タイムズカー情報漏えい事件

タイムズカーWebシステムの会員のアカウント。第2報（9月28日）では、タイムズカーの会員・退会済みの方（入会を申し込んだが入会が完了していない方を含む）と、タイムズビジネスサービスの会員・退会済みの方としている。

第5報（10月23日）では、タイムズビジネスサービスに「カンタン入会」で入会した、駐車場のみ（クレジットカード払い）の契約者の情報も含まれるとしている。

別のシステムである「タイムズクラブWebシステム」でも不正アクセスが確認されたと発表している。

タイムズカーWebシステム（第5報・10月23日）

• 6,628,007件：氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報にアクセスされ、外部に送信された痕跡があるもの（アカウント単位。項目は対象者により異なる）
• このうち本人確認書類の画像（暗号化されたデータ）：外部送信の痕跡があるものが1,464,800件、アクセスはされたが外部送信の痕跡は確認されなかったものが891,602件（合計2,356,402件）。これまで「約160万件」と知らせていた件数を、同社は詳細調査で絞り込んだとしている
• そのほか、法人会員の所属部署名3,677件、タイムズカー会員番号8件、タイムズビジネスカード番号113件、連携サービスID4件（第2報の9件から訂正）、ハッシュ化されたパスワード4件
• クレジットカード情報：同社は決済情報を保持しておらず、カード番号の全桁とセキュリティコードは保持していないとしている

タイムズクラブWebシステム（第5報）

外部送信の痕跡があるもの：氏名・住所・生年月日・運転免許情報（5件）、タイムズクラブカード番号（19,510件）、連携サービスID（135,436件）、クレジットカード番号の下4桁（28件）など

外部専門機関によるフォレンジック調査（不正の痕跡を調べる専門調査）の結果、Webシステムに存在した脆弱性が悪用されて発生したと、同社は判断している（第5報）。

攻撃者は、その脆弱性を悪用して侵入した後、システム内の情報を探索し、取得した情報を使ってデータベースとファイル領域にアクセスしていたことを確認したとしている。

攻撃手法の詳細やシステム構成は、二次被害を防ぐため公表を差し控えるとしている。

• 9月25日：不正アクセスを検知（9時07分）し、対象サーバーを隔離、アクセス経路を遮断。個人情報保護委員会へ報告し、第1報を公表。9月26日7時25分までに、侵入経路の遮断と攻撃元からの通信の遮断を完了した
• 9月28日：警察への相談を開始（国土交通省にも一報）。既存会員への案内を開始。個人会員は9月29日、退会者は10月1日、法人会員は10月2日から案内を始めた
• 10月23日：外部専門機関によるフォレンジック調査を終了。確認された侵害経路への対策を完了し、同一構成のシステムの点検と、監視・検知の強化を実施したとしている
• 本人確認書類の画像：保有ルールを見直し、現会員は登録確認の完了後すぐに削除する運用に変更。現在保有している画像は、本人の申し出の有無にかかわらず、2026年10月末までに削除するとしている（削除の完了を伝える公式発表は、2026年11月11日時点で確認できていない）
• 社外取締役を中心とした調査委員会が内部統制とガバナンスを検証する。情報セキュリティの強化策は、年内を目処に公表するとしている
• お見舞い（第5報）：暗号化された本人確認書類画像データへのアクセスおよび外部送信を示す痕跡が確認されたお客様に、3,000円相当の現金または金券を渡すとしている。内容と渡し方は検討中で、決まり次第、対象のお客様に案内するとしている。申請の要否や期限は、発表では示されていない