タイムズカー660万件の情報漏えい、漏れた免許証画像と電話番号で何をされるのかまとめました

2026年9月25日、パーク２４株式会社は、カーシェアサービス「タイムズカー」の「タイムズカーWebサイト」への不正アクセスを公表しました[1]。9月28日の第2報では、情報が漏えいしたアカウントは約660万件としています[2]。漏れた項目は、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報など。9月29日の第3報では、このうち約160万件で、運転免許証画像などの本人確認書類の画像も漏えいしたとしています[3]。

クレジットカード情報は、同社がもともと保有していないため対象外とされています[4]。パスワードも漏えい項目に含まれますが、復元できない形式で保管していたと説明されています[2][4]。ただ、それで安心とは言い切れません。

「免許証の画像や電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、タイムズカーの中で認証が使われている場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 名前・生年月日・住所まで正しく入った偽のSMSや電話が届きやすくなります。「SMSの認証コードを教えて」という連絡には応じないでください。
• 免許証画像が漏れた人は、他のサービスで自分の名前の申込みがされていないか、しばらく気にかけておくと安心です。
• 会社側がまず見直したいのは、登録電話番号の変更と、パスワード再発行の確認のしかたです。

なお、本記事は公表文や公式のFAQ・ご利用ガイドなど、公開情報だけをもとにしています。サイトやアプリの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][3]と、同社のFAQ[4]によると、概要は次のとおりです。

同社は、会社を装ったメール・SMS・電話への注意を呼びかけ、SMS認証コードやパスワードを電話やメールで尋ねることはないとしています[4]。

漏れた情報で、何ができてしまうか

今回の特徴は、連絡先だけでなく、生年月日・住所・免許証画像という「本人であることを示す材料」までそろって漏れた点です。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。生年月日や住所が合っていることで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

タイムズカーで認証が使われる場所

公式のFAQやご利用ガイドで確認できた範囲から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

目を留めたいのは、3行目と4行目のつながりです。クルマの鍵を開ける端末は「登録した電話番号にSMSが届くか」で決まります。その電話番号は、ログインさえできればマイページから変えられます。つまり、鍵の守りは最終的に「ログインと登録情報の変更をどれだけ固く守れているか」にかかっている、というのが当社の見立てです。

会社がまず見直すとよい所（優先順）

先に一つ断っておきます。今回のように会社のサーバーから情報が持ち出される事故そのものは、ログインの認証を強くしても防げるとは限りません。認証が効いてくるのは、漏れた情報が「使われる」場面です。

公表文では、外部専門機関による調査、個人情報保護委員会と警察への報告、対象者への個別の案内が挙げられ、再発防止策は続報で公表するとしています[2][3]。現時点の公表文に、ログインや登録情報の変更の確認方法を変えるという記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 登録電話番号の変更に、変更前の番号での確認を入れる。鍵を開ける端末の登録がSMSの届け先に頼っている以上、その届け先を書き換える操作がいちばんの急所です。変更時に古い番号へ通知や確認を挟むだけでも、乗っ取りの道は細くなります。
2. 本人確認の質問から、漏れた項目を外す。パスワード再発行や問い合わせ窓口で「生年月日・住所・電話番号が合っていれば本人」という扱いになっていないか。これは仕組みを作り直さなくても、運用の見直しから始められます。
3. 申込みと端末登録の場面で、「その電話を持っているか」を確かめる。免許証画像が出回った後は、書類が本物でも、申し込んでいるのが本人とは限りません。書類の確認に、回線を持っているかの確認を重ねる考え方です。

認証の観点から：「コードを教えて」と言われない仕組み

今回、同社のFAQは「SMS認証コードを聞き出そうとする連絡」への注意を、利用者に呼びかけています[4]。裏を返せば、SMSのコードは「人に伝えられてしまう」鍵だということです。

SMSで届くコードは、「その電話を持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[14]。禁止ではありませんが、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。コードを入力する手順がないため、利用者がコードを読み上げさせられることもありません。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら