タイムズカーの不正アクセス（2026年9月）

経緯

入り口（経路）

Webシステムにあった脆弱性を悪用された（2026-10-23 の第5報。外部専門機関のフォレンジック調査の結果）。攻撃者は入り込んだあと、システムの中の情報を探し、手に入れた情報でデータベースとファイルの置き場にアクセスした。攻撃の手口の詳しいことは公表していない

会社が気づいた日

2026-09-25

漏れた、または漏れたおそれのある情報

個人情報

タイムズカーWebシステムから：氏名・住所・生年月日・電話番号・メールアドレス・運転免許の情報（6,628,007件。アクセスされ、外に送られた跡が確認された）。法人会員の所属部署名（3,677件）

個人情報

本人確認書類の画像（暗号化して保管していた）。運転免許証の画像、現住所の確認書類の画像（公共料金の請求書など）、学生プランなら学生証の画像、家族プランなら家族の確認書類の画像。外に送られた跡が確認されたのは1,464,800件。アクセスされたが外に送られた跡は確認されなかったのが891,602件（合わせて2,356,402件）。暗号化していたため、すぐに画像の中身が見られる状態になったわけではないが、外に送られた暗号化データが将来、元に戻される可能性は完全には否定できないとしている

認証情報

ハッシュ化されたパスワード（4件。アクセスされ、外に送られた跡が確認された）

そのほか

タイムズカーWebシステムから：タイムズカー会員番号（IC管理番号）8件・タイムズビジネスカード番号113件・連携サービスのID 4件（2026-09-28 の第2報では9件としていたが、調べた結果4件だった。第2報で挙げたJR西日本グループの会員サービス WESTER ID は0件）

個人情報

タイムズクラブWebシステムから（第5報で分かった）：氏名・住所・生年月日・運転免許の情報（5件）

そのほか

タイムズクラブWebシステムから：タイムズクラブカード番号（19,510件）・タイムズビジネスカード番号（12件）・連携サービスのID（135,436件。タイムズクラブの他社との提携サービスとつなぐための番号）

取引の情報

タイムズクラブWebシステムから：クレジットカード番号の下4桁（28件）

そのほか

会員の管理とシステムの運用のための識別の情報も、アクセスされ、外に送られた跡があった

そのほか

含まれないもの：クレジットカード番号の全桁とセキュリティコード（会社は持っていないため、不正に使われるおそれはないとしている）

会社の対応

2026-09-25 9時07分に不正アクセスを検知し、調べ始めた。対象のサーバーを切り離し、不正アクセスの経路を遮断した。2026-09-26 7時25分までに、不正アクセスの経路と攻撃元との通信を遮断し、遮断の後にアクセスできないことを確かめた。同じ 2026-09-26 に、侵害を受けた環境と関係する環境の切り離しを終えた。外部の専門機関によるフォレンジック調査を 2026-10-23 に終えた。確認された侵害の経路への対策を終え、同じ構成のシステムの点検と脆弱性の対策、監視と検知を強める追加の対策をした。漏えいした情報が売買・公開されたことを示す事実は、今のところ確認されていない。外部の専門機関とともに、ダークウェブを含めて情報の出回りを見張り、実害が出ていないかを確かめ続ける。漏えいした情報の中身、外への送信の状況、二次被害の有無の調査を続けている。本人確認書類の画像に外に送られた跡が確認された人に、お見舞いとして3,000円相当の現金か金券を渡す（中身と渡し方は検討中）。本人確認書類の画像は、これまで会員の間と退会後7年間持っていたが、会員登録の確認が済んだらすぐに消す社内のルールに変えた。いま持っている画像は、本人の申し出の有無にかかわらず、2026年10月末までに消す（画像と同じものかを確かめるための情報は残す）。社外取締役を中心に外部の専門家を加えた調査委員会で、内部統制とガバナンスの面から検証する。情報セキュリティとガバナンスを強める具体的な策は、年内をめどに公表する。サービスへの影響は確認されておらず、通常どおり続けている（2026-09-28 の第2報までの発表）

届け出

個人情報保護委員会へ報告した（2026-09-25）。警察へ報告した（第5報の経緯の表では、2026-09-28 に警察への相談を始めたとある）。国土交通省へ一報した（2026-09-28）