2026年10月23日、パーク24は 「タイムズカーWebシステムへの不正アクセスによる個人情報漏えい（第5報）」 を公開しました。

今回の第5報は、これまでの続報と比べて内容が大きく進展しており、

• 漏えい件数の確定（最終値）
• 外部送信が確認されたデータの詳細
• 本人確認書類画像の保有ルールの廃止
• お見舞金3,000円の支払い決定
• 攻撃原因の確定（Webシステムの脆弱性悪用）

など、ユーザーにとって極めて重要な情報が含まれています。

この記事では、公式発表の内容を専門的にわかりやすく整理し、 ユーザーが取るべき対応や今後の見通しを解説します。

■ 1. 事案発生から現在までの経緯（時系列）

• 9月25日：異常アクセスを検知 → 調査開始
• 9月26日：侵害環境の切り離し完了
• 9月28日：第2報（660万件の漏えい確認）
• 9月29日：第3報（本人確認書類画像 約160万件）
• 10月16日：第4報（本人確認書類画像の保有廃止を発表）
• 10月23日：第5報（フォレンジック調査完了 → 最終件数確定）

→ 第5報は「調査完了フェーズ」 にあたる。

■ 2. 漏えいまたは漏えいのおそれが確認された情報（最終確定値）

フォレンジック調査の結果、 タイムズカーWebシステムおよびタイムズクラブWebシステムの両方が侵害されていた ことが判明。

▼ タイムズカーWebシステム（①〜⑤）

① 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報

6,628,007件 → 外部送信の痕跡あり

② 属性・識別情報（法人部署名・会員番号など）

• 法人部署名：3,677件
• 会員番号：8件
• タイムズビジネスカード番号：113件
• 連携サービスID：4件（※第2報の9件 → 4件に修正）

③ ハッシュ化されたパスワード

4件

④ 暗号化された本人確認書類画像（外部送信あり）

1,464,800件

⑤ 暗号化された本人確認書類画像（外部送信なし）

891,602件

→ 合計：2,356,402件の本人確認書類画像が攻撃者にアクセスされた

▼ タイムズクラブWebシステム（⑥）

⑥ 氏名・住所・生年月日・運転免許情報

5件

タイムズクラブカード番号

19,510件

タイムズビジネスカード番号

12件

連携サービスID

135,436件

クレジットカード番号の下4桁

28件（決済情報は非保持のため全桁は漏えいなし）

■ 3. 本人確認書類画像の保有ルールを廃止

従来：

• 会員期間中＋退会後7年間
• 暗号化して保管
• 不正利用対応や本人確認業務のため保持

第5報で正式に以下が決定：

✔ 会員登録完了後は本人確認書類画像を保有しない

✔ 現在保有している画像は2026年10月末までに全削除

ただし：

• 将来問い合わせ対応のため、同一性確認用の情報は保全

→ 日本の企業としては異例の「画像保有ゼロ化」対応。

■ 4. お客様への影響（リスク）

現時点で：

• 売買・公開の事実は確認されていない
• 不正利用の事実も確認されていない

しかし、漏えいした情報には以下が含まれるため、 リスクは依然として高い。

想定されるリスク

• フィッシングメール
• なりすまし申込み
• 不正勧誘
• 個人情報の悪用
• 本人確認書類画像の将来的な復号リスク（暗号化されているが完全否定不可）

■ 5. お客様への対応（第5報で新たに追加）

① 個別通知の継続

② 専用窓口の設置（24時間）

電話：0120-25-8924 フォーム：https://share.timescar.jp/inquiry.html

③ お見舞金 3,000円の支払い決定（新情報）

対象：

• 暗号化された本人確認書類画像にアクセス・外部送信の痕跡があるユーザー

形式：

• 現金または金券（詳細は後日案内）

→ 補償ではなく「お見舞い金」だが、実質的な補償に近い。

④ 新事実が判明した場合は追加案内

■ 6. 発生原因（確定）

外部専門機関の調査により、 Webシステムに存在した脆弱性が悪用されたことが原因 と確定。

攻撃者は：

• 脆弱性を悪用して侵入
• システム内の情報を探索
• 取得した情報を利用してDBやファイル領域へアクセス

→ 典型的な Webアプリケーション脆弱性攻撃（推定：認証回避・権限昇格・ファイルアクセス系）

■ 7. 現時点での対応状況

• 侵入経路の遮断完了
• 同一構成システムの点検・脆弱性対策完了
• 監視・検知強化の追加対策を実施
• セキュリティ体制の高度化を継続

→ 技術的な封じ込めは完了している。

■ 8. 今後の対応（第6報以降の予測）

• 外部専門家を含む調査委員会でガバナンスを検証
• 年内を目処にセキュリティ強化策を公表
• 必要に応じて追加の個別通知
• お見舞金の支払い方法を案内

■ まとめ：第5報は「最終確定フェーズ」＋「補償フェーズの開始」

今回の第5報は、これまでの続報と比べて内容が大きく進展しており、

• 漏えい件数が最終確定
• 本人確認書類画像146万件に外部送信痕跡
• 画像保有ルールの廃止（10月末までに全削除）
• お見舞金3,000円の支払い決定
• 攻撃原因が脆弱性悪用と確定

という極めて重要な内容が含まれている。

ユーザーの不安は依然として残るものの、 企業側の調査は完了し、補償フェーズに入ったと考えられる。