ニッポンレンタカーアプリ 会員41名・55名の情報漏えいのおそれ、運転免許証情報やカード下4桁で何をされるのかまとめました

2026年9月26日、ニッポンレンタカーサービス株式会社は、同社が運営する「ニッポンレンタカーアプリ」のシステムに第三者による不正アクセスがあり、会員41名の情報が不正に閲覧されたおそれがあると公表しました[1]。さらに10月1日には、調査の過程で別の手法による不正アクセスが判明し、55名の会員の会員情報ページに不正なアクセスがあったと続報を出しています[2]。

閲覧されたおそれがあるのは、氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報です。運転免許証情報やクレジットカード情報を登録していた会員は、免許証番号・住所・生年月日、カード番号の下4桁と名義人名も対象になるとしています[1][2]。人数は数十名規模で、二次被害は確認されていないとしていますが、それで安心とは言い切れません。

「自分の情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、閲覧されたおそれのある情報が悪用されうる場面と、アプリやWebの会員ページで認証が使われる場所を、公開情報から整理しました。

この記事の要点

• 名前・予約内容・カード下4桁まで正しく書かれた、本物らしい偽メールや偽SMSが届きやすくなります。
• 会社からの案内メールが届いた人は、パスワードの再設定と、任意の「認証コードログイン」の設定を検討すると安心です。
• 会社側がまず見直したいのは、会員番号の照会や窓口での本人確認に、今回の項目が使われていないかです。

なお、本記事は公表文や公式サイト、アプリストアの説明など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2]によると、概要は次のとおりです。

同社は、メール・SMS・電話などでパスワードやクレジットカード情報を尋ねることはないとしています[2]。

閲覧されたおそれのある情報で、何ができてしまうか

カード番号そのものは対象に入っていません。ただ、今回の項目は、組み合わせると「本人しか知らないはずの情報」に見えやすいものが多く含まれています。

どれも「知っていれば本人らしく見える情報」です。知っていることだけで本人と見なす仕組みは、その情報が外に出たおそれがある時点で弱くなります。

このサービスで認証が使われる場所

公開情報で確認できた機能から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、必要な対策と封じ込め措置の実施、セキュリティ体制のさらなる強化が挙げられています[2]。一方で、ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 会員番号の照会と窓口の本人確認から、今回の項目を外す。照会に使う氏名・免許証番号・生年月日・メールアドレスまたは電話番号は、免許証情報を登録していた人では今回の対象とすべて重なります。運用の見直しから始められる所です。
2. 認証コードログインを、任意から「価値が動く場面では必ず」に近づける。今は初期未設定です。毎回のログインを重くするのではなく、新しい端末からのログインや登録情報の変更など、狙われる場面だけに確認を入れる考え方です。
3. 支払いとセルフレンタカーの手前に、追加の確認を入れる。登録カードでの支払いや、アプリで鍵まで扱える手続きは、アカウントを乗っ取られた時の影響が大きい場所です。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、閲覧されたおそれのある情報には電話番号が含まれています。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、第三者に知られたかもしれません。一方で後者は、情報が外に出ても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、こうした事故の後にこそ効いてくる対策です。

メールに届く認証コードやSMSのワンタイムパスワードも、受け取る先を持っているかを確かめる方式です。ただし、米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら