カーシェアリング「タイムズカー」を運営するタイムズモビリティが、2026年9月28日、Webシステムへの不正アクセスにより約660万件のアカウント情報が第三者に取得されたことを確認したと発表しました（第2報）。9月25日の第1報の時点では「漏えいした可能性」でしたが、調査の結果、取得された事実が確認された形です。
さらに翌9月29日の第3報で、このうち約160万件について、運転免許証の画像など本人確認書類の漏えいが確認されたと公表されました。対象になった会員へのメールでの個別案内は同日から始まっていて、一人ひとりの詳しい内容は2週間程度を目処に改めて案内されるとしています。
この記事では、第1報から第3報までの公式発表をもとに、自分が対象に入るのかどうか、クレジットカードとパスワードについて発表文が実際に何と書いているか、そして免許証の画像が出てしまった人に用意されている「本人申告」という手当てを整理します。
あわせて読みたい：今のうちにやるデジタル終活｜故人アカウント管理連絡先とアカウント無効化管理ツールの設定手順、家族に残す1枚
検知から4日で、「可能性」が「確認」に変わった
今回の件は短い間に3回の発表が出ていて、そのたびに分かっていることが増えています。日付と中身を並べると、次のようになります。
| 日時 | 発表・出来事 | その時点で分かっていたこと |
|---|---|---|
| 9月25日 9時07分 | 不正アクセスを検知、調査開始 | 第三者がシステムにアクセスした形跡 |
| 9月25日 | 第1報 | 個人情報が漏えいした「可能性」 |
| 9月26日 7時25分 | 侵入経路・攻撃元との通信を遮断 | 遮断後のアクセス不能まで確認 |
| 9月28日 | 第2報 | 約660万件の取得を確認。漏えいした情報の種類を公表 |
| 9月29日 | 第3報 | 本人確認書類の漏えいは約160万件。個別案内を開始 |
第2報は「現在も継続して監視を行っておりますが、現時点で新たな不正アクセスは確認されておりません」としています。また、サービス提供への影響は確認されておらず、タイムズカーは通常どおり使える状態です。再発防止策は、実施済みの対策と中長期の対策を整理したうえで続報で公表する予定とされているので、この件はまだ続きがあります。
「退会したから関係ない」は通じない
第2報が挙げている対象は、今の会員だけではありません。次の4つが並記されています。
- タイムズカー会員
- 退会済みのタイムズカー会員
- 入会を申し込んだが、何らかの事由により入会が完了していない人
- タイムズビジネスサービス会員および退会済みの人
ここが今回のわかりにくいところです。「昔使っていたが退会した」「申し込んだが結局使わなかった」という人も対象に含まれます。入会時に本人確認書類を出した記憶がある人は、その時点のデータが残っていた可能性を前提に考えたほうが安全です。
漏えいした情報として第2報が挙げているのは、次の項目です。ただし発表文は「対象者により異なりますが」と前置きしているので、全員が全項目というわけではありません。
- 氏名／法人会員の所属部署名
- 住所／生年月日／電話番号／メールアドレス
- 運転免許情報
- 本人確認書類情報（運転免許証画像 等）
- パスワード（※復元できない形式で保管）
- 連携サービスID（※「JR西日本グループの会員サービスWESTER ID」等、計9件）
本人確認書類の約160万件には、免許証以外も含まれる
第3報で新しく公表されたのが、本人確認書類が漏えいしたアカウント数は約160万件という数字と、その中身です。漏えいが確認されている書類として挙げられているのは4種類あります。
- 運転免許証画像
- 現住所確認書類画像（公共料金の請求書 等）
- 学生証画像（学生プランの場合）
- 家族確認書類画像（家族プランの場合）
注目したいのは下の2つです。学生プランや家族プランを使っていた人は、免許証に加えて学生証や家族関係の書類まで提出しています。同じ「本人確認書類」でも、契約したプランによって出ている枚数と種類が違うということです。
会員ごとの詳しい内容は、外部専門機関の調査結果を踏まえて2週間程度を目処に改めて案内される予定です。9月29日からのメールは「あなたの本人確認書類が対象でした」という一報で、内訳はその後、という段取りになります。
カードとパスワードは、発表文をそのまま読むほうがよい
報道では「クレジットカード情報は漏えいしていない」と要約されますが、発表文の書き方は項目ごとに少しずつ違います。第2報の原文は次のとおりです。
クレジットカード情報については漏えいしていないことを確認しております。
パスワードは復元できない形式で保管しており、現時点でパスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されておりません。
カードについては「漏えいしていないことを確認」と言い切っています。一方でパスワードは、「漏えいした情報」の一覧にはパスワードが載っていて、そのうえで「現時点でパスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されておりません」という書き方です。会社としては「使われる恐れはない」と説明していますが、保管されていた形のパスワードデータ自体は出ていると読むのが素直です。
ここから導ける実務的な結論はひとつで、タイムズカーと同じパスワードを他のサービスでも使い回している場合は、他のサービス側を変えておくことです。今回の漏えいそのものより、使い回しのほうが先に問題になります。すでに身に覚えのないログイン通知が届いている人は、アカウントを乗っ取られたかもと思ったら｜不正ログインに気づいたときにやる順番と相談先の手順で確認してください。
免許証の画像が出ると、何が心配されるのか
まず公式の現状認識を押さえておきます。第2報は「当該情報が不特定多数に公開された事実および本件に起因する個人情報の不正利用等の事実は確認されておりません」としています。9月29日時点で、実際の被害が出たという発表はありません。
そのうえで、本人確認書類の画像が心配される理由は、制度側の事情にあります。マネーロンダリング対策を定める犯罪収益移転防止法の施行規則には、非対面の本人確認方法のひとつとして、顧客の容貌と写真付き本人確認書類の画像を送信してもらう方法（第6条第1項第1号ホ、いわゆる「ホ方式」）が定められていて、2026年10月1日時点でも現行の規則に残っています。
ただし国は、この方法をなりすましのリスクが高い方法として廃止する方針を決めています。警察庁が公表しているQ&Aには「規則第６条１項１号ホに掲げる方法を廃止する」と明記されていて、その改正命令（令和7年内閣府・総務省ほか令第3号）は2025年6月24日に公布済みです。施行日は、警察庁が別に公表している令和8年3月6日公布分のQ&Aに「新規則の施行日（令和９年４月１日）」と示されていて、令和9年（2027年）4月1日です。e-Gov法令検索でも同じ日付の改正が未施行として登録されており、2026年10月1日時点ではまだ施行されていません。
つまり「画像を送るだけの本人確認」は、国が危ないと判断して廃止を決めた方法であり、それでも施行までの間は使える窓口が残るという状況です。免許証画像が出た人に「気をつけてください」以上の手当てが要るのは、このためです。
信用情報機関の「本人申告」でできること、できないこと
本人確認書類が流出した人向けに、3つの信用情報機関が本人申告（本人申告コメント）という制度を用意しています。自分の信用情報に「本人確認書類が流出した」というコメントを登録しておくと、カードやローンの申し込みがあったときに、加盟する会社がその情報も見たうえで慎重に審査できるという仕組みです。
とくに日本信用情報機構（JICC）は、登録できるコメントの種類として「名義の悪用防止」を挙げ、その説明に「運転免許証の画像を送信してしまった」など、現物は手元にあるが情報が流出してしまった場合、と書いています。今回のようなケースが想定に入っています。全国銀行個人信用情報センターも、本人申告の対象を「運転免許証等本人確認書類の紛失、盗難または漏えい等により名義を冒用される可能性がある場合」としています。
| 機関 | 手続き | 手数料（税込） | 登録期間 |
|---|---|---|---|
| CIC | インターネット／郵送 | 1,000円 | 5年 |
| JICC | スマホアプリ | 700円 | 5年 |
| 全国銀行個人信用情報センター | インターネット（マイナンバーカードが必要）／郵送 | 500円 | — |
限界もはっきり書かれているので、そこも押さえておきます。全国銀行個人信用情報センターは、登録された情報について「当該会員の与信取引上の判断を拘束するものではなく、センターが悪用の防止効果を保証するというものではない」とし、さらに「預金口座開設時には行われない」と明記しています。つまり本人申告はカードやローンには効きうるが、銀行口座を勝手に作られることまでは止められない制度です。
もうひとつ注意点があります。全国銀行個人信用情報センターは「通常の商取引において本人確認書類の画像等を送付・送信した場合」は原則として受け付けないとしています。今回は自分が誰かに送ったのではなく預けた先から漏れたケースで、同センターの説明文も冒頭で「漏えい等」を対象に挙げていますが、判断に迷うときは申し込む前に0120-540-558で確認するのが確実です。
「すでに勝手に契約されていないか」を確かめたい場合は、本人申告ではなく情報開示のほうです。CICはインターネットで500円、全国銀行個人信用情報センターは800円（マイナンバーカードが必要、最短3〜5営業日）で、自分名義の契約と支払状況の一覧を取り寄せられます。
タイムズカーを名乗る連絡が来たときに、何を見るか
今回はメールアドレス・氏名・住所・生年月日・電話番号がまとめて出ています。この組み合わせは、連絡を本物らしく見せる材料になります。会員番号や住所を正確に言い当てられても、それは本物である証拠になりません。
タイムズモビリティは第1報から第3報まで一貫して、次のように呼びかけています。
身に覚えのない連絡に記載されたリンクや添付ファイルを開いたり、パスワード、認証コード、クレジットカード情報等を入力したりしないようお願いいたします。なお、当社がメール、SMS、電話等でパスワードやクレジットカード情報をお伺いすることはありません。
実際の手順に落とすと、次の3つです。
- メールやSMSのリンクは踏まない。本文の内容だけ覚えて、いったん閉じます
- 自分でタイムズカーの公式サイトを開き、同じ内容のお知らせが出ているか見る。届いたメールと公式サイトの記述が食い違うなら、そのメールは疑ってよいものです
- それでもはっきりしないときは、会員様問い合わせ窓口 0120-25-8924（24時間）に自分からかける。届いた連絡に書いてある番号ではなく、公式サイトに載っている番号を使います
パスワードや認証コードを聞いてくる連絡は、その時点で本物ではありません。これは今回に限らず、フィッシング対策協議会が一般の対策として案内している考え方と同じです。
よくある質問
Q. 通知メールが届いていません。対象外と考えてよいですか。 A. 判断できません。9月29日から始まったメールは本人確認書類の漏えいが確認された会員向けで、順次送られています。また約660万件のほうには、本人確認書類を含まない会員も多数含まれます。退会済みの人や入会が完了しなかった人も対象なので、メールの有無だけで線を引かず、気になる場合は窓口で確認してください。
Q. 免許証を作り直せば安全になりますか。 A. タイムズモビリティの第1報から第3報にも、警察庁や信用情報機関の案内にも、こうした漏えいを理由に免許証を作り直すという手続きは示されていません。案内されているのは、当社を装った連絡への警戒と、信用情報機関への本人申告です。
Q. タイムズカーのパスワードは変えたほうがよいですか。 A. 会社は「復元できない形式で保管しており、当該情報を用いてお客様アカウントが不正に利用される恐れはありません」としています。ただし同じパスワードを他のサービスでも使っている場合は、他のサービス側を変えておくほうが安全です。
Q. 連携サービスIDとは何ですか。 A. 第2報は「JR西日本グループの会員サービスWESTER ID」等、計9件としています。タイムズカーのアカウントと外部サービスをつないでいた場合の、そのIDを指します。連携した覚えがある人は、連携先のサービス側でも身に覚えのないログインがないか見ておくとよいでしょう。
Q. 本人申告をすると、自分の借入審査で不利になりませんか。 A. 本人申告は延滞などの記録とは別物で、「本人確認書類が流出しているので慎重に審査してほしい」という趣旨のコメントです。ただし加盟会社が慎重に判断する材料になるため、申し込みの手続きが丁寧になることはあります。登録期間内であれば本人の申し出で削除できます。
まとめ
- タイムズモビリティが9月28日の第2報で、タイムズカーWebシステムへの不正アクセスにより約660万件のアカウント情報が第三者に取得されたことを確認したと発表。検知は9月25日9時07分、遮断完了は9月26日7時25分
- 9月29日の第3報で、本人確認書類の漏えいは約160万件と公表。運転免許証画像のほか、現住所確認書類・学生証・家族確認書類の画像が含まれる。個別の内訳は2週間程度を目処に案内
- 対象は現会員だけでなく、退会済みの人、入会が完了しなかった人、タイムズビジネスサービス会員も含む
- クレジットカード情報は「漏えいしていないことを確認」。パスワードは復元できない形式で保管されているが、漏えいした情報の一覧には挙がっている。使い回している人は他サービス側を変える
- 免許証画像が出た人は、CIC・JICC・全国銀行個人信用情報センターの本人申告を検討できる。ただし預金口座の開設時には照会されないなど、効く範囲は限られる
- 会員様問い合わせ窓口は0120-25-8924（24時間）。届いた連絡の番号ではなく、公式サイトの番号からかける
関連して読みたい記事
預けた先から情報が出ていくことは、利用者の側では防ぎようがありません。できるのは、どのサービスにどの情報を預けているかを把握しておくことと、万一のときに家族が手をつけられる状態にしておくことです。
- 今のうちにやるデジタル終活｜故人アカウント管理連絡先とアカウント無効化管理ツールの設定手順、家族に残す1枚
- 家族が亡くなったときのスマホ・パソコン・ネット契約の整理｜iPhone・Android・パソコン別の手続きと解約の順番
参考情報・出典
- 「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）※追記あり（タイムズモビリティ株式会社、2026年9月25日）
- タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）（タイムズモビリティ株式会社、2026年9月28日）
- タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）（タイムズモビリティ株式会社、2026年9月29日）
- 犯罪による収益の移転防止に関する法律施行規則（e-Gov法令検索、第6条第1項第1号ホ）
- 改正事項に関する資料等（警察庁 JAFIC。令和7年・令和8年改正犯罪収益移転防止法施行規則に関するQ&A）
- 令和7年改正犯罪収益移転防止法施行規則（なりすまし等のリスクの高い本人特定事項の確認方法の廃止等）に関するQ&A（警察庁 JAFIC、令和7年6月24日公布。PDF）
- 令和8年改正犯罪収益移転防止法施行規則に関するQ&A（警察庁 JAFIC、令和8年3月6日公布。PDF。新規則の施行日の記載あり）
- 本人申告とは（株式会社シー・アイ・シー）
- 不正利用防止の届け出（株式会社日本信用情報機構）
- 本人申告の手続き（全国銀行個人信用情報センター）
- 今すぐできるフィッシング対策（フィッシング対策協議会）
⚡ いま読まれているトレンド
ドコモ「あんしんフィルター」の障害が続く｜設定が変えられない・アプリが使えないときの対処（Androidは窓口で暫定案内、iPhoneはプロファイル削除）
日本シリーズ2026はどこで見られる？｜第2戦〜第7戦のテレビ（TBS・NHK BS・日テレ・テレ朝）とネット配信（TVer・U-NEXT・Hulu・ABEMA）
DEAN & DELUCAのチャリティートートバッグ2026｜先行販売の抽選は10月29日17時まで、発売は11月1日。アプリでのエントリーと当日の時間
