タイムズカー第5報約146万画像の外部送信痕跡と対策を分ける

資料で確認できること

第3報の約160万件から、第5報で約146万件の外部送信痕跡を確認

タイムズモビリティは9月28日の第2報で、第三者に取得された会員情報を約660万件と公表しました。対象情報は人により異なり、氏名、住所、連絡先、運転免許情報、本人確認書類情報などを挙げ、クレジットカード情報は漏えいしていないと説明しました。

9月29日の第3報は本人確認書類画像約160万件を漏えいまたはその可能性がある範囲として示しました。10月23日の第5報は詳細調査により、このうち約146万件の画像に外部送信の痕跡を確認したと説明しています。可能性の範囲と、送信痕跡を確認した範囲を同じ数字として扱わないことが必要です。

• 資料 01パーク24株式会社・タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第5報）
• 資料 03タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）
• 資料 04タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）

資料で確認できること

タイムズクラブWebシステムへの不正アクセスも追加確認

第5報は、調査の過程でタイムズクラブWebシステムへの不正アクセスも確認したと公表しました。これまでのタイムズカーWebシステムだけを対象とした説明から、追加のシステムと情報範囲が示された更新です。

会社は連携サービスIDの対象数を9種類から4種類へ訂正し、WESTER IDの対象件数は0件だったと説明しています。訂正前の情報を引用するときは、10月23日付第5報の訂正を併記する必要があります。

• 資料 01パーク24株式会社・タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第5報）

当事者の説明

画像は暗号化　個別通知と3000円相当のお見舞いを進める

会社は本人確認書類画像を暗号化して保管しており、外部送信されたことだけで内容を直ちに閲覧できる状態ではないと説明しています。一方、将来にわたり復号されないことは否定できないとしており、暗号化を被害ゼロの保証として扱っていません。

対象者への個別通知を進め、外部送信またはアクセスの痕跡があった本人確認書類画像の対象者には3000円相当のお見舞いを予定しています。方法は第5報時点で未定です。金額の提示は原因・管理責任・再発防止の説明に代わるものではありません。

• 資料 01パーク24株式会社・タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第5報）

当事者の説明

登録確認後に本人確認書類画像を即時削除するルールへ変更

10月16日の第4報で、パーク24グループは本人確認書類画像の保有ルールを見直すと公表しました。従来は現会員の会員期間中と、退会後7年間保有していましたが、変更後は会員登録の確認完了後に即時削除するとしています。

会社は、本人確認手続き、不正利用が疑われる事案への対応、問い合わせ対応などを目的に画像を保有してきたと説明しています。本件を受け、画像保有に伴うリスクと管理のあり方を検討して変更したという位置づけです。

• 資料 02タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）

当事者の説明

保有中の画像は、申し出の有無にかかわらず10月末までに削除予定

第4報は、現在グループが保有する本人確認書類画像について、本人から削除の申し出がなくても2026年10月末までに削除するとしています。

確認した発表には、削除対象の正確な件数、バックアップや複製を含む技術的な削除範囲、削除完了の検証方法、削除後に本人確認や不正利用対応をどう行うかの詳細までは記載されていません。今後の説明で確認すべき点です。

• 資料 02タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）

当事者の説明

外部専門機関の調査結果の案内は10月23日に変更された

第3報では、個々の漏えい情報について外部専門機関の調査結果を踏まえ、2週間程度をめどに改めて案内するとしていました。第4報では、調査に時間を要しているため、次の案内を10月23日に変更するとしています。

したがって、第4報は重要な運用変更を示す一方、影響範囲の最終報告ではありません。利用者は、10月23日予定の続報と個別通知を確認する必要があります。

• 資料 02タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）
• 資料 04タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）

未確認の点

対象者ごとの状況、復号・悪用、削除完了、再発防止の全体像は未確認

10月26日の確認時点で、各対象者について外部送信・アクセスの痕跡がある具体的な情報、暗号化画像が復号されたか、漏えい情報が第三者へ共有・公開されたか、個別通知と画像削除の完了状況は、公開資料だけでは確定できません。

会社は漏えい情報の販売や公開を確認していないとしています。これを将来を含む被害ゼロの保証と読むことはできません。反対に、公表にない不正契約や金銭被害を本件の結果と断定する根拠もありません。

• 資料 01パーク24株式会社・タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第5報）
• 資料 02タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）

確認の範囲

このコラムの確認範囲

本稿は2026年10月26日にパーク24グループの9月28日付第2報、9月29日付第3報、10月16日付第4報、10月23日付第5報を照合して更新しました。JBJは会社、会員、元会員、外部専門機関、関係当局、攻撃者への直接取材や、システム・ログ・漏えいデータ・削除処理の独立調査を行っていません。掲載画像は保有期間と削除ルールを確認する説明用イメージで、実際の職員・会員・本人確認書類・設備・画面・記録ではありません。

• 資料 01パーク24株式会社・タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第5報）
• 資料 02タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）
• 資料 03タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）
• 資料 04タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）

JBJの見解

対策の公表は、調査完了の発表ではない

事故後に保有ルールの見直しが示されると、『これで問題は解決した』『削除すれば漏えいも消える』という受け止め方が生まれやすくなります。今回の削除は今後の保有リスクを減らす措置で、すでに第三者へ取得されたと会社が確認した情報を取り戻すものではありません。

逆に、約160万件という数字だけから、全員について同じ書類や同じ項目が同じ形で悪用されたと断定することもできません。確認された漏えい、会社が示した対策、なお調査中の範囲を分けます。

JBJの見解

個別通知、本人確認書類の提出時期、不審な連絡を保存する

会員や元会員は、会社から届いた個別通知、入会・退会時期、本人確認書類を提出した時期、公式発表のURLと確認日、不審なメール・SMS・電話の日時と内容を分けて保存してください。本人確認書類の画像や番号を公開投稿へ添付する必要はありません。

身に覚えのない連絡ではリンクや添付を開かず、連絡文中の番号ではなく公式サイトの窓口から照合してください。アカウントや金銭の被害が疑われる場合は、関係事業者、金融機関、警察などの公式窓口へ速やかに相談してください。

• 資料 02タイムズモビリティ株式会社：タイムズカーWebシステムへの不正アクセスに関する対応について（第4報）

JBJの見解

保有を減らす対策を評価しつつ、説明の継続を求める

本人確認書類画像を登録確認後に削除する変更は、保有データを減らし、将来の漏えい時に生じ得る影響を小さくする方向の対策です。事故を受けて保有の必要性を見直した点は、事実として伝える必要があります。

同時に、なぜ会員期間中と退会後7年間の保有が必要と判断されていたのか、削除がどの範囲で完了したか、代替する本人確認・不正利用対応、侵入原因と再発防止策は引き続き説明が必要です。JBJは会社を批判するために未確認の被害を足さず、対策が示されたことを理由に確認済みの漏えいや残る課題を小さく扱いません。