約660万アカウントの情報が流出 本人確認書類は約160万件、対象範囲と問い合わせ先を整理
タイムズカーの情報漏えいでは、現在の会員だけでなく、すでに退会した人も対象範囲に含まれる。会員がまず確認したいのは、自分の情報が対象となっているか、どの項目が漏えいしたか、会社からどのような案内が届くかの三点だ。通知がまだ届いていない場合も、それだけで対象外と判断することはできない。
パーク２４は９月28日、タイムズカーのWebシステムへの不正アクセスにより、約660万アカウントの情報が漏えいしたと発表した。翌29日には、運転免許証画像などの本人確認書類が漏えいしたアカウントが約160万件だったと追加公表した。この二つの数字は対象となる情報の範囲が異なり、約660万件すべてで本人確認書類の画像が漏えいしたという意味ではない（パーク２４・タイムズカー、2026年）。
会社は29日から、本人確認書類の漏えいが確認された会員にメールで個別案内を始めた。対象者ごとに漏えいした情報は異なるため、全体の発表と自分宛ての通知を照らし合わせる必要がある。本稿では、９月29日公表の第３報までを基に、会員が確認すべき点を整理する。
現会員だけではない 退会者や入会未完了者も対象範囲に
今回の事案で見落とせないのは、現在サービスを使っていない人も対象範囲に含まれていることだ。会社が示した対象は、タイムズカーの会員と退会済みの利用者に加え、入会を申し込んだものの手続きが完了しなかった人である。タイムズビジネスサービスについても、会員と退会済みの利用者が含まれる。
したがって、「最近は利用していない」「すでに退会した」という理由だけで、今回の発表を自分とは関係のないものと受け止めるのは早い。過去に入会手続きをした人も、当時登録したメールアドレスに案内が届いていないか確認しておきたい。現在の会員向け情報だけを見ていると、退会者を含む対象範囲を見落とす可能性がある。
ただし、対象範囲に含まれることと、全員について同じ情報が漏えいしたことは別である。会社は、漏えいした情報が対象者によって異なると説明している。自分に関する具体的な項目は、個別案内と今後の追加説明を通じて確認する必要がある。
漏えいした情報は何か 免許情報と書類画像を分けて確認
９月28日の第２報で会社が挙げた情報は、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などである。法人会員の所属部署名、本人確認書類情報、パスワードに関する情報、連携サービスIDも含まれる。個別通知を読む際には、どの項目が自分に該当するのかを一つずつ確認したい。
ここでは、運転免許に関する情報と、運転免許証そのものの画像を区別することが重要になる。第３報で漏えいが確認された本人確認書類として示されたのは、運転免許証画像、公共料金の請求書などの現住所確認書類画像、学生プランの学生証画像、家族プランの家族確認書類画像だ。会員区分や提出した書類によって、確認すべき内容が異なる。
本人確認書類の画像は、入会時に本人や住所、利用条件を確認するために提出した資料である。自分がどのプランで申し込み、何を提出したかを振り返ることは、通知の内容を理解する助けになる。ただし、提出した経験があるというだけで、その書類の漏えいを断定することはできない。
また、約660万という数字の単位はアカウントである。人数や、本人確認書類の画像が漏えいした件数と同じ数字として扱わないようにしたい。対象者の範囲、アカウント数、情報の種類を分けて読むことで、発表内容を誤解しにくくなる。
カード情報は漏えいしていないと発表 パスワードは会社説明を確認
クレジットカード情報について、会社は漏えいしていないことを確認したと発表している。「カード情報も流出した」という説明は、今回の公式発表とは一致しない。記事やSNSの投稿を読む際も、氏名や免許情報の漏えいと、カード情報の扱いを混同しないことが必要だ。
パスワードに関する情報は、漏えいした項目の一覧に含まれている。一方、会社はパスワードを復元できない形式で保管しており、パスワードそのものが第三者に認識できる状態で漏えいした事実は確認されていないと説明している。この部分は、一覧の項目名だけで判断せず、保管形式についての会社説明と併せて読む必要がある。
ただし、パスワードについての説明があることと、氏名や住所、本人確認書類などの漏えいを軽く見てよいことは別である。会員が確認する際は、「漏えいが確認された情報」「漏えいしていないと会社が確認した情報」「今後、個別に説明される詳細」を分けて整理したい。異なる情報を一括して「すべて危険」「すべて問題ない」と判断すると、必要な対応が見えにくくなる。
会社からのメールはいつ届くか 詳細は約２週間を目安に再案内
第３報によると、会社は９月29日から、本人確認書類の漏えいが確認された会員へのメール案内を開始した。漏えいした詳細については、外部専門機関の調査結果を踏まえ、約２週間を目安に改めて案内するとしている。最初のメールと、その後の詳細な案内は、段階を分けた対応となる（タイムズカー、2026年）。
このため、最初の通知を受け取った時点で、すべての調査結果がそろっているとは限らない。通知には何が確認済みとして書かれ、何が追加案内の対象になっているかを読み分けたい。「約２週間」という説明も目安であり、特定の日に必ず最終結果が出るという意味で受け取るべきではない。
通知が届いていない人は、登録メールアドレスと迷惑メールフォルダーを確認しておくとよい。過去にメールアドレスを変更した人や、退会後に当時のアドレスを使わなくなった人は、案内を見落とす可能性がある。受信できる状況にあるかを確認し、疑問が残る場合は公式窓口に問い合わせたい。
なお、第３報でメール案内の開始が明示されたのは、本人確認書類の漏えいが確認された会員である。この通知の有無だけで、ほかの登録情報も含めて自分が対象かどうかを判断することはできない。届いたメールが何の案内なのかを確認することが先になる。
不審な連絡の判断基準は到着順ではない
今回の事案では、会社を装ったメール、SMS、電話への注意が必要だ。会社は、これらの連絡手段でパスワードやクレジットカード情報を尋ねることはないと明示している。身に覚えのない連絡にあるリンクや添付ファイルを開いたり、認証コードなどを入力したりしないよう求めている。
不審な連絡を見分ける際に重要なのは、正式な通知より先に届いたか、後に届いたかではない。求められている内容が会社の公式説明と一致するかどうかだ。実際に個別案内を受け取った後でも、別の連絡が本物である保証にはならない。
例えば、「情報漏えいへの対応のため、パスワードを送ってほしい」「確認のため、カード番号を入力してほしい」といった要求は、会社が示した方針と食い違う。これは不審な要求を判断するための例であり、今回、こうした連絡による被害が発生したと確認されたことを意味するものではない。
判断に迷う連絡が届いた場合は、そのメールやSMSに返信する前に、公式サイトの発表を確認したい。リンク先で入力を始めるより、普段利用している公式サイトやアプリから必要な情報に進む方が、確認経路を把握しやすい。電話についても、相手の名乗りだけで判断せず、公式に掲載された窓口で照会することが大切になる。
問い合わせは公式窓口へ 確認したい点を整理しておく
会社が今回の事案に関して案内している問い合わせ電話は、0120-25-8924で、24時間対応としている。問い合わせフォームは、タイムズカー公式サイトの問い合わせページに掲載されている。受信した連絡の真偽や、通知内容の読み方に疑問がある場合は、この公式窓口を利用したい。
問い合わせる前に、現在の会員か退会済みか、利用していた会員区分、会社からの通知の有無を整理しておくと、何を確認したいのかが明確になる。メールが届いている場合は、その通知が本人確認書類の漏えいに関するものなのか、追加調査を待つ案内なのかも確認しておきたい。自分で判断できない箇所を具体的に伝えることが、内容の取り違えを防ぐ。
不審な連絡を受けた場合は、届いた日時や要求された内容を確認しておくと、照会時に説明しやすい。ただし、確認のためにリンクを開いたり、添付ファイルを実行したりする必要はない。会社の案内と一致しない要求に応じる前に、正式な窓口で確認する順序を守りたい。
現在サービスを利用している会員にとっては、予約や利用への影響も気になる点だ。９月28日の第２報では、会社はサービス提供への影響を確認しておらず、各種サービスを通常どおり継続していると説明した。この説明は、個人情報の漏えいとは別の項目として確認する必要がある。
情報漏えいと不正利用は別 追加案内で自分への影響を確かめる
会社は９月28日の時点で、漏えいした情報が不特定多数に公開された事実や、今回の事案に起因する個人情報の不正利用を確認していないと説明している。情報漏えいは確認されているが、その情報を使った不正利用が確認されたという発表ではない。同時に、「不正利用は確認されていない」という説明を、今後も影響が生じない保証として受け取ることもできない。
会社は外部専門機関による調査を進めており、今後新たな事実や影響を確認した場合には、対象者への連絡とWebサイトなどでの公表を行うとしている。会員にとっては、一度の発表だけで判断を終えず、個別通知と続報を確認することが必要になる。特に本人確認書類については、今後の詳細な案内で、自分に関する漏えい項目を確かめたい。
今回、会員が取るべき行動は具体的である。現在の会員だけでなく退会者も公式発表を確認し、登録メールへの案内を見落とさないようにする。通知の対象と情報項目を読み分け、パスワードやカード情報を求める連絡には応じず、不明点は公式窓口に照会する。
記事としても、漏えいの規模だけでなく、対象者の範囲、情報の種類、会社の連絡方法を一緒に伝えることが欠かせない。全体で何が起きたかと、自分にどのような影響があるかは異なる問いだからだ。会員は会社の追加説明を確認しながら、この二つを分けて判断していく必要がある。
出典：パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第２報）」（2026年９月28日）、タイムズカー「『タイムズカーWebサイト』への不正アクセスに関する調査結果および今後の対応について（第３報）」（2026年９月29日）。