項目（同社の発表より）
- 氏名・住所（簡単には変えられない）
- 問い合わせ内容・年代・性別（一部）
- 電話番号・メールアドレス（一部）
- 販売店のログインID・古物商許認可番号、個人事業主の引落口座情報
住所は長く変わらないため、一般に、時間がたってから別の名目の連絡に使われることもありえます。この事件を名目にした連絡には、しばらく注意を続けてください。
過去の例では、2026年10月の ブックオフの会員情報流出 で、第1報の「最大約643万件（会員番号の件数）」が、第2報で人数（6,383,279人）に確定しました。今回もそうなるとは限りません。
問い合わせを取引先に取り次ぐサービスを運用している人へ
同社は原因の詳細を公表していないため、どう防ぐかはここでは書きません。本節は同社の対応を評価するものではありません。今回の発表から言えるのは、問い合わせた利用者、取引先の販売店、自社と委託先の従業員という性質の違う4つのグループの情報が、1つの事案で対象になったことと、住所が「原則として市区町村名まで」でも、番地まで含む可能性があるものが一定数あったことです。この2点から、事前に見直せることに絞ります。
「原則」と実際に入っているデータのずれを測る
同社は、問い合わせた人の住所は原則として市区町村名までとしたうえで、町名・番地まで含む可能性がある件数を最大447,670件と示しました。
一般に、入力欄の設計が「市区町村まで」でも、自由に書ける欄や古い形式のデータには、設計より細かい情報が入ることがあります。保存している項目を、設計書ではなく実際のデータで確かめると、漏えい時に「何が対象か」を早く正確に示せます。
どのシステムに、どのグループの情報があるかを一覧にする
利用者、取引先、従業員、委託先の情報は、それぞれ使う目的と必要な期間が違います。一般に、1つのサービスの周りで作られた関連システムには、これらが少しずつ集まりがちです。
システムごとに「どのグループの、どの項目を、いつまで持つか」を一覧にし、取り次ぎが終わった問い合わせの情報を日々の業務の画面から外せるかを決めておきます。対象のグループと項目が分かれていれば、事故の当日に「自分は対象か」を答えやすくなります。
個別の連絡の手段と、偽物との見分け方を先に決めておく
今回の対象者の大半は、メールアドレスや電話番号ではなく、氏名と住所だけが対象です。一般に、こうした対象者に個別に連絡する手段は限られ、本物の連絡と偽の連絡が同じ時期に届きます。
事故が起きる前に、重要な連絡に使う手段と送信元、連絡で聞かないことを決めて公式サイトに載せておくと、対象者が偽物を見分けやすくなります。メールの送信元のなりすまし対策は なりすましメールを防ぐSPF・DKIM・DMARC にまとめています。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない原因の詳細や侵入の経路は推測していません。
- 株式会社リクルート「『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月21日） — recruit.co.jp（PDF版：recruit.co.jp）
- 株式会社リクルート「『カーセンサーnet』への不正アクセスについて」（問い合わせ窓口のページ、2026年10月21日更新） — recruit-help.jp
- カーセンサーnet「『カーセンサーnet』サービス再開に伴うご注意とお願い」（トップページのお知らせ、2026年10月22日更新） — carsensor.net
- 株式会社リクルート プレスリリース一覧（2026年10月22日に確認。本件の続報なし） — recruit.co.jp
- 全国銀行協会「全国銀行協会の偽サイトにご注意！」（一般の注意） — zenginkyo.or.jp
更新履歴
2026-10-22（13時30分）：サービスの順次再開（10月22日13時頃から）と、カーセンサーnetのお知らせの更新（掲載情報と問い合わせへの回答の注意）を反映。従業員などのグループの書き方を発表に合わせて改めた。
2026-10-22：初版。リクルートの10月21日の発表と、カーセンサーnetのお知らせ・同社のプレスリリース一覧（10月22日に確認）にもとづく。原因の詳細と影響範囲は調査中のため、続報が公表され次第更新します。
次に読む
- 同じ時期の事案：ニフティの回線申込システムへの不正アクセス ／ H2O IDの個人情報漏えい
- 便乗詐欺への備え：フィッシングとは ／ スマホを安全に使う基本
- パスワード：パスワードマネージャーの選び方 ／ パスワード漏えいの確認方法
- 車に関わるサービスの事案：カリテコ（名鉄協商）のランサムウェア被害
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
Qカーセンサーの不正アクセスで何が漏れたのですか？
株式会社リクルートの2026年10月21日の発表によれば、漏えいした可能性のある情報は最大3,709,551件です。最も多いのは、カーセンサーnet（アプリ版を含む）で中古車販売店に問い合わせた人の情報3,210,421件で、そのうち3,176,375件は氏名と住所です。ほかに、口コミを投稿した人の氏名など、C-MATCHに登録のある販売店の担当者の氏名・電話番号・ログインIDなど、同社や取引先の従業員などの氏名・メールアドレス・ログインIDが含まれます。いずれも「漏えいした可能性」で、漏えいが確定したとは発表されていません。
Q自分は対象ですか？
発表によれば、対象はカーセンサーnet（アプリ版を含む）で販売店に問い合わせた人、口コミを投稿した人、C-MATCHに登録のある販売店、同社の従業員（退職者を含む）、業務委託先（過去を含む）の従業員・個人事業主、販売代理店（過去を含む）の従業員です。サイトを見ただけの人は対象として挙げられていません。同社は対象者に順次個別に連絡するとしていますが、連絡の方法（郵送・メールなど）は書かれていません。分からない場合は、発表ページに載っている専用の問い合わせ窓口で確かめてください。
Qパスワードやクレジットカードは大丈夫ですか？
同社は、いずれの対象者の情報にも、クレジットカードなどの決済情報とログインパスワードは含まれていないとしています。同社はパスワードの変更を求めていません。ただし、C-MATCHに登録のある個人事業主の販売店については、引落口座情報が対象に含まれるとされています。
Q原因は何ですか？
同社は原因を「第三者からの不正なアクセス」としていますが、どのような経路だったかなどの詳細は公表されていません。原因と影響範囲の詳細は調査中としています。業務委託先が原因だとは書かれていません。委託先の従業員などは、情報が対象になった側として発表に挙げられています。
Qカーセンサーやリクルートを名乗る連絡が来たらどうすればいいですか？
同社は、漏えいした可能性のある情報を悪用した不審な連絡が届くおそれがあるとして、メール・SMS・郵送物の開封や電話への応答をしないこと、本文に記載されたリンクを開かないこと、添付ファイルを開封しないことを呼びかけています。対象者には同社から個別の連絡が届く予定でもあるため、届いた連絡に書かれた番号やURLは使わず、自分で開いたリクルートの発表ページから案内をたどって確かめてください。
Q住所が漏れたかもしれません。何に気をつければいいですか？
同社によれば、問い合わせた人の住所は原則として市区町村名までですが、町名・番地・建物名・部屋番号まで含む住所が記載されている可能性があるものが最大447,670件あります。住所と氏名がそろうと、宛名の正しい郵便物が作れます。「補償」「返金」「アンケート」などをうたう郵便物でも、同封の用紙に個人情報やカード番号を書いたり、書かれた番号に電話したりせず、リクルートの発表ページで案内を確かめてください。