パーク２４子会社で約660万件の個人情報漏えい、タイムズカー会員データが不正取得されるもカード情報は安全

Park24（本社：東京都千代田区、代表取締役社長CEO：西川光一）の連結子会社であるタイムズモビリティ株式会社は、2026年9月25日午前9時7分頃、運営するカーシェアリングサービス「タイムズカー」のWebシステムにおいて不正アクセスを検知し、直ちに調査を開始しました。その結果、第三者がシステムに対して不正アクセスを行い、当社グループが保有する個人情報の一部を閲覧または不正に取得していたことが確認されました。

当社は被害拡大防止のため、9月26日午前7時25分までに不正アクセス経路の遮断を実施し、攻撃元との通信を完全に遮断したと明らかにしています。この開示資料によれば、現在、原因および影響範囲の調査のために外部専門機関によるフォレンジック調査を進めており、個人情報保護委員会および警察へも報告を行っています。今後は新たな事実や影響が確認された場合、速やかにWebサイト等を通じてお知らせするとともに、対象となる方に対しては個別に案内するとしています。

現時点で確認されている漏えい情報の規模と内容は以下の通りです。約660万件のアカウント情報が対象となっており、これはタイムズカー会員様および退会済みの方（入会申し込み完了していない方も含む）、ならびにタイムズビジネスサービス会員様および退会済みの方が含まれます。漏えいが確認された個人情報には、氏名、法人会員様の所属部署名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報（運転免許証画像等）、パスワード、および連携サービスIDが含まれています。

特に注意が必要なのは、JR西日本グループの会員サービス「WESTER ID」など計9件の連携サービスIDです。ただし、資料では PASSWORD は復元できない形式で保管されており、第三者に認識可能な状態で漏えいした事実は確認されていないと強調されています。また、クレジットカード情報については漏えいしていないことを明確に示しており、現時点において特定多数に公開された事実や、本件起因の不正利用などの事実は確認されていないとのことです。

これらの数値は、単なるシステムエラーではなく、意図的な不正アクセスによるものという点で重大性を増しています。

現時点において、本事象によるサービス提供への影響は確認されておらず、各種サービスは通常通り継続しているとされています。これは、遮断が比較的早期に行われ、核心となる決済機能やリアルタイム予約機能への直接的な侵入を防ぐことに成功した可能性を示唆していますが、顧客データの信頼性回復には時間を要するでしょう。

再発防止策については、すでに実施済みの対策と今後実施する中長期的な対策、その実施予定時期を整理した上で、続報にて公表する予定です。業績への影響については精査中であり、今後の業績に重大な影響が認められる場合は速やかに開示するとあります。

__顧客データの一部流出という事象ではあるものの、カード情報の漏えいがないこと、およびパスワードの安全保管が確認されたことは、短期的なブランド毀損や訴訟リスクを抑える材料となり得ます。一方で、660万件という規模は業界内でも上位クラスの入数であり、再発防止策の実効性と透明性のある情報開示が、投資家および顧客からの信頼回復のカギとなります。信頼回復への長期戦となる可能性があります。