対象：タイムズカーやタイムズビジネスサービス、タイムズクラブを使ったことがある人（退会した人・申し込みだけした人を含む）と、本人確認書類を預かるサービスを運営している人。本記事は運営会社の公式発表とFAQにもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
タイムズカーやタイムズビジネスサービス、タイムズクラブを使ったことがある人（退会した人・申し込みだけした人を含む）と、本人確認書類を預かるサービスを運営している人。
- 未確認事項
- 本人確認書類の画像を10月末までに削除するとした件の完了報告（11月2日時点で公式の続報は確認できない）
- お見舞い（3,000円相当）の内容と渡し方（同社は検討中で、決まりしだい対象者に案内するとしている）
- 情報セキュリティ強化策とガバナンス強化策（年内を目処に公表するとしている）
さらに1件
- 社外取締役を中心とした調査委員会による検証の結果
- 今やること手順を見る ↓
- 同社を名乗るメール・SMS・電話・郵便の指示に従わない（全員）
- 信用情報機関3つに「本人申告」を登録する（書類画像の外部送信が確認された人）
- 自分の信用情報を開示して、身に覚えのない契約がないか見る（書類画像の外部送信が確認された人）
さらに3件
- 退会した人・入会しなかった人は、専用フォームで照会し、必要なら消去を求める
- パスワードの使い回しを解消する
- 法人会員の担当者は、取引先を装うメールへの注意を社内に回す
- 確認先（出典）出典の一覧 ↓
- タイムズモビリティ株式会社「『タイムズカーWebシステム』への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」（2026年10月23日：最終件数、タイムズクラブWebシステム、原因、お見舞い、マイページでの確認）
- 最終確認日時
- 2026年11月2日時点（第5報が最新）
発表の続報予定と確認の記録
同社は10月23日の第5報で、外部専門機関によるフォレンジック調査を同日に終えたとし、最終件数、原因（Webシステムの脆弱性の悪用）、お見舞いの方針を公表しました。現時点で追加の対象範囲は確認されていないとしています。攻撃手法の詳細とシステム構成は、二次被害を防ぐため公表しないとしています。
マイページで自分の項目を確かめる
同社は10月23日17時から、タイムズカーWebサイトのマイページに、一人ひとりについて漏えいが確認された情報を載せています。確認の手順は同社がPDF（確認方法について）で公開しています。マイページは、メールのリンクからではなく、公式アプリか自分で開いた公式サイト（share.timescar.jp）からログインして開いてください。
FAQによれば、これまで届いたメールには配信した時点で確認されていた情報が書かれています。調査が終わった最終的な内容はマイページで確かめます。自分の項目が次のどれに当たるかで、やることが変わります。
| 確認できた内容（第5報の区分） | 同社の説明 | やること |
|---|---|---|
| 本人確認書類の画像に「アクセスされ、外部送信された痕跡」（④、1,464,800件） | 暗号化した画像が外部に送信された。直ちに中身が見られる状態になったことを意味しないが、将来の復号の可能性は完全には否定できない。3,000円相当のお見舞いの対象 | 下の手順をすべて。とくに信用情報機関3つへの本人申告と、信用情報の開示 |
| 本人確認書類の画像に「アクセスされたが、外部送信の痕跡なし」（⑤、891,602件） | 同社は、画像の中身が閲覧・取得された可能性は低いと考えるとしている。お見舞いの対象外 | 同社を装う連絡に注意。本人申告は任意で検討 |
| 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報など（①、6,628,007件） | 画像以外の項目。駐車場だけを「カンタン入会」で契約した人（クレジットカード払い）の情報も含まれる | 同社を装う連絡に注意。法人会員は部署名入りの偽メールにも注意 |
| タイムズクラブの会員 | タイムズクラブWebシステムで、タイムズクラブカード番号（19,510件）、連携サービスID（135,436件）、クレジットカード番号の下4桁（28件）などに外部送信の痕跡（⑥） | 同社を装う連絡に注意。自分が該当するかは同社の窓口で確認（確かめ方は第5報に書かれていない） |
| 退会済み・入会しなかった | マイページでは確認できない | 専用の問い合わせフォームで照会する（2週間程度を目処に順次案内） |
通知メールも偽物が出やすい：本文のリンクから手続きしない
今後、本物の通知に似せた偽メールが出てくることも考えられます。同社はFAQで、電話やメールでSMS認証コード、インターネットサービスのパスワード、運転免許証やマイナンバーカードの暗証番号などを聞くことはないとしています。
お見舞いの内容と渡し方は、第5報（10月23日）以降、11月2日時点でも決まっていません（決まりしだい対象者に案内するとしている）。「お見舞金の受け取り手続き」を名乗って口座番号やカード番号を入力させる連絡が来ても、リンクは開かず、公式サイト（share.timescar.jp）の新着情報で同じ案内が出ているかを自分で確かめてください。問い合わせは専用窓口 0120-25-8924（24時間）か、公式サイトの問い合わせフォームです。
マイページの表示（2026年10月27日に対象の会員に表示された内容）によれば、「運転免許情報」は免許証番号・免許証種別・有効期限（画像を除く）です。ほかに、会員管理やシステム運用のための識別情報（同社内部で使っている管理情報）も漏えい項目として表示され、「2026年9月25日時点の登録情報」との注記があります。同社の第5報とFAQ（10月23日版）には、この項目の中身は書かれていません。本人確認書類の画像とは別の項目です。
対象者が今日やること
免許証が悪用されないための対策は別記事で詳しく
本人申告の具体的な申し込み方、携帯電話やローンの不正契約の見つけ方、警察への相談のしかたは 運転免許証の画像や番号が漏れたときにやること にまとめています。この記事では、今回の事案に合わせた要点だけを書きます。
同社を名乗るメール・SMS・電話・郵便の指示に従わない（全員）
漏れたのは氏名・住所・生年月日・電話番号・メールアドレスがそろった情報です。これだけそろうと、本物らしく見える連絡が作れます。
「補償の手続き」「免許証の再提出」「カードの再登録」といった名目の連絡が来ても、本文のリンクは開かず、自分で公式アプリか公式サイトを開いて確かめます。同社もFAQで、心当たりのない連絡には応答せず、リンクや添付ファイルを開かないよう呼びかけています（見分け方は フィッシングとは）。
同社は10月6日にFAQで、同社・金融機関・携帯電話会社・公的機関などを名乗ってSMS認証コード、ID・パスワード、口座情報、クレジットカード情報、暗証番号などを聞き出そうとする連絡に注意するよう呼びかけました。同社から電話やメールでSMS認証コード、運転免許証やマイナンバーカードの暗証番号などを聞くことはないとしています。本件について警察庁に相談し、同庁から警察を名乗る電話（ニセ警察詐欺）への注意喚起と、特殊詐欺の被害を防ぐ無料アプリの紹介を受けたとして、あわせて案内しています。不審な連絡はその場で答えず、各事業者の公式窓口に自分で確かめます。
信用情報機関3つに「本人申告」を登録する（書類画像の外部送信が確認された人）
本人申告は、本人確認書類の紛失・盗難・漏えいなどで名義を悪用されるおそれがあるときに使える制度です。登録すると、ローンやクレジットカードの審査で加盟会社がその情報を見て、より慎重に審査します。
同社はFAQ（Q12）で、この制度は与信の判断に使われるもので、たとえば預金口座の開設時には使われないと説明し、利用を勧めも保証もしない立場としています。当サイトは、外部送信が確認された人には、将来の復号の可能性が否定されていない以上、登録しておく価値があると考えます。
加盟している会社が機関ごとに異なるため、3つとも登録するのが確実です。手数料と方法は下の表のとおりです（2026年10月3日に各機関の公式ページで確認）。
自分の信用情報を開示して、身に覚えのない契約がないか見る（書類画像の外部送信が確認された人）
本人申告は審査を止めるものではありません。実際に自分の名義で何か作られていないかを、信用情報の開示で確かめます。
今すぐ1回と、数か月後にもう1回見て、申し込んだ覚えのないカードやローンがないかを確認します。身に覚えのない契約や督促状、見知らぬ携帯電話会社・金融会社からの郵便物が届いたら、その会社と最寄りの警察署に相談します。
退会した人・入会しなかった人は、専用フォームで照会し、必要なら消去を求める
同社は退会済みの人にも10月1日から順次案内を始めましたが、登録した連絡先が今も使えるとは限らないとしています。退会済みの人と入会しなかった人はマイページで確認できないため、専用の問い合わせフォームから照会するよう案内しています（入力から2週間程度を目処に順次案内）。フォームは第5報のページから開けます：退会者様専用のお問い合わせフォーム。
本人確認書類の画像は、同社が第4報と第5報で、申し出の有無にかかわらず10月末までに削除するとしています。氏名・住所・生年月日は、FAQ（10月23日更新）でも法人税法等にもとづき7年間保管と説明されていますが、画像以外の情報についても保管ルールなどを見直すとしています。今後使う予定がない人は、同じ機会に、それらの扱いと消去についても問い合わせられます（法律上の位置づけは後述）。
パスワードの使い回しを解消する
第5報によれば、ハッシュ化（元に戻せない形に変換）されたパスワードに外部送信の痕跡が確認されたのは4件です。自分が該当するかはマイページで確かめます。該当しない人も、タイムズカーと同じパスワードを他のサービスでも使っているなら、そちらは変えておくと安心です。棚卸しは パスワードマネージャー に任せるのが現実的です。
法人会員の担当者は、取引先を装うメールへの注意を社内に回す
第5報によれば、法人会員の所属部署名は3,677件で外部送信の痕跡が確認されています。氏名・部署・メールアドレスがそろうと、取引先や社内の人物を装ったメールが作りやすくなります。
「振込先が変わった」「至急この書類を確認して」といったメールは、メール以外の手段（電話など）で送り主に確かめるルールを周知しておきます（自社ドメインの守り方は なりすましメール対策（SPF・DKIM・DMARC））。
| 信用情報機関 | 主な加盟会社 | インターネット・アプリ | 郵送 | 登録の有効期間 |
|---|---|---|---|---|
| CIC | クレジットカード会社・信販会社など | 1,000円（クレジット契約で使った電話番号からの発信が必要） | 1,000円（定額小為替） | 5年 |
| JICC（日本信用情報機構） | 消費者金融など | スマホアプリ 700円 | コメント1種類あたり1,111円 | 5年 |
| 全国銀行個人信用情報センター | 銀行など | 500円（マイナンバーカードが必要） | 2,403円 | 公式ページで確認 |
信用情報機関は混雑している：郵送でも申し込める
この事案の公表後、申し込みが集中しています。CICは9月30日、インターネットでの開示や本人申告の受付番号が取りにくく、電話もつながりにくいと告知しました。JICCは10月1日にスマホアプリでの受付を一時休止し、10月2日に再開した後、同日18時30分から10月4日までサーバーメンテナンスのため再び受付を止めています（再開時刻は改めて告知）。
登録が数日遅れることより、偽のサイトに入ってしまうほうが危険です。各機関の公式サイトから、つながらなければ郵送で申し込んでください。検索広告やメールのリンクから「代行」をうたうサイトに入らないようにします。
何が起きたのか（タイムズモビリティの発表より）
タイムズモビリティ株式会社は、親会社のパーク24株式会社とともに、9月25日に第1報、9月28日に第2報、9月29日に第3報、10月16日に第4報、10月23日に第5報を公表しました。よくある質問（FAQ）は10月1日に公開され、10月6日・13日・16日・23日に更新されています。以下はすべて同社の公式発表に記載された内容です。
2026年9月25日 9時07分
タイムズカーWebシステムへの外部からの不正アクセスを検知し、調査を開始。9月25日
第1報。個人情報が漏えいした可能性を公表し、個人情報保護委員会への報告などを進めていると説明。9月26日 7時25分まで
不正アクセスの経路と、攻撃元との通信を遮断。遮断後はアクセスできないことを確認し、監視を継続。9月28日
第2報。約660万アカウントの情報が第三者に取得されたことを確認したと公表。個人情報保護委員会と警察に報告し、国土交通省へ一報。既存会員の方へのご案内を開始（第5報の経緯表）。パーク24は適時開示で、業績への影響は精査中とした。9月29日
第3報。本人確認書類の画像の漏えいは約160万アカウントと公表。個人会員の方へのご案内を開始（第5報の経緯表）。10月1日
FAQと退会者専用の問い合わせフォームを追加。退会済みの人への個別案内を順次開始。書類画像以外の情報が漏れた個人会員にもメールが届いている。10月2日
法人会員への案内を開始（第5報の経緯表より）。10月6日
FAQに2問を追加。免許証画像が漏れた場合の本人確認の仕組みの説明と、同社などを名乗る連絡への注意（警察庁に相談したこと、ニセ警察詐欺への注意を含む）。10月13日
FAQの2問を更新。本人確認の追加手続きの例（ICチップ情報の読み取り、公的個人認証の利用など）と、参考にした法令・行政機関の公表資料を追記。10月16日
第4報。本人確認書類の画像の保有ルールを見直し、会員登録の完了後は画像を保有しない社内ルールに変更。現在保有している画像は本人の申し出の有無にかかわらず2026年10月末までに削除するとした。調査に時間を要しているとして、2週間程度を目処としていた案内を10月23日（金）に変更。FAQに、公表に時間がかかっている理由と、画像を削除したあとのなりすまし対策を追加。10月23日
外部専門機関によるフォレンジック調査を終了し、第5報を公表。最終件数（タイムズカーWebシステム 6,628,007件、書類画像の外部送信 1,464,800件など）、関連するタイムズクラブWebシステムへの不正アクセス、原因（Webシステムの脆弱性の悪用）、3,000円相当のお見舞い、年内を目処にした強化策の公表を示した。17時からマイページに一人ひとりの漏えい項目を掲載。FAQを更新し、お見舞いや本人申告制度などの問いを追加。
- 調査
- 外部専門機関によるフォレンジック調査を10月23日に終了。示された件数は調査結果にもとづく最終件数で、現時点で追加の対象範囲は確認されていない
- タイムズカーWebシステム（①）
- 氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報。攻撃者によるアクセスと外部送信の痕跡が確認されたのは6,628,007件。タイムズビジネスサービスに「カンタン入会」で入会し、駐車場だけを契約している人（クレジットカード払い）の情報も含む（氏名・電話番号・メールアドレス）
- 属性・識別情報（②）
- 法人会員の所属部署名 3,677件、タイムズカー会員番号（IC管理番号）8件、タイムズビジネスカード番号 113件、連携サービスID 4件（第2報の9件から訂正。第2報で対象とした「JR西日本グループの会員サービスWESTER ID」は0件）
- パスワード（③）
- ハッシュ化された認証情報（パスワード）に外部送信の痕跡 4件
- 本人確認書類の画像（④⑤）
- 暗号化して保管。外部送信の痕跡 1,464,800件、アクセスされたが外部送信の痕跡なし 891,602件、計2,356,402件。これまでは約160万件に漏えいのおそれがあるとしていた。外部送信の痕跡があっても直ちに中身が見られる状態になったことを意味しないが、将来の復号の可能性は完全には否定できない（同社）
- 画像の種類
- 運転免許証、現住所確認書類（公共料金の請求書等）、学生証（学生プランの場合）、家族確認書類（家族プランの場合）（10月1日〜16日版のFAQの説明）
- タイムズクラブWebシステム（⑥）
- 本事案に関連して不正アクセスを確認。外部送信の痕跡は、氏名・住所・生年月日・運転免許情報 5件、タイムズクラブカード番号 19,510件、タイムズビジネスカード番号 12件、連携サービスID（他社提携サービスと連携するための識別番号）135,436件、クレジットカード番号の下4桁 28件
- その他
- 会員管理とシステム運用のための識別情報にも、アクセスと外部送信の痕跡
- 運転免許情報
- マイページの表示では免許証番号・免許証種別・有効期限（画像を除く）。ほかに会員管理・システム運用のための識別情報も表示される。第5報とFAQ（10月23日版）には項目の記載なし（書類画像とは別の項目）
- クレジットカード情報
- 決済情報を保持しない仕組みで、カード番号の全桁とセキュリティコードは保持していないため、不正に使われるおそれはないとしている
- 二次被害
- 同社が把握している範囲で、漏えいした情報が売買・公開されたことを示す事実は確認されていない。外部専門機関と連携してダークウェブを含む監視を続ける
- 原因
- Webシステムに存在した脆弱性が悪用されたと判断。攻撃者は侵入後にシステム内の情報を探し、得た情報を使ってデータベースとファイル領域にアクセスしていた。攻撃手法の詳細とシステム構成は、二次被害を防ぐため公表しない
- 対策
- 確認された侵害経路への対策を完了。同じ構成のシステムの点検と脆弱性対策、監視・検知の強化を実施
- お見舞い
- 暗号化された書類画像へのアクセスと外部送信の痕跡が確認された人に、3,000円相当の現金または金券。内容と渡し方は検討中で、決まりしだい対象者に案内
- 画像の保有ルール（第4報・第5報）
- 現会員は「会員期間中は保有」から「登録確認完了後、即時削除」に変更（退会会員の欄は現行「退会後7年間保有」、変更後は「ー」）。現在保有している画像は、本人の申し出の有無にかかわらず2026年10月末までに削除。保存していた画像との同一性を確かめるための情報は保全する。画像の削除後のなりすまし対策の詳細は防犯上の理由で回答を控えるが、不正利用対策を緩めるものではないとしている（FAQのQ14）
- 今後
- 社外取締役を中心に外部専門家を加えた調査委員会で、内部統制とガバナンスの観点から検証する。情報セキュリティとガバナンスの具体的な強化策は年内を目処に公表
- 問い合わせ
- 専用窓口 0120-25-8924（24時間）、公式サイトの問い合わせフォーム、退会者専用フォーム
読み方の注意：「売買・公開は確認されていない」は「安全」ではない
同社は、把握している範囲で、漏えいした情報が売買・公開されたことを示す事実は確認されていないとしています。これは今のところ見つかっていないという意味で、これから使われないという意味ではありません。画像が暗号化されていたことも、同社自身が将来の復号の可能性を否定していません。
とくに本人確認書類の画像は、何年たっても悪用に使われ得る情報です。備えは年単位で考えてください（CICとJICCの本人申告の有効期間は5年です）。
なぜ免許証の画像が漏れたことが重いのか
変更・再発行できるもの
- パスワード（今回はハッシュ化。外部送信は4件。使い回しを解消）
- クレジットカード（全桁とセキュリティコードは保持されていない。下4桁は28件）
- メールアドレス・電話番号（手間はかかるが変えられる）
自分では変えられないもの
- 氏名・生年月日
- 顔写真
- 住所（引っ越さない限り変わらない）
外部に送信された情報（書類画像 1,464,800件）
暗号化された運転免許証などの書類の画像＋氏名・住所・生年月日
↓ 他人が、あなたの名義で申し込む
ローン・クレジットカードの審査
加盟会社が信用情報を見る
本人申告（信用情報機関3つ）
登録があると、加盟会社がより慎重に審査する。申し込みを止めるものではない
↓ それでも契約されたら
申し込んだ覚えのないカード・ローン
督促状や、見知らぬ会社からの郵便物で気づくこともある
信用情報の開示
今すぐ1回と、数か月後にもう1回。見つけたら、その会社と警察署に相談
パスワードは変更すれば古いものが使えなくなりますが、本人確認書類の画像はそうなりません。ネットで契約するときの本人確認には、免許証を撮った画像と自撮りを送るだけの方式が広く使われてきました。
今回の画像は暗号化して保管されていました。暗号化は、持ち出されたデータをすぐには読めなくする手段で、持ち出しそのものを防ぐものではありません。同社も、外部に送信された暗号化データについて将来の復号の可能性を完全には否定していないため、備えは年単位で考えます。
免許証の再交付については、道路交通法第94条第2項が理由として挙げるのは亡失・滅失・汚損・破損などで、画像の漏えいは明記されていません。受けられるかは住所地の運転免許センターに確認が必要です。再交付を受けても氏名・生年月日・顔写真は変わらず、今回は住所確認書類の画像も含まれるため、それだけで解決はしません。
画像だけの本人確認は廃止に向かっているが、まだ終わっていない
銀行口座の開設などに適用される犯罪収益移転防止法の施行規則は、2025年6月の改正で、本人確認書類の画像と自撮りを送る非対面の方式（いわゆるホ方式）を廃止しました。施行は2027年4月1日です。2026年3月の改正では、対面でもICチップの読み取りを原則とすることが決まり、同じ日から施行されます。
携帯電話の契約は別の法律（携帯電話不正利用防止法）の対象で、総務省によればオンライン契約は2026年4月1日からICチップの読み取りが原則必須になっています。
同社も10月6日にFAQで（10月13日更新）、金融機関などが画像を使って非対面で本人確認をするときは、容貌画像（自撮り）との照合、ICチップ情報の読み取り、公的個人認証の利用、本人名義の口座による確認といった追加の手続きが使われると説明しています。参考にした法令として、犯罪収益移転防止法とその施行規則、携帯電話不正利用防止法を挙げています。ただし、第三者による不正な申し込みの試みや、それ以外の契約でのなりすましなどの可能性は完全には否定していません。
一方で、2027年3月までの銀行などの非対面の手続きや、これらの規則の対象外のサービス（年齢確認や会員登録で免許証画像を求めるサービスは多くあります）では、画像がまだ本人確認として通用し得ます。本人申告と信用情報の確認を勧めるのはこのためです。
退会者の情報が残っていた理由（同社の説明）と、消去の請求
漏えいの対象には、退会済みの人と入会申込が未完了の人が含まれていました。同社はFAQで、保管の理由を次のように説明しています。
- 氏名・住所・生年月日：法人税法等にもとづき7年間保管
- 運転免許情報と画像：なりすまし対策や問い合わせ対応のため7年間保管
同社は10月16日の第4報で、この画像の扱いを改め、10月23日の第5報でも同じ内容を示しました。会員登録の確認が終わったあとは画像を保有しない社内ルールに変え、現在保有している画像は、本人の申し出の有無にかかわらず2026年10月末までに削除するとしています。FAQ（10月23日更新）では、氏名・住所・生年月日は7年間保管としたうえで、それ以外の情報についても保管ルールなどを見直すとしていますが、具体的な期間はまだ示されていません。
法律の側では、個人情報保護法第22条が、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。これは努力義務で、どの期間が必要かは事業者が目的に照らして判断します。
本人の権利としては、同法第35条第5項により、漏えい等の報告対象となる事態が起きた場合や、事業者がその個人データを利用する必要がなくなった場合などに、利用停止や消去を請求できます。法令で保存が必要な記録などは残る場合がありますが、何が残り、いつ消えるのかの回答を受け取るだけでも意味があります。
本人確認書類を預かるサービスを運営している人へ
同社は10月23日の第5報で、原因をWebシステムに存在した脆弱性の悪用とし、攻撃者は侵入後にシステム内の情報を探し、得た情報を使ってデータベースとファイル領域にアクセスしていたと説明しています（手法の詳細は非公表）。画像は暗号化していましたが、外部送信の痕跡が1,464,800件で確認されました。また、退会後も運転免許情報と画像を7年間保管していたことを、画像については会員登録の確認が終わったら保有しないルールに改めています。保管の必要性は事業ごとに異なります。そのうえで、本人確認書類を預かる側が一般に見直せる点は3つあります。
確認した結果の記録と、確認に使った画像を分けて保管期間を決める
審査が終わったあとに業務で必要なのは、多くの場合「いつ・どの書類で・誰が確認したか」と免許の有効期限です。画像そのものが必要な期間と、記録だけで足りる期間を項目ごとに分けて決めます。
退会者と申込未完了者の画像に、消す期限を決めて自動で消す
退会した人や手続きを途中でやめた人の書類画像は、日々の業務では使われないのに、漏えい時には対象に入ります。法令で求められる保存期間があればその期間、なければ短い期限を決め、期限が来たら自動で消えるようにします。手作業の削除は続きません。
画像の保管場所を、Webのシステムから直接読めない場所に分ける
会員登録や予約を受けるWebのシステムが、画像の保管場所にも同じ権限で自由にアクセスできると、Web側が破られたときに画像までまとめて持ち出されます。
画像は別の保管場所・別の鍵に置き、Web側からは「確認済み」という結果だけが見える構成が基本です。一般に、Webのシステムに入った攻撃者がシステム内で得た情報を使って奥のデータに届く場合、暗号化だけでは持ち出しは止まりません。保管場所への経路を分けておくことが、暗号化とは別に必要です。考え方は 組織のセキュリティ対策、最低限はどこか と 認証と認可の違い で扱っています。
公表後の動き
- 信用情報機関のCICとJICCに本人申告や開示の申し込みが集中し、受付の遅れやスマホアプリでの受付休止が続いている（各機関の告知）。
- 弁護士が集団訴訟の参加者を募るサイトを開設し、登録が10月2日午後9時時点で1万5千人を超えたと報じられた（日本経済新聞、10月2日）。
- 親会社パーク24の株価は公表後に下落したと報じられた。同社は業績への影響を精査中としている。
- 同社は10月1日のFAQで、退会者の情報を保管していた理由を説明した。
- 同社は10月16日の第4報で、本人確認書類の画像を会員登録の完了後は保有しないルールに改め、保有中の画像を10月末までに削除するとした。
- 同社は10月23日の第5報で、書類画像の外部送信が確認された人への3,000円相当のお見舞いと、社外取締役を中心とした調査委員会での検証、年内を目処にした強化策の公表を示した。
同じ年に公表された国内の大型事案との比較は 2026年の大型情報漏えいの比較、流出したのが画像そのものではなく付随情報だった例は Gyazoの情報漏えい にまとめています。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない侵入の手口や原因は推測していません。
- 対象会員のマイページの表示（2026年10月27日に確認。非公開の画面で、同社の公開資料ではない）：運転免許情報の項目と、内部の識別情報の記載
- タイムズモビリティ株式会社「『タイムズカーWebシステム』への不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」（2026年10月23日：最終件数、タイムズクラブWebシステム、原因、お見舞い、マイページでの確認） — share.timescar.jp ／ 確認方法（PDF） corp.timescar.jp
- タイムズモビリティ株式会社「『タイムズカーWebシステム』への不正アクセスに関する対応について（第4報）」（2026年10月16日：画像の保有ルールの見直し、保有中の画像の10月末までの削除、次の案内は10月23日） — share.timescar.jp
- タイムズモビリティ株式会社「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）」（2026年9月25日、10月1日更新） — share.timescar.jp
- 同「『タイムズカーWebシステム』への不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日、10月1日更新） — share.timescar.jp ／ 通知メールの案内先 corp.timescar.jp
- 同（第3報）（2026年9月29日、10月1日更新：本人確認書類の画像 約160万アカウントと個別案内の開始） — share.timescar.jp
- 同「タイムズカーWebサイトへの不正アクセスに関するご質問と回答」（2026年10月1日、10月6日・13日・16日更新。10月23日更新：漏えい項目・クレジットカード・確認方法・保管の問いを第5報に合わせて改め、補償の問いと公表の遅れの問いを削除、お見舞い・その対象・画像の外部送信・本人申告制度の4問を追加し、全14問に番号を振り直し） — corp.timescar.jp（PDF）
- パーク24株式会社「連結子会社における不正アクセスの発生および個人情報漏えいに関するお知らせ」（2026年9月28日、適時開示） — park24.co.jp（IR）
- JR西日本「タイムズカーWebサイトへの不正アクセスについて」（続報を含む） — wester.jr-odekake.net
- 本人申告：CIC「本人申告とは」 ／ JICC「不正利用防止の届け出」 ／ 全国銀行個人信用情報センター「本人申告の手続き」
- 混雑の告知：CIC（9月30日） ／ JICC（10月2日）
- 警察庁 JAFIC「犯罪収益移転防止法施行規則の改正に関するQ&A」（令和7年6月24日公布・令和8年3月6日公布） — npa.go.jp
- 総務省「携帯電話の本人確認ルール」 — soumu.go.jp
- 道路交通法 第94条（免許証の再交付） — e-Gov法令検索
- 個人情報の保護に関する法律 第22条・第35条 — e-Gov法令検索
- 報道：日本経済新聞「タイムズカー免許証画像流出、訴訟サイトに1.5万人超登録」（2026年10月2日） — nikkei.com ／ 共同通信（沖縄タイムス掲載、2026年10月3日） — okinawatimes.co.jp
更新履歴
2026-11-02：「運転免許情報」の中身について、マイページの表示（2026年10月27日に対象の会員に表示）にもとづき、免許証番号・免許証種別・有効期限（画像を除く）と、内部の識別情報も漏えい項目であることを追記（よくある質問・本文・事実の一覧）。第5報とFAQ（10月23日版）に項目の記載がないことは変わらない。タイムズカーのお知らせ欄（share.timescar.jp）には11月2日の確認時点で第6報などの新しい報告はなく、お見舞いの渡し方の決定や画像削除の完了報告も出ていない。
2026-10-24：10月23日の第5報とFAQの更新を反映。タイトル・説明・結論・早見表・事実の一覧・年表・よくある質問を、最終件数（タイムズカーWebシステム 6,628,007件、書類画像の外部送信 1,464,800件・アクセスのみ 891,602件、パスワード4件など）、関連するタイムズクラブWebシステムの漏えい（クレジットカード番号の下4桁28件など）、連携サービスIDの訂正（9件→4件、WESTER IDは0件）、原因（Webシステムの脆弱性の悪用）、3,000円相当のお見舞い、マイページでの確認（10月23日17時から）、退会者専用フォームの新しいURLに合わせて書き直しました。「約160万アカウント」の記述は、同社が「漏えいのおそれ」としていた当時の数字として扱いを改めました。
2026-10-16：約160万は画像枚数ではなく書類画像を含むアカウント数であることを明確化。画像の漏えい否定文だけから、個人別の他の漏えい項目を断定しない回答に訂正。第3報とFAQの該当範囲を再確認。
2026-09-29：初版。9月25日（第1報）・9月28日（第2報）の公表内容にもとづく。
2026-09-30：9月29日の第3報（本人確認書類の画像 約160万アカウント・個別案内の開始）を反映。
2026-10-03：10月1日のFAQと各報の追記を反映。通知メールの種類ごとの早見表、退会者専用フォーム、退会者データの保管理由（7年間）、クレジットカード情報を同社が保有していない点、パスワードが漏えい項目に含まれる点、信用情報機関の手数料と混雑状況、2026年の犯収法・携帯電話の本人確認ルールの改正を追加。「全会員向けのお詫びメール」の記述は確認できなかったため削除。同社は約2週間を目処に詳細を再報告するとしているため、公表され次第更新します。
2026-10-05：集団訴訟サイトの登録者数を、より新しい報道（10月2日午後9時時点で1万5千人超）に更新。
2026-10-06：退会者専用の問い合わせフォームへのリンク（第1報ページの10月1日更新分）を追加。
2026-10-11：10月6日にFAQへ追加された2問（免許証画像が漏れた場合の本人確認の仕組み、同社などを名乗る連絡への注意と警察庁への相談）を反映。原因は10月11日時点でも公表されていません。
2026-10-14：10月13日のFAQの更新を反映（本人確認の追加手続きの例にICチップ情報の読み取りと公的個人認証を追加、参考法令を追記）。第4報と原因は10月14日時点で公表されていません。
2026-10-17：10月16日の第4報とFAQのQ11・Q12を反映（本人確認書類の画像を会員登録の完了後は保有しないルールへの変更、保有中の画像の10月末までの削除、次の案内が10月23日（金）に変更）。冒頭に「まだ分かっていないこと」の枠を追加。件数は変わらず、原因・調査結果・補償は10月17日時点で未公表です。
次に読む
- 車の利用者に関わる新しい事案：ロードサービスの受付システムへの不正アクセス（最大約550万件）
- 運転免許証の画像や番号が漏れたときにやること
- 書類画像の本人確認は2027年4月に原則廃止：オンラインの本人確認がICチップ読み取りに変わる（暗証番号の準備）
- 本人確認書類の番号が漏れた事案：らしんばん（買取の本人確認）
- 便乗詐欺への備え：フィッシングとは ／ 偽のウイルス警告（サポート詐欺）
- パスワード：パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 本人確認に使うスマホの守り方：スマホを安全に使う基本
- 同じ型の事案：カリテコ（名鉄協商・カーシェア） ／ Odido（オランダ・旅券と運転免許証の番号） ／ AssuranceAmerica（米国・運転免許証番号）
- 2026年9〜10月の国内の事案：セイコーマートアプリ（約57万人） ／ ヤマト運輸・佐川急便（宅配の送り主・届け先） ／ アバハウス（注文情報と偽の返金メール） ／ 大和証券（委託先から約11万名）
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外） ／ 2026年の大型情報漏えいに共通する教訓
- 運営側：組織のセキュリティ対策、最低限はどこか