タイムズカーの情報漏えい、公表内容と法人利用企業が確認したいこと

2026年9月、カーシェアリングサービス「タイムズカー」のWebシステムに対し、外部からの不正アクセスが発生しました。パーク24の発表（2026年9月28日付第2報）によると、約660万件のアカウント情報が第三者に取得されたことが確認されています。

法人会員としてサービスを利用している企業は、自社の社員が対象に含まれている可能性を考慮し、まずは「どのような情報が漏えいしたのか」を正確に把握することが重要です。その上で、社員に対してなりすましメールなどの二次被害を防ぐための具体的な指示を出すことが、最初に行うべき実務となります。

タイムズカーの不正アクセスで判明した情報の詳細

漏えいした情報の具体的な項目とは

今回の調査結果により、漏えいした情報は対象となるお客様によって異なりますが、非常に多岐にわたることが判明しています。具体的には、氏名、住所、生年月日、電話番号、メールアドレスといった基本的な連絡先情報のほか、運転免許証の情報や、その本人確認書類である運転免許証の画像までもが含まれています。

さらに、法人会員の場合は「所属部署名」も対象に含まれている点が、企業にとって重要なポイントです。これらは個人の特定や、特定の組織に所属していることを示す情報として利用される恐れがあります。

パスワードについては、復元できない形式で保管されているため、パスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されていません。ただし、連携サービスID（JR西日本グループのWESTER IDなど計9件）が含まれている点は注意が必要です。

IDが漏えいした場合でも、連携先の認証方式や追加の認証要件により、直ちにログインが可能になるとは限りません。影響の有無については、各連携先の公式案内や認証方式を確認し、判断を保留してください。

対象となる会員の範囲と件数の規模

漏えいしたアカウント数は、約660万件という非常に大規模なものです。対象となるのは、現在利用中のタイムズカー会員だけでなく、過去に退会したお客様、さらには入会を申し込んだものの、何らかの理由で入会が完了していなかった方まで含まれます。

これは、過去のデータもシステム内に保持されていたことを示唆しており、現在サービスを利用していない社員であっても、過去に登録手続きを行っていれば対象となっている可能性があることを意味します。

さらに、法人向けサービスである「タイムズビジネスサービス」の会員および退会済みのお客様も対象に含まれています。法人契約を結んでいる企業においては、契約している社員だけでなく、過去に利用していた元社員の情報も含まれている可能性があるため、対象範囲を「現役の利用者」だけに限定せず、広く想定しておくことが重要です。

規模の大きさと対象の広さを踏まえ、企業としては「誰が影響を受ける可能性があるか」を広く想定しておく必要があります。

クレジットカード情報と現在の被害状況

利用者の中には金銭的な被害を懸念する声がありますが、パーク24の第2報ではクレジットカード情報は漏えいしていないと説明されています。また、同報告の時点で、漏えいした情報が不特定多数に公開された事実や、この事案に起因して個人情報が不正に利用されたといった具体的な被害も確認されていません。

サービス自体への影響も出ておらず、各種サービスは通常通り継続されています。

ただし、これらは「現時点において確認されていない」という段階であることを忘れてはいけません。同第2報では不正アクセスの原因について外部専門機関による調査（フォレンジック調査）が続いており、原因が完全に特定されたわけではありません。

そのため、今後の調査によって新たな事実や影響範囲が判明する可能性は常に残されています。企業としては、現時点での「安全」を過信せず、継続的な情報収集を行う姿勢が求められます。

法人利用企業が社員へ行うべき注意喚起

なりすましメールや電話への警戒指示

情報が漏えいした場合、次に起こりやすいのは、漏えいした情報を悪用した「なりすまし」による攻撃です。例えば、タイムズカーの担当者を装い、「パスワードの再設定が必要です」といった内容のメールやSMS（ショートメッセージ）、あるいは電話をかけてくるケースが想定されます。

これらは、あたかも正規の連絡であるかのように巧妙に作られていることが多いため、社員が不用意に反応してしまうリスクがあります。

社員には、パーク24が第2報で「同社がメール・SMS・電話等でパスワードやクレジットカード情報を尋ねることはない」と説明している点を伝えてください。発表者の「当社」はパーク24を指すため、自社と取り違えない文面にします。

また、身に覚えのない連絡に記載されたリンク（URL）を安易にクリックしたり、添付ファイルを開いたりしないよう、具体的な行動指針を示しておくことが重要です。特に、認証コードやパスワードを入力させるような画面が表示された場合は、すぐに報告させる体制を整えておきましょう。

パスワード管理と連携サービスへの対策

第2報では、連携サービスIDも漏えいした情報に含まれています。ただし、IDだけで認証を突破できると公表されているわけではありません。連携先で何が可能になるかを推測して、社員へ一斉にサービスを停止するよう求めるのは避けます。

法人管理者は利用している連携先を整理し、各サービスの公式案内や不審なログインの有無を確認してください。不明な点はサービス提供者の正規窓口へ照会します。

パスワードを他のサービスと使い回さないことや、利用可能な多要素認証を設定することは一般的な予防策です。本件で平文のパスワードが第三者に知られたと確認されたわけではないことと分けて説明しましょう。業務用アカウントの設定変更は、会社の管理者と手順を確認して行います。社内報告では社員のパスワードそのものや、不要な本人確認書類を収集しないようにしてください。

漏えい対象者への個別案内と社内報告ルート

パーク24からは、第2報時点で、対象となる方へ順次個別に案内すると説明されています。社員に対しては、「もしタイムズカーから直接連絡があった場合は、内容をよく確認した上で、勝手に判断せず、まずは社内の情報管理担当者（または総務担当者）に報告してください」と伝えておくことが有効です。

個人の判断で「大丈夫だろう」と放置してしまうことが、組織としての被害把握を遅らせる原因になります。

また、社員が受け取った不審なメールや連絡の内容は、他の社員への注意喚起にも役立ちます。「このようなメールが届いた」という事例を社内で共有する仕組みを作っておけば、同様の攻撃が他の社員を狙った際にも、迅速に防ぐことが可能になります。

個別の事案を単なる「個人のトラブル」として終わらせず、組織全体のセキュリティ意識を高めるための教材として活用する視点を持ってください。

法人管理者が確認しておくべき運用上のポイント

法人契約における登録情報の正確性と範囲

法人会員としてサービスを利用している場合、管理画面などで「どの社員が登録されているか」を把握していることが前提となります。今回の漏えいには「所属部署名」が含まれているため、会社名や部署名がセットで流出した場合、それを利用した標的型の攻撃（特定の組織を狙った攻撃）が行われるリスクも否定できません。

まずは、現在自社の法人契約に紐付いている社員のリストと、過去に利用していた社員の状況を整理しておくことが、リスクの所在を特定する第一歩となります。

管理者は、社員がどのように情報を登録しているかを確認してください。例えば、入会申し込みの段階で、個人のプライベートな情報と業務用の情報が混在していないか、あるいは退会時の情報削除が適切に行われているかといった点です。

今回の事案は「退会済みのお客様」も対象に含まれていることから、利用を終了した社員の情報がどのように扱われていたかについても、サービス提供側の管理状況を注視しつつ、自社の運用ルールを見直す機会とすべきです。

業務利用におけるセキュリティルールの再点検

カーシェアリングは利便性が高い一方で、個人の端末や個人アカウントの管理が業務に直結する側面があります。今回の件を受け、自社の「車両利用に関する規定」を見直すことを検討してください。例えば、車両利用の際に、個人のスマートフォンアプリを使用する場合のセキュリティ基準や、万が一の際の報告フローが明確になっているでしょうか。

業務で利用するツールにおいて、どのような個人情報がシステム側に保存されているかを把握しておくことは、リスク管理の基本です。

具体的には、担当者へ「タイムズカーの管理画面から、現在登録されている社員の属性情報（部署名など）がどのように見えるか」「どのような項目が保存されているか」を確認させておくと良いでしょう。これにより、今回の漏えい項目と自社の管理状況を照らし合わせることが可能になります。

また、法人契約の管理者が、社員の個人情報（免許証画像など）を別途社内のサーバーに保存しているような運用があれば、その保存方法についても併せて点検が必要です。

外部サービス利用時のリスク評価基準

外部サービスの事故が、自社のネットワークへの侵入まで意味するとは限りません。一方で、預けた情報や連携の内容によって影響は異なるため、発表だけで自社が安全とも判断できません。しかし、外部サービスを利用することは、常に「そのサービスが持つ情報」を預けるというリスクを伴います。

今後、新しいサービスを導入したり、既存のサービスを継続利用したりする際の判断基準として、今回の事例を参考にしてください。サービス提供者が、万が一の事態にどのような報告体制を持っているか、また、個人情報保護委員会などの公的機関への報告義務を果たしているかといった点は、重要な評価指標となります。

例えば、新しいツールを導入する際には、「情報の漏えいが発生した場合、どのような項目が漏えいする可能性があるか」「その情報は自社の業務にどのような影響を与えるか」を事前にシミュレーションしておくことが望ましいです。

また、契約書や利用規約において、セキュリティに関する責任分界点（どこまでがサービス側の責任で、どこからが利用者の責任か）が明確になっているかを確認することも、管理者の重要な役割です。今回の件を、単なる一企業のトラブルとしてではなく、自社の「外部委託先・外部サービス管理」の基準をアップデートするための契機として捉えてください。

情報漏えい事案への対応と相談の進め方

漏えい発生時の法的・行政的な視点

パーク24は第2報で、個人情報保護委員会と警察へ報告するなどの対応を進めていると説明しています。法人の利用企業が確認したいのは、自社の契約や情報との関係、提供者から受けた案内、社内で別の被害が起きていないかです。外部サービスで事故が起きたという理由だけで、自社にも同じ報告義務が生じるとは決めつけないでください。

自社が取り扱う個人データにも漏えいの疑いがある場合は、対象となる情報、人数の見込み、取得・管理・委託の関係、発覚時点を整理します。報告や本人通知の要否は、個人情報保護委員会の最新案内と個別の事情に照らして、責任者や専門家へ速やかに確認してください。件数が少ないから報告不要と自己判断したり、調査が完了するまで社内連絡を待ったりしないことも重要です。

専門家への相談が必要なタイミングと内容

「自社は大丈夫だろう」という判断が、最もリスクを高めることがあります。例えば、社内のPCがウイルスに感染した疑いがある、あるいは業務用のUSBメモリを紛失したといった、一見小さな事象であっても、そこに「個人情報」が含まれている場合は、専門家への相談を検討すべきタイミングです。

特に、今回のような不正アクセスが疑われるケースでは、原因の特定（フォレンジック調査）や、被害の範囲の特定には高度な技術が必要となるため、自社のみでの対応には限界があります。

相談する際は、あらかじめ「いつ、どのような状況で、何が起きたのか」という時系列のメモを用意しておくとスムーズです。また、「どのような情報（氏名、住所、クレジットカード番号など）が対象か」「対象人数はどのくらいか」といった情報を整理して伝えてください。

専門家には、「次に何をすべきか（封じ込め、調査、報告、通知）」という具体的なアクションプランを提示してもらうことを目指します。相談の目的を「原因の究明」だけでなく、「被害の最小化」と「法的義務の履行」に置くことが、実務的な解決への近道です。

自社の状況を整理し、次のステップへ

今回のタイムズカーの事案を通じて、企業が学ぶべきは「外部サービスを利用する際のリスクは、自社でコントロールできない部分がある」という事実です。だからこそ、サービス側の対応を注視すると同時に、自社側でできる「防御（社員への教育）」と「検知（異常の早期発見）」、そして「復旧・対応（事後処理のルール化）」の準備を整えておく必要があります。

まずは、自社の現在の状況を整理してみましょう。以下の項目について、社内で確認を進めてみてください。

• タイムズカーの法人契約を利用している社員のリストは最新か
• 社員に対して、なりすましメール等への注意喚起は実施したか
• 社員が利用しているサービスのパスワードが、他の業務システムと使い回されていないか
• 万が一、自社で情報漏えいが発生した際の、社内報告ルートは明確か

これらの整理が進んだ段階で、もし「具体的な対策がわからない」「セキュリティ体制を根本から見直したい」と感じた場合は、IT専門家やセキュリティコンサルタントへの相談を検討してください。自社の現状に合わせた、現実的なリスク管理の構築が、企業の信頼を守るための第一歩となります。