タイムズカー情報流出、免許証再交付でも消えない被害者の長期不安

免許証画像まで流出した大規模侵害の全体像

タイムズカーのWebシステムが不正アクセスを受け、約660万件のアカウント情報が第三者に取得されました。約160万件では、運転免許証画像をはじめとする本人確認書類も漏えいしています。現会員だけでなく、退会者や入会を完了しなかった人も対象です。

問題の重さは件数だけではありません。カードなら停止できますが、顔、生年月日、過去の住所は簡単に変更できません。免許証を再交付し、信用情報機関へ申告しても、流出済みの画像は回収できないためです。被害者には長期的な監視と記録保存が残されます。

再交付で更新できる情報と残り続けるリスク

約660万件に広がった漏えい対象の範囲

タイムズモビリティは2026年9月25日午前9時7分、外部からの不正アクセスを検知しました。翌26日午前7時25分までに侵入経路と攻撃元との通信を遮断し、その後の調査で保存情報が第三者に取得されたことを確認しています。

対象はタイムズカーとタイムズビジネスサービスの会員、退会者、入会手続きを完了しなかった人です。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類、パスワード、連携サービスIDなどが含まれます。クレジットカード情報は同社が保有しておらず、漏えい対象外とされています。

パスワードについても、同社は復元できない形式で保管しており、その情報を使ったアカウントの不正利用のおそれはないと説明しています。ただし、これはログイン情報の直接悪用に関する説明です。氏名や住所、顔写真を組み合わせたなりすましや標的型詐欺の危険まで消えるわけではありません。

本人確認書類約160万件には、免許証画像のほか、公共料金の請求書などの現住所確認書類、学生証、家族確認書類が含まれます。2026年9月28日の公表時点では、不特定多数への公開や本件に起因する不正利用は確認されていませんでした。しかし、第三者による取得が確認された以上、公開されていないことと安全であることは同義ではありません。

同社は2026年4月にも、第三者によるマイページへの不正ログインの試みを確認し、5月から登録情報の閲覧・変更に二段階認証を導入しました。ただし、この事象はデータベースへの侵入ではないと説明されています。今回のシステム侵害とは分けて考える必要があり、10月16日時点で詳細な侵入原因は公表されていません。

本人確認画像が作る高精度な属性セット

免許証画像には、顔写真、氏名、住所、生年月日、免許証番号、有効期限などが一つの画面にまとまっています。流出した電話番号やメールアドレスを重ねれば、攻撃者は本人を装った連絡を作りやすくなります。

想定すべき第一の経路は、金融商品や通信サービスなどへの不正な申込みです。ただし、免許証画像一枚で直ちに銀行口座やカードを作れるわけではありません。金融機関などの非対面本人確認では、本人の容貌画像との照合、ICチップの読み取り、公的個人認証、本人名義口座の確認といった追加手続きが使われています。

第二の経路は、流出元を知る者による精密なフィッシングです。氏名だけの迷惑メールと異なり、住所や生年月日、利用サービスまで一致した連絡は信じやすくなります。「補償手続」「免許証の再登録」などを口実に、認証コードや口座情報を聞き出す手口には特に警戒が必要です。

第三の経路は、規制業種以外での本人確認や、別の流出情報との組み合わせです。金融機関で画像だけの手続きが通らなくても、中古品取引、会員登録、配送先変更など、事業者ごとに確認水準は異なります。顔や生年月日は数年後も変わりにくく、流出データの価値が長期間残る点が厄介です。

再交付で変わる番号末尾と顔写真

運転免許証の番号は12桁ですが、通常の再交付で変わるのは再交付回数を示す末尾の数字です。希望や手続き方法によって顔写真も新しくできますが、氏名、住所、生年月日などの基本情報は変わりません。流出した旧画像そのものも、攻撃者の手元から消えません。

今回の事案では、各地の公安委員会が「相当な事情」があるとして、情報が漏えいした可能性のある人の再交付に応じています。ただし、警察庁は悪用防止の効果を限定的とみています。新旧どちらの番号かを民間事業者が常に照合できる仕組みがなく、券面の大部分が変わらないためです。

東京都の場合、運転免許証のみを再交付する手数料は2,600円です。地域や免許証の保有形態によって窓口、必要書類、即日交付の可否が異なるため、先に住所地の警察へ確認する必要があります。

再交付には一定の意味があります。最新券面を確認する事業者にとって、旧番号や旧写真との不一致が追加確認のきっかけになるからです。一方、再交付だけで安全になったと考えず、信用情報への本人申告や取引監視と組み合わせることが欠かせません。

数千円の慰謝料と被害回復コストの落差

過去判例が示す千円から数万円の幅

個人情報漏えいで認められる慰謝料は、流出した情報の性質、拡散範囲、漏えいの態様、二次被害の有無、企業の事後対応によって変わります。大規模な漏えいだから、一人当たりの賠償額も自動的に高くなるわけではありません。

政府のサイバーセキュリティ関係法令ハンドブックでは、宇治市の住民基本台帳データ流出で、一人当たり慰謝料1万円と弁護士費用5,000円が認められた事例を紹介しています。約1,100万件の会員情報が不正アクセスで流出した事例では、慰謝料5,000円と弁護士費用1,000円でした。

エステティックサロンの事例では、関心のある施術内容など通常は他人に知られにくい情報が公開され、迷惑メールなどの二次被害を受けた原告に慰謝料3万円と弁護士費用5,000円が認められました。情報の機微性と実際の二次被害が金額を押し上げた形です。

ベネッセの顧客情報漏えいを巡る差戻し後の控訴審では、慰謝料は一人当たり1,000円でした。同社が自主的に配った500円相当の金券なども算定事情として考慮されています。企業が任意に渡す「お詫びの品」と、裁判で認定される損害賠償は同じものではありません。

タイムズカーでは免許証画像まで取得されており、氏名や住所だけの流出とは性質が異なります。一方、現時点で確認されている二次被害や拡散範囲、侵入原因など、金額を左右する事実は確定していません。過去の数千円という水準を、そのまま今回の予想額に置き換えることはできません。

同社の10月13日更新のFAQでは、補償について外部専門機関の調査結果を踏まえて全体方針を決めるとしています。再交付費用や信用情報機関への申告費用を負担するかも、まだ示されていません。

本人申告と証拠保存にかかる自己負担

名義冒用への備えとして、CIC、日本信用情報機構のJICC、全国銀行個人信用情報センターの三つに「本人申告情報」を登録できます。各機関で加盟会社が異なるため、CICとJICCは必要に応じてそれぞれに登録するよう案内しています。

2026年10月時点のオンライン手数料を合計すると2,200円です。東京都で免許証も再交付すれば、直接費用だけで合計4,800円になります。交通費、手続き時間、信用情報の開示費用は含まれません。

手続き	手数料	主な効果	主な限界
CICの本人申告	1,000円	クレジットやローン審査時の注意喚起	契約を自動的に停止する制度ではない
JICCの本人申告	700円	画像流出を含む名義悪用への注意喚起	不正利用防止の効果は保証されない
全国銀行個人信用情報センターの本人申告	500円	加盟金融機関の与信判断時の参考情報	預金口座開設時には照会されない
運転免許証の再交付	2,600円・東京都の場合	番号末尾と顔写真の更新	住所や生年月日、流出済み画像は残る

本人申告は、信用情報に警告を付ける制度です。本人名義による申込みを一律に拒絶する「凍結」ではありません。自分が新たにカードやローンを申し込む際にも追加確認が入る可能性があるため、登録内容と受付番号を保管しておく必要があります。

全国銀行個人信用情報センターは、本人申告情報が預金口座の開設時には照会されないと明示しています。三機関へ登録しても、携帯電話、暗号資産、非金融サービスなどを含む全てのなりすましを防げるわけではありません。

被害者が今から残すべき証拠は、漏えいを知らせるメール、会社への問い合わせ内容と回答、免許証再交付や本人申告の領収書、手続きに要した日時、不審なメールや着信の画面、身に覚えのない申込みや請求の記録です。時系列に並べておけば、補償請求や二次被害との因果関係を説明しやすくなります。

今後、企業から金券や一律補償が提示された場合は、受領によって追加請求を放棄する清算条項が付いていないか確認が必要です。過去の裁判では、企業が先に支払った金額が一部弁済や慰謝料算定の事情として扱われた例があります。

データ最小化と本人確認厳格化が迫る業界転換

タイムズカーは退会後、氏名、住所、生年月日を法人税法などに基づき7年間、免許情報と画像をなりすまし対策や問い合わせ対応のため7年間保管していたと説明しています。ただし、法令に基づく取引記録の保存と、免許証の画像そのものを保存し続ける必要性は切り分けて検証すべきです。

個人情報保護法は一律の保存期間を定めていませんが、利用する必要がなくなった個人データを遅滞なく消去するよう事業者に求めています。個人情報保護委員会も10月7日、大規模漏えいが深刻化した事例を踏まえ、保管の必要性と法令上の根拠を確認するよう注意喚起しました。これはタイムズカーへの違法認定ではありませんが、長期保管の妥当性を問い直す強いメッセージです。

本人確認後も原画像を残すなら、通常の会員データベースから分離し、暗号鍵を別管理する必要があります。アクセス権限の最小化、管理者への多要素認証、APIごとの認可、異常な大量取得の遮断、持ち出しを検知するログ監視も不可欠です。さらに、画像ではなく「確認済み」という結果と必要最小限の項目だけを残す設計が、漏えい時の被害半径を小さくします。

JPCERTコーディネーションセンターは、同時期に国内外のWebサービスを狙った一連の攻撃を調査し、AIを使った既知脆弱性の探索や、アプリ解析を手掛かりとするAPI攻撃を確認しました。タイムズカーの侵入原因として確認されたわけではありませんが、会員画面への二段階認証だけでは、管理APIやバックエンドの脆弱性を防げないことを示しています。

金融分野では2027年4月から、画像撮影と顔画像だけに依存するリスクの高い非対面本人確認方法が廃止され、公的個人認証やICチップ利用へ移行します。ただし、規制対象外の取引や詐欺的な連絡まで消えるわけではありません。静的な免許証画像を「本人そのもの」とみなさず、暗号技術で有効性を確かめる産業横断の転換が必要です。

被害者が今日から残すべき記録と確認先

最初に、タイムズカーの公式サイトや正規アプリから、自分に漏えいした項目を確認します。通知メールのリンクから直接ログインせず、通知と問い合わせ回答を削除せずに保存してください。退会者は、同社の専用フォームから対象確認を依頼できます。

次に、使い回しているパスワードがあれば変更し、利用可能なサービスでは多要素認証を設定します。名義冒用が心配な場合は三つの信用情報機関への本人申告を検討し、免許証再交付は効果の限界を理解したうえで住所地の警察へ相談します。

カード明細、銀行口座、携帯電話契約、信用情報は継続的に確認する必要があります。不審な申込みや請求を見つけた場合は、対象事業者とタイムズカーへ直ちに連絡し、緊急性のない警察相談は「#9110」、消費者トラブルは「188」を利用できます。

免許証の再交付は対策の一層にすぎず、被害者の後始末を終わらせる手続きではありません。企業側には、漏えい項目の明確化、実費負担、長期監視の支援、原因と再発防止策の継続公表が求められます。

参考資料:

• タイムズカーWebシステムへの不正アクセスに関する調査結果・第2報
• 本人確認書類の漏えい件数に関する第3報
• タイムズカーWebサイトへの不正アクセスに関する質問と回答
• タイムズカーのセキュリティ強化に関する案内
• 個人情報保護委員会・大規模な漏えい等事案を踏まえた対応
• サイバーセキュリティ関係法令Q&A・データ漏えい時の損害賠償額
• ベネッセ個人情報漏えい事故の概要とお詫びの品
• 警察庁・運転免許証の番号等の形式及び内容
• 警視庁・運転免許証の再交付手数料
• 免許画像流出に伴う再交付と警察庁の見解
• CIC・インターネット本人申告の手続き
• JICC・本人申告コメントのスマートフォン申込み
• 全国銀行個人信用情報センター・本人申告の手続き
• 金融庁・非対面本人確認方法の見直し
• JPCERT・連続不正アクセス事案の攻撃手法に関する調査