タイムズカーの情報漏えい、自分は対象？免許証画像の扱い【10月23日更新】

「タイムズカーの情報が漏れたらしいけれど、自分も対象？」「退会していても関係ある？」「運転免許証の画像まで漏れたらどうすればいい？」と気になっている方に向けて、パーク24株式会社とタイムズモビリティ株式会社の公式発表に書かれていることだけを整理しました。内容は、2026年9月25日の第1報から、10月16日の第4報、外部専門機関による調査の結果をまとめた10月23日の第5報と、同日に更新された「ご質問と回答」までの原文を、2026年10月24日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

自分は対象？公式発表でわかること早見表

対象者について公式発表が書いているのは、次の範囲です。表は2026年10月23日の第5報と、同日に更新されたご質問と回答にもとづいています（それ以前の数字は「続報の履歴」にまとめています）。

知りたいこと	公式発表に書かれていること
対象となる方	タイムズカー会員様および退会済みの方（入会を申し込まれたものの、何らかの事由により入会完了されていない方も含む）／タイムズビジネスサービス会員様および退会済みの方（第2報）。第5報では、タイムズビジネスサービスに「カンタン入会」を通じて入会し、駐車場のみ（クレジットカード払い）を契約している方の情報も含まれるとしている
件数（タイムズカーWebシステム）	氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報：外部送信された痕跡が確認されたもの 6,628,007件。暗号化された本人確認書類の画像：外部送信された痕跡あり 1,464,800件／アクセスされたが外部送信の痕跡なし 891,602件（第5報）
タイムズクラブ	タイムズクラブWebシステムへの不正アクセスも確認（第5報）。下の節を参照
自分が対象かを調べる方法	漏えいが確認された会員には、10月23日17時からタイムズカーWebサイトのマイページに、会員ごとに漏えいが確認された情報を掲載（ご質問と回答 Q3）
対象者への知らせ方	「影響を受けたお客様に対し、個別通知を実施しております」（第5報）
届いたメールに書かれていない項目	「メールには、配信時点で漏えいを確認した情報を記載しております」（Q4・10月23日更新）
退会済み・入会が完了しなかった方	対象に含まれる。退会済みの方には10月1日から順次個別に案内。専用のお問い合わせフォームから連絡するよう案内（Q3・Q5）
お見舞い	暗号化された本人確認書類の画像データへのアクセスと外部送信を示す痕跡が確認された方に、3,000円相当の現金または金券。内容と渡し方は「現在検討中」（第5報）
本人確認書類の画像	保有している画像は、本人の申し出の有無にかかわらず2026年10月末までに削除（第4報・第5報）
問い合わせ先	会員様問い合わせ窓口 0120-25-8924（24時間・「おかけ間違いにご注意ください」）／問い合わせフォーム（https://share.timescar.jp/inquiry.html#contact）

お知らせは、パーク24のニュースリリース（パーク24「タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」・第2報・第3報）と、タイムズカーWebサイトの新着情報（タイムズカー「第5報」・「第3報」※追記あり）に掲載されています。よくある質問はタイムズモビリティ「タイムズカーWebサイトへの不正アクセスに関するご質問と回答」（PDF・最終更新2026年10月23日）にまとめられています。

マイページで「漏えいが確認された情報」を確かめる手順

ご質問と回答（Q3・10月23日更新）は、「漏えいが確認された会員様には、10月23日17時より、タイムズカー Webサイトのマイページにお客様ごとに漏えいが確認された情報を掲載いたしました」としています。個人会員・法人会員向けのタイムズモビリティ「漏えいした情報の確認方法について」（PDF）には、次の手順が書かれています。

1. マイページにログインする
2. 右上の「登録情報」を押す（PCの場合は「ご登録情報の確認」）
3. 2段階認証をする（登録したメールアドレスか携帯電話番号に届く認証コードを入力）
4. 画面の上部に赤枠で表示される内容を確認する（「漏えいが確認されたお客様にのみ表示されます」）

ログインは、メールやSMSのリンクからではなく、タイムズカーの公式サイト（https://share.timescar.jp/）や公式アプリから開いてください。届いたメールについては、Q4で「メールには、配信時点で漏えいを確認した情報を記載しております」と説明されています。

退会済みの方は「退会済みおよび入会されなかった方向け」フォームから

ご質問と回答（Q3）は、「退会済みおよび入会されなかったお客様は、専用のお問い合わせフォームよりご連絡ください」としています。2026年10月24日に確認した時点で、フォームは次の流れになっています。

1. タイムズカーの退会済みおよび入会されなかった方向け お問い合わせフォームを開く（タイムズカーの第5報のページにリンクがあります）
2. メールアドレスを入力して送信する（フォームには「本フォームでは、クレジットカード情報やパスワードの入力は不要です」と書かれています）
3. 入力したメールアドレスに届く認証コードで手続きを進める
4. ご質問と回答（Q5）では、入力後「2週間程度を目処に順次ご案内」するとしている

フォームのページは「WebページのURLが「timescar.jp」が含まれる正規のドメインであることをご確認ください」と案内しています。公式は、退会済みの方について「ご登録いただいている連絡先情報が現在も有効とは限らないことから、慎重に対応を進めております」と説明しています（Q5）。フォームは、メールやSMSのリンクからではなく、タイムズカーの公式サイト（https://share.timescar.jp/）の新着情報から順にたどって開いてください。

退会後も情報が残っていた理由と、画像の削除（公式の説明）

ご質問と回答（Q7・10月23日更新）では、退会後も保管している理由を「氏名、住所、生年月日については、法人税法等に基づき7年間保管しています」と説明しています。運転免許情報と画像は「なりすまし対策やお問い合わせ対応のため、7年間保管していました」としたうえで、本人確認書類の画像は「会員登録完了後は画像を保有しない社内ルールに変更いたしました」としています。

第4報（10月16日）と第5報は、現在保有している本人確認書類の画像について「ご本人様からのお申し出の有無にかかわらず、2026年10月末までに削除いたします」としています。第5報はあわせて、「当社において保存していた画像との同一性を確認するための情報は、適切に保全しております」としています。変更後のルールは、現会員が「登録確認完了後、即時削除」、退会会員は従来の「退会後7年間保有」がなくなる形です。

続報の履歴（当初の発表と第5報の違い）

件数や項目は、続報のたびに変わっています。当初の発表は、第5報で次のように更新されました。いま確かめるときは第5報の数字を見てください。

項目	当初の発表	第5報（2026年10月23日）
会員情報の件数	漏えいしたアカウント数 約660万件（第2報・9月28日）	氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報：外部送信された痕跡が確認されたもの 6,628,007件
本人確認書類の画像	運転免許証画像等の本人確認書類が漏えいしたアカウント数 約160万件（第3報・9月29日）	暗号化された画像：外部送信された痕跡あり 1,464,800件／アクセスされたが外部送信の痕跡なし 891,602件（計2,356,402件）
連携サービスID	「JR西日本グループの会員サービスWESTER ID」等 計9件（第2報）	4件。「WESTER ID」は0件と訂正
パスワード	漏えいした項目に含まれる・「復元できない形式」（第2報）	ハッシュ化された認証情報（パスワード）：外部送信された痕跡が確認されたもの 4件
クレジットカード	「漏えいしていないことを確認」（第2報）	タイムズクラブ側でクレジットカード番号の下4桁 28件。全桁とセキュリティコードは「一切保持していない」
タイムズクラブ	記載なし	タイムズクラブWebシステムへの不正アクセスを確認
原因	フォレンジック調査を実施中（第2報）	「Webシステムに存在した脆弱性が悪用された」
補償・お見舞い	「調査の結果を踏まえて、全体方針を決定する予定」（ご質問と回答・10月13日時点）	画像の外部送信の痕跡が確認された方に3,000円相当の現金または金券（内容と渡し方は検討中）
会員ごとの詳細	「2週間程度を目処にあらためてご案内」（第3報）→第4報で10月23日に変更	10月23日17時からマイページに掲載

本人確認書類の画像の数え方について、ご質問と回答（Q11・10月23日追加）は、画像データが外部に送信された場合と、アクセスされただけで外部に送信されていない場合を「あわせて「漏えい（または漏えいのおそれ）」として公表しております」と説明しています。第5報は「外部専門機関による調査の結果に基づく最終件数については上記のとおりであり、現時点で追加の対象範囲は確認されておりません」としています。

何が漏れた？第5報の項目と件数

第5報は、タイムズカーWebシステムについて、痕跡の種類ごとに件数を分けて公表しています。全員がすべての項目に当てはまるわけではありません。表の「区分」は第5報の表記を短くしたものです。

区分（第5報）	項目	件数
① データにアクセスされ、外部送信された痕跡が確認されたもの	氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報	6,628,007件
② ①のうち「属性・識別情報」データにアクセスされ、外部送信された痕跡が確認されたもの	法人会員様の所属部署名	3,677件
	タイムズカー会員番号（IC管理番号）	8件
	タイムズビジネスカード番号	113件
	連携サービスID	4件
③ ①のうちハッシュ化された「認証情報」データにアクセスされ、外部送信された痕跡が確認されたもの	パスワード	4件
④ ①のうち暗号化された「本人確認書類の画像」データにアクセスされ、外部送信された痕跡が確認されたもの	本人確認書類の画像	1,464,800件
⑤ ①のうち暗号化された「本人確認書類の画像」データにアクセスされたものの、外部送信された痕跡が確認されなかったもの	本人確認書類の画像	891,602件

①の氏名・電話番号・メールアドレスには、「タイムズビジネスサービスに「カンタン入会」を通じて入会された方のご契約情報をタイムズカーWebシステムで管理しているため、駐車場のみ（クレジットカード払い）をご契約されているお客様の情報が含まれております」という注記があります。また第5報は、「会員管理およびシステム運用のための識別情報」についても、アクセスされ外部送信された痕跡があったとしています。

本人確認書類の画像の種類は、第2報で「運転免許証画像、現住所確認書類画像（公共料金の請求書 等）、学生証画像（学生プランの場合）、家族確認書類画像（家族プランの場合）」と書かれていました。会員番号は、第1報で漏えいした可能性のある情報に挙げられ、第2報の一覧からは外れていましたが、第5報ではタイムズカー会員番号（IC管理番号）8件が②に入っています。

本人確認書類の画像は「暗号化した状態」で保管

第5報は、「本人確認書類画像データは暗号化した状態で保管していたため」、アクセスや外部送信を示す痕跡が確認された場合でも「直ちに画像内容が閲覧可能な状態になったことを意味するものではありません」としています。一方で、「外部送信された暗号化データについては、将来的な復号の可能性を完全に否定できるものではありません」としています。外部送信の痕跡が確認されなかった⑤の画像について、ご質問と回答（Q10）は「画像内容が閲覧または取得された可能性は低いものと考えております」と説明しています。

クレジットカード番号全桁・セキュリティコードは「一切保持していない」

第2報は「クレジットカード情報については漏えいしていないことを確認しております」としていました。第5報では、タイムズクラブWebシステムからクレジットカード番号の下4桁28件の漏えいが確認されたとしたうえで、「当社は決済情報の非保持化に対応しており、クレジットカード番号全桁およびセキュリティコードは一切保持していないため、不正に利用されるおそれはございません」としています。ご質問と回答（Q2）も10月23日に同じ内容へ更新されています。

パスワードは「ハッシュ化」された4件

第2報は、パスワードについて「復元できない形式で保管しており、現時点でパスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されておりません」としていました。第5報では、ハッシュ化された「認証情報」データにアクセスされ、外部送信された痕跡が確認されたパスワードは4件としています。2026年10月24日に確認した時点で、パスワードの変更を求める案内は公式発表に書かれていません。

売買・公開は「確認されていない」

第5報は「現時点において、当社が把握している範囲では、本事案で漏えいした情報が売買・公開されたことを示す事実は確認されておりません」としています。そのうえで、氏名や住所等に加えて本人確認情報が含まれていることから、「フィッシングメールやフィッシングサイトによる詐欺」「なりすましによる各種申込みや問い合わせ」「不正勧誘」「個人情報の悪用」のリスクが想定されるとし、外部専門機関と連携して「ダークウェブを含む情報流通状況の監視を継続する」としています。

タイムズクラブWebシステムへの不正アクセス（第5報で公表）

第5報は、「外部専門機関によるフォレンジック調査を進めた結果、本事案に関連してタイムズクラブWebシステムへの不正アクセスが確認されました」としています。外部送信された痕跡が確認されたものとして公表された項目は次のとおりです。

項目（第5報の表記）	件数	公式の補足
氏名・住所・生年月日・運転免許情報	5件	―
タイムズクラブカード番号	19,510件	―
タイムズビジネスカード番号	12件	―
連携サービスID	135,436件	「タイムズクラブで提供している他社提携サービスと連携するための識別番号です」
クレジットカード番号の下4桁	28件	全桁とセキュリティコードは「一切保持していないため、不正に利用されるおそれはございません」

2026年10月24日に確認した時点で、タイムズクラブ会員が自分の情報を確かめる方法について、第5報とご質問と回答には個別の記載がありません（マイページの確認手順のPDFは「個人会員様・法人会員様」向けで、タイムズカーのマイページの手順です）。第5報は、影響を受けた方には個別通知を実施しているとしています。わからない場合の問い合わせ先は、上記の会員様問い合わせ窓口です。

漏れた項目ごとに気をつけたい連絡

公式は「当社を装ったメール、SMS、電話等には十分ご注意ください」と案内しています。ご質問と回答（Q6）では「郵便物」も挙げられています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。

漏えいした項目	考えられる連絡	注意すること
メールアドレス	タイムズカーを装ったメール、フィッシングメール（公式）	身に覚えのない連絡に記載されたリンクや添付ファイルを開かない（公式）
電話番号	タイムズカー・金融機関・携帯電話事業者・公的機関等を名乗るSMSや電話（公式）	SMS認証コード・ID・パスワード・暗証番号などをその場で伝えない（公式）
住所・氏名・生年月日	名前や住所を書いて本物らしく見せる郵便物や連絡、不正勧誘（郵便物・不正勧誘は公式）	名前や住所が合っていても、本物とは限らないと考える
本人確認書類の画像	なりすましによる各種申込みや問い合わせ（公式が想定するリスク）	次の章の公式の説明を参照。身に覚えのない契約の書類や請求が届いたら、その事業者の公式窓口へ
連携サービスID・カード番号	連携先のサービスやカード会社を名乗る連絡	連携先の公式アプリや公式サイトから確かめる

メール・SMS：公式は「パスワードやカード情報を聞かない」

公式は「当社がメール、SMS、電話等でパスワードやクレジットカード情報をお伺いすることはありません」としています。ご質問と回答（Q13）ではさらに、「当社から、お客様に対してお電話やメール等でSMS認証コード、インターネットサービスのパスワード、運転免許証やマイナンバーカードの暗証番号等をお聞きすることはありません」「不審な連絡を受けた場合には、その場で情報を伝えず、各事業者の公式窓口へご確認ください」と案内しています。

警察庁も「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。

電話：警察を名乗る電話と、国際電話番号に注意

ご質問と回答（Q13）には、「本事案については、警察庁に相談しております」とあり、警察になりすまして電話をしてくる「ニセ警察詐欺」への注意喚起とともに、国際電話番号などの発着信をブロック・警告する無料アプリ（「詐欺対策 by NTTタウンページ」「詐欺バスター Lite」）と警察庁・SOS47 特殊詐欺対策特設ページが紹介されています。アプリは「必要に応じてご活用をご検討ください」という案内で、機能はAndroidとiPhoneで異なるとしています。

見慣れない番号の見分け方は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方、+81から始まるSMSは8180・8190・8170の電話やSMSは何？にまとめています。うっかり出てしまった・折り返してしまった場合は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。

運転免許証の画像が漏れた場合は？公式の説明

本人確認書類の画像が漏れた方がいちばん気になる点について、ご質問と回答（Q8・2026年10月6日追加、10月13日更新）は次のように説明しています。

• 「金融機関、クレジットカード会社、携帯電話事業者等では、法令や業界ルールに基づき本人確認が行われています」
• 「本人確認書類の画像情報を用いた非対面での本人確認においては、本人確認書類の画像だけでなく、本人の容貌画像との照合、ICチップ情報の読み取り、公的個人認証の利用、本人名義口座による確認といった、追加の確認手続きが用いられます」
• 「ただし、第三者による不正な申込みの試みや、上記以外の契約に関する「なりすまし」、その他の情報・手段を組み合わせた不正行為等の可能性を完全に否定するものではありません」

公式はあわせて、この記載は「現時点の法令および公表資料に基づく一般的な制度の内容をご説明するもの」で、「個別の事案や将来発生し得るあらゆる可能性について保証または否定するものではありません」としています。

10月23日に追加されたQ12では、信用情報機関の「本人申告制度」について、本人確認書類の画像の流出などで第三者による不正利用の可能性がある場合に、本人からの申告にもとづいて本人申告情報を登録できる制度と説明しています。一方で、「信用情報機関が悪用の防止効果を保証するものではありません」「与信に限定されるため、例えば預金口座の開設時には利用されません」とし、「当社としては本制度の利用を推奨または保証する立場にはなく、制度のご利用についてはお客様ご自身でご判断いただきますようお願いいたします」としています。

なお、2026年10月24日に確認した時点で、パーク24・タイムズカーの公式発表には、運転免許証の再交付（作り直し）についての案内は書かれていません。再交付が必要かどうかは公式発表から判断できないため、この記事では扱っていません。

一般的な対策（公式の案内ではないもの）

以下は公式発表の案内ではなく、本人確認書類の画像が漏れた場合に一般的に考えられる対策です。携帯電話の契約時の本人確認について、総務省は「オンライン契約（非対面契約）の場合は、令和8年4月1日より、既にICチップの読み取りが原則必須になっています」と案内しています（総務省「携帯電話の本人確認ルール」）。

• 身に覚えのない書類・請求・契約の連絡に注意する：申し込んだ覚えのない契約の書類や請求が届いたら、届いた書類の連絡先ではなく、その事業者の公式サイトに載っている窓口で確かめる
• 暗証番号を人に伝えない：運転免許証やマイナンバーカードの暗証番号は、電話やメールで聞かれても答えない（タイムズカーも「お聞きすることはありません」としている）
• 同じパスワードの使い回し先を見直す：タイムズカーと同じメールアドレス・パスワードの組み合わせをほかのサービスでも使っている場合は、そちらを別のパスワードに変えておくとよいでしょう（考え方はパスワード流出の真相と安全対策）
• 「お見舞い」「返金」を名乗る連絡に注意する：お見舞いの内容と渡し方は検討中で、決定次第、対象の方へ案内すると公式が説明しています（次の章を参照）

今やること（公式の案内を順番に）

第5報と、ご質問と回答（10月23日更新）から、利用者がすることを順に並べると次のとおりです。

1. マイページで漏えいが確認された情報を確かめる：10月23日17時から、漏えいが確認された会員のマイページに掲載（Q3）。公式サイトや公式アプリから開く
2. 不審な連絡に応答しない：「不審なメール、SMS、電話、郵便物等には十分ご注意いただき、心当たりのない連絡には応答せず、記載されたリンクや添付ファイルを開かないようお願いいたします」（Q6）
3. 情報を入力しない・伝えない：「身に覚えのない連絡に記載されたリンクや添付ファイルを開いたり、パスワード、認証コード、クレジットカード情報等を入力したりしないようお願いいたします」（第2報〜第4報）
4. 退会済み・入会が完了しなかった方は専用フォームで連絡する：退会済みおよび入会されなかった方向けのお問い合わせフォームから（Q3・Q5）
5. お見舞いの対象の方は、公式からの案内を待つ：内容と渡し方は「現在検討中」で、「決定次第、対象となるお客様へご案内いたします」（第5報）
6. わからないことは会員様問い合わせ窓口へ：0120-25-8924（24時間）または問い合わせフォーム。公式は「おかけ間違いにご注意ください」としている

ご質問と回答（Q6「今すぐ行う必要がある手続きや対策はあるか？」）の答えは、不審な連絡への注意のみで、2026年10月24日に確認した時点でパスワードの変更などの手続きは求められていません。

補償・お見舞いはある？

第5報は、「暗号化された運転免許証等の本人確認書類画像データへのアクセスおよび外部送信を示す痕跡が確認されたお客様に対し」、「お見舞いとして3,000円相当の現金または金券をお渡しすることといたしました」としています。対象は、本人確認書類の画像の外部送信の痕跡が確認された方（④・1,464,800件）です。お見舞いの内容と渡し方は「現在検討中であり、決定次第、対象となるお客様へご案内いたします」としています。

対象の分け方について、ご質問と回答（Q10・10月23日追加）は、外部送信の痕跡が確認された方は「将来的なリスクを完全には否定できない」ことなどから対象とし、外部送信の痕跡が確認されなかった画像は「画像内容が閲覧または取得された可能性は低いものと考えております」と説明しています。金額の根拠（Q9）は、不正利用やなりすまし被害への備えとして取り得る対応や負担を総合的に勘案し、検討要素の一つとして「信用情報機関における本人申告制度の利用に伴う費用負担等も参考にしております」が、「特定の制度の利用を前提としたものではありません」としています。

お詫びについて、第5報は「お客様をはじめ、関係者の皆様に多大なるご迷惑とご心配をお掛けしておりますことを、心より深くお詫び申し上げます」としています。「お見舞いの受け取りにカード番号が必要」「返金のためにログインして」といった連絡が届いても、本文のリンクから情報を入力しないでください。案内の内容は、タイムズカーやパーク24の公式サイトで確かめるのが安全です。

個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。

経緯・原因と公表の履歴

第5報は、発生原因について「外部専門機関によるフォレンジック調査の結果、本事案はWebシステムに存在した脆弱性が悪用されたことにより発生したものと判断しております」としています。脆弱性を悪用してシステムへ侵入した後、「システム内の情報を探索し、取得した情報を利用してデータベースおよびファイル領域へアクセスしていたことを確認」したとし、「攻撃手法の詳細やシステム構成等については、二次被害防止の観点から公表を差し控えます」としています。

対応状況は、「確認された侵害経路に対する対策を完了」し、同一構成システムへの点検と脆弱性対策、監視・検知強化の追加対策を実施したとしています。今後は、社外取締役を中心に外部専門家を加えた調査委員会で内部統制とガバナンスの観点から検証し、「具体的な情報セキュリティ強化策およびガバナンス強化策につきましては、年内を目処に公表いたします」としています。

パーク24は東証の適時開示として、2026年9月28日に「連結子会社における不正アクセスの発生および個人情報漏えいに関するお知らせ」（PDF）を公表しています。10月23日には「不正アクセスに関する調査結果および今後の対応に関するお知らせ」と「特別損失の計上および通期連結業績予想の修正に関するお知らせ」を開示し、お見舞金と本事案への諸対応費用として特別損失5,500百万円（55億円）を計上する見込みとしています。これに伴い、2026年10月期の親会社株主に帰属する当期純利益の予想を44,000百万円から38,500百万円に修正しています。

日付	公表・出来事
2026年9月25日 9時07分	タイムズカーのシステムで不正アクセスを検知し、調査を開始（第2報）。第5報の経緯表では、同日に対象サーバーの隔離・不正アクセス経路の遮断・フォレンジック調査の開始・個人情報保護委員会への報告・問い合わせ窓口の開設
2026年9月25日	第1報「「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について」を公表（漏えいした「可能性」）
2026年9月26日	侵害を受けた環境および関連環境の切り離し完了。第1報に情報を追記（7時25分までに経路の遮断等を完了）
2026年9月28日	第2報を公表。漏えいしたアカウント数 約660万件・「第三者に取得されたことを確認」。警察への相談開始・国土交通省へ一報・既存会員への案内開始。パーク24が適時開示
2026年9月29日	第3報を公表。本人確認書類が漏えいしたアカウント数 約160万件。個人会員への案内を開始
2026年10月1日	第1〜3報を更新し、ご質問と回答と退会者向けのお問い合わせフォームを追加。退会済みの方への個別の案内を開始
2026年10月2日	法人会員への案内を開始（第5報の経緯表）
2026年10月6日・13日	ご質問と回答に運転免許証画像に関する本人確認制度と注意すべきことを追加・更新
2026年10月16日	第4報を公表。本人確認書類の画像保有ルールを見直し、保有している画像を10月末までに削除すると発表。第3報で「2週間程度を目処」としていた案内を10月23日に変更
2026年10月23日	フォレンジック調査を終了し、第5報を公表（件数・原因・お見舞い）。同日17時からマイページに会員ごとの漏えい情報を掲載。ご質問と回答を更新。パーク24が適時開示（調査結果・特別損失）

ほかの事案（同じ時期に公表された情報漏えい）

同じ10月に公表された事案はローソンIDの不正アクセス（漏れた項目と今やること）や銀のさら（ライドオンエクスプレス）の情報漏えい、鉄道系の会員サービスの事案はえきねっと・JR東日本の情報漏えいでも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。

よくある質問

タイムズカーの情報漏えいで、自分が対象かどうか確認する方法はありますか？

A. 公式は、漏えいが確認された会員には、2026年10月23日17時からタイムズカーWebサイトのマイページに、会員ごとに漏えいが確認された情報を掲載したとしています。マイページにログインし、「登録情報」（PCは「ご登録情報の確認」）から2段階認証をすると、漏えいが確認された方にのみ上部に赤枠で表示されます。退会済みの方と入会が完了しなかった方は、専用のお問い合わせフォームから連絡するよう案内されています。

退会済みでも対象になりますか？

A. 公式発表では、タイムズカー会員とタイムズビジネスサービス会員の退会済みの方も対象に含まれ、入会手続きが完了していない方も含むとしています。退会済みの方には10月1日から順次個別に案内していて、退会済みおよび入会されなかった方向けのお問い合わせフォームにメールアドレスを入力すると、認証コードが届きます。ご質問と回答では、入力から2週間程度を目処に順次案内するとしています。

クレジットカード情報やパスワードは漏れましたか？

A. 第5報では、タイムズクラブWebシステムからクレジットカード番号の下4桁28件の漏えいが確認されたとしたうえで、クレジットカード番号全桁とセキュリティコードは一切保持していないため、不正に利用されるおそれはないとしています。パスワードは、ハッシュ化された認証情報にアクセスされ、外部送信された痕跡が確認されたものが4件です。2026年10月24日に確認した時点で、パスワード変更を求める案内はありません。

運転免許証の画像が漏れた場合、何をすればいいですか？

A. 第5報では、暗号化された本人確認書類の画像について、外部送信された痕跡が確認されたものが1,464,800件、アクセスされたものの外部送信された痕跡が確認されなかったものが891,602件としています。画像は暗号化した状態で保管していたため、直ちに画像内容が閲覧可能な状態になったことを意味するものではないとしつつ、将来的な復号の可能性を完全に否定できるものではないとしています。公式の案内は、不審な連絡に応答せず、SMS認証コードや暗証番号などをその場で伝えないことです。運転免許証の再交付についての案内は公式発表に記載がありません。

補償やお見舞いはありますか？

A. 第5報では、暗号化された本人確認書類の画像データへのアクセスと外部送信を示す痕跡が確認された方に、お見舞いとして3,000円相当の現金または金券を渡すとしています。お見舞いの内容と渡し方は検討中で、決定次第、対象の方へ案内するとしています。お見舞いや返金を名乗る連絡が届いても、本文のリンクから情報を入力せず、公式サイトで確かめてください。

タイムズクラブの会員も関係ありますか？

A. 第5報で、本事案に関連してタイムズクラブWebシステムへの不正アクセスも確認されたと公表されました。外部送信された痕跡が確認されたものとして、タイムズクラブカード番号19,510件、連携サービスID 135,436件、クレジットカード番号の下4桁28件、氏名・住所・生年月日・運転免許情報5件などが挙げられています。タイムズクラブ会員向けの確認方法は、2026年10月24日に確認した時点で公式発表に個別の記載がありません。

あわせて読みたい：ソースネクストの情報漏えい（流出した可能性 22,519,960件・10/15発表）

あわせて読みたい：バーガーキングアプリの情報漏えい、自分は対象？

あわせて読みたい：アエナの情報漏えい、自分は対象？

あわせて読みたい：ファンケル・アテニアの情報漏えい（10月16日公式発表）

あわせて読みたい：ショップサーブの情報漏えい（対象7,858店・10/16最終報）

あわせて読みたい：ヤマト運輸の情報漏えい（クロネコ代金後払い・10/16第4報）

あわせて読みたい：本人確認書類の画像がかかわる事案ではSnapmart（10月16日公式発表）も

あわせて読みたい：ハノワの情報漏えいのおそれ（本人確認書類・免許証の画像）

あわせて読みたい：Webサーバーの脆弱性の悪用と公表された Value Card・モスカードの流出

まとめ

• パーク24は2026年10月23日の第5報で、フォレンジック調査の結果を公表した。原因は「Webシステムに存在した脆弱性が悪用された」こと
• 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報は、外部送信された痕跡が確認されたもの 6,628,007件（当初の発表は約660万件）。対象はタイムズカー会員・タイムズビジネスサービス会員と、それぞれの退会済みの方（入会手続きが完了していない方も含む）
• 暗号化された本人確認書類の画像は、外部送信の痕跡あり 1,464,800件・アクセスされたが外部送信の痕跡なし 891,602件（当初の発表は約160万件に漏えいのおそれ）。画像は10月末までに削除
• タイムズクラブWebシステムへの不正アクセスも確認（タイムズクラブカード番号 19,510件・連携サービスID 135,436件など）。クレジットカード番号全桁とセキュリティコードは保持していない
• 自分の情報は10月23日17時からマイページで確認できる。退会済みの方は専用フォームから。画像の外部送信の痕跡が確認された方に3,000円相当のお見舞い（内容と渡し方は検討中）
• 公式の案内は、不審なメール・SMS・電話・郵便物に応答しないこと。問い合わせは会員様問い合わせ窓口 0120-25-8924（24時間）

この記事は、2026年9月25日の第1報から10月23日の第5報とご質問と回答の更新までの公式発表（2026年10月24日確認）で書いています。第5報は情報セキュリティ強化策とガバナンス強化策を「年内を目処に公表」するとしているため、続報が出た場合はタイムズカー・パーク24の公式のお知らせを優先してください。

出典

• パーク24「タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（タイムズカーWebシステムへの不正アクセスによる情報漏えい関連・第5報）」（2026年10月23日）／同 第4報「タイムズカーWebシステムへの不正アクセスに関する対応について」（2026年10月16日）
• パーク24「「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）」（2026年9月25日・9月26日追記）
• パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日）／同（第3報）（2026年9月29日）
• タイムズカー「第5報」／「第4報」／「第2報」／「第3報」（2026年10月24日確認）
• タイムズモビリティ「タイムズカーWebサイトへの不正アクセスに関するご質問と回答」（PDF）（2026年10月1日・最終更新10月23日）／同「漏えいした情報の確認方法について」（PDF）
• パーク24「連結子会社における不正アクセスの発生および個人情報漏えいに関するお知らせ」（PDF・適時開示）（2026年9月28日）／パーク24「不正アクセスに関する調査結果および今後の対応に関するお知らせ」「特別損失の計上および通期連結業績予想の修正に関するお知らせ」（適時開示・2026年10月23日）
• 警察庁・SOS47 特殊詐欺対策特設ページ（アプリ）／警察庁「フィッシング対策」／総務省「携帯電話の本人確認ルール」／個人情報保護委員会「個人情報保護法相談ダイヤル」