事案別まとめ ／ 初報 2026/09/25 ／ 当サイト更新 2026/10/23
タイムズモビリティ／タイムズカー
タイムズモビリティ／タイムズカーは2026年9月25日、不正アクセスなどの外部攻撃による情報の漏えい等を確認したと公表した。最新の続報（10月23日）：調査が完了し、脆弱性悪用で侵入され本人確認書類画像146万件に外部送信の痕跡。
6,628,007件（タイムズカーWebシステム。うち暗号化された本人確認書類画像の外部送信の痕跡1,464,800件、アクセスのみの痕跡891,602件）。タイムズクラブWebシステムでも連携サービスID135,436件、タイムズクラブカード番号19,510件などが外部送信
- 確認状況
- A 外部攻撃
漏えい確認 - 発生・検知・確認日時
- 2026-09-25 09:07検知（侵入開始は未公表）
- 対象情報
- 氏名・住所・生年月日・電話・メール、所属部署、免許情報、本人確認書類画像、復元できない形式のパスワード、連携サービスID等。対象ごとに異なる。カード情報は対象外。
- 補填・損害・復旧費
- 見舞金（2026/10/23 公表）
1人あたり：3,000円相当の現金または金券
対象：暗号化された運転免許証等の本人確認書類画像データへのアクセスおよび外部送信を示す痕跡が確認された顧客
お見舞いの内容と渡し方は検討中で、決まり次第対象の顧客へ案内する。
損害・費用：特別損失5,500百万円（お見舞金と諸対応費用。2026年10月期第4四半期に計上する見込み）
公式資料1 ／ 公式資料2 ／ 公式資料3
事実概要
Webシステムへの第三者の不正アクセス。
企業・組織が公表した対応
- 具体的侵入経路は未公表。
続報
本人確認書類の画像は会員登録確認の完了後に即時削除、保有分は2026年10月末までに削除
10月16日の第4報で、本人確認書類の画像の保有ルールを見直し、会員登録確認の完了後は即時削除するよう変更したと公表した。現在保有している本人確認書類の画像は、本人の申し出の有無にかかわらず2026年10月末までに削除する。外部専門機関の調査結果を踏まえた案内は、調査に時間を要しているため10月23日に変更した。
調査が完了し、脆弱性悪用で侵入され本人確認書類画像146万件に外部送信の痕跡
10月23日の第5報と親会社パーク24の適時開示で、外部専門機関のフォレンジック調査が完了し、Webシステムに存在した脆弱性を悪用されて侵入され、取得した情報を使ってデータベースとファイル領域にアクセスされたと公表した。外部送信の痕跡が確認されたのは氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報の6,628,007件。暗号化された本人確認書類の画像は約160万件としていたが、外部送信の痕跡は1,464,800件で、ほかにアクセスの痕跡のみが891,602件あった。ハッシュ化されたパスワードは4件。タイムズクラブWebシステムへの不正アクセスも確認され、タイムズクラブカード番号19,510件、連携サービスID135,436件、クレジットカード番号の下4桁28件などが外部送信された。WESTER IDの漏えいは0件だった。本人確認書類画像の外部送信が確認された人に3,000円相当の見舞いを渡す。社外取締役を中心とする調査委員会で内部統制とガバナンスを検証し、2026年10月期の通期連結業績予想を修正した。
検知から再発防止までの工程
| 工程 | 実施日 | 公表内容 | 根拠 |
|---|---|---|---|
| 調査 | — | 外部専門機関の調査結果を踏まえた案内は、調査に時間を要しているため10月23日に変更した。 続報：10月23日の第5報と親会社パーク24の適時開示で、外部専門機関のフォレンジック調査が完了し、Webシステムに存在した脆弱性を悪用されて侵入され、取得した情報を使ってデータベースとファイル領域にアクセスされたと公表した。 社外取締役を中心とする調査委員会で内部統制とガバナンスを検証し、2026年10月期の通期連結業績予想を修正した。 | 公式資料 2026-09-25 公式資料 2026-09-28 公式資料 2026-09-29 公式資料 2026-10-06 公式資料 2026-10-16 公式資料 2026-10-23 公式資料 2026-10-23 |
| 再発防止 | — | 社外取締役を中心とする調査委員会で内部統制とガバナンスを検証し、2026年10月期の通期連結業績予想を修正した。 | 公式資料 2026-09-25 公式資料 2026-09-28 公式資料 2026-09-29 公式資料 2026-10-06 公式資料 2026-10-16 公式資料 2026-10-23 公式資料 2026-10-23 |
公表・続報の時系列
公式発表
公式資料を読む公式発表
公式資料を読む公式発表
公式資料を読む続報（第4報）
本人確認書類の画像は会員登録確認の完了後に即時削除、保有分は2026年10月末までに削除
10月16日の第4報で、本人確認書類の画像の保有ルールを見直し、会員登録確認の完了後は即時削除するよう変更したと公表した。現在保有している本人確認書類の画像は、本人の申し出の有無にかかわらず2026年10月末までに削除する。外部専門機関の調査結果を踏まえた案内は、調査に時間を要しているため10月23日に変更した。
公式資料を読む続報（第5報）
調査が完了し、脆弱性悪用で侵入され本人確認書類画像146万件に外部送信の痕跡
10月23日の第5報と親会社パーク24の適時開示で、外部専門機関のフォレンジック調査が完了し、Webシステムに存在した脆弱性を悪用されて侵入され、取得した情報を使ってデータベースとファイル領域にアクセスされたと公表した。外部送信の痕跡が確認されたのは氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報の6,628,007件。暗号化された本人確認書類の画像は約160万件としていたが、外部送信の痕跡は1,464,800件で、ほかにアクセスの痕跡のみが891,602件あった。ハッシュ化されたパスワードは4件。タイムズクラブWebシステムへの不正アクセスも確認され、タイムズクラブカード番号19,510件、連携サービスID135,436件、クレジットカード番号の下4桁28件などが外部送信された。WESTER IDの漏えいは0件だった。本人確認書類画像の外部送信が確認された人に3,000円相当の見舞いを渡す。社外取締役を中心とする調査委員会で内部統制とガバナンスを検証し、2026年10月期の通期連結業績予想を修正した。
公式資料を読む補填の公表
見舞金（1人あたり：3,000円相当の現金または金券）。お見舞いの内容と渡し方は検討中で、決まり次第対象の顧客へ案内する。損害・費用：特別損失5,500百万円（お見舞金と諸対応費用。2026年10月期第4四半期に計上する見込み）
公式資料を読む
公式資料
公式資料 2026-09-25
公式資料 2026-09-28
公式資料 2026-09-29
公式資料 2026-10-06
公式資料 2026-10-16
公式資料 2026-10-23
公式資料 2026-10-23
Xでの反応
公表日以降に組織名またはサービス名と「漏洩・漏えい・流出・不正アクセス」を含む投稿は20,381件。最多は9月29日の3,413件。感情の割合：ネガティブ 96%／ポジティブ 4%。 SNSでの関心を見る
脆弱性の悪用の関連事案
この事案を含むまとめ
2026年9月の情報漏洩まとめ脆弱性の悪用の情報漏洩まとめ企業・団体の情報漏洩まとめ外部攻撃（不正アクセス・ランサムウェアなど）の情報漏洩まとめ業種：IT・サービスの情報漏洩一覧