カーセンサーに不正アクセス、最大370万9,551件の個人情報漏えいの可能性

株式会社リクルートは2026年10月21日、中古車情報サイト「カーセンサーnet」と中古車販売店向けサービス「C-MATCH」への不正アクセスに関連し、最大3,709,551件の個人情報が漏えいした可能性があると公表しました。中古車の問い合わせを行った利用者の情報が約321万件を占めるほか、中古車販売店の担当者情報、ログインID、個人事業主の引落口座情報なども影響対象に含まれています。

10月17日の第一報では外部からの不審なアクセスと関連サービスの停止が公表されていましたが、個人情報への影響は明らかにされていませんでした。10月21日の発表は、その対象項目と最大件数が判明した重要な続報です。なお、3,709,551件は漏えいが確定した件数や実際の被害人数ではありません。

カーセンサー・C-MATCH不正アクセスのサマリー

• リクルートは2026年10月17日、カーセンサーnet関連システムへの不審なアクセスを検知しました。
• 同日17時ごろから、カーセンサーnet、アプリ版カーセンサー、C-MATCHなどの関連サービスを一時停止しました。
• 10月20日までの調査で、漏えいした可能性のある情報項目と最大件数を把握し、10月21日に公表しました。
• 漏えいの可能性がある個人情報は、4区分の合計で最大3,709,551件です。
• 問い合わせ利用者の情報には、氏名・住所のほか、一部に問い合わせ内容、電話番号、メールアドレスなどが含まれます。
• 中古車販売店の情報には、代表者・担当者の連絡先、古物商許認可情報、ログインID、個人事業主の引落口座情報などが含まれる可能性があります。
• リクルートによると、対象の情報にはログインパスワードとクレジットカードなどの決済情報は含まれていません。ただし、個人事業主の引落口座情報は別途、対象項目として示されています。
• 同社は個人情報保護委員会への速報を実施し、対象者へ順次個別連絡する方針です。10月21日時点で、本事案に起因する二次被害は把握されていません。

漏えいした可能性のある情報と最大件数

カーセンサーnetの問い合わせ利用者3,210,421件の内訳は、氏名・住所が3,176,375件、これに問い合わせ内容・年代・性別を含むものが33,247件、問い合わせ内容・電話番号・FAX番号・メールアドレスを含むものが799件です。

住所情報は原則として市区町村名までですが、町名・番地・建物名・部屋番号などを含む可能性がある情報は最大447,670件とされています。この数値は問い合わせ情報の内数であり、総件数に追加して合算するものではありません。

口コミ投稿者5,289件は氏名5,285件と氏名・メールアドレス4件の内訳です。また、4区分すべてにリクルート内部で付与した管理用IDが含まれています。

C-MATCHの483,168件は販売店数を表すものではありません。販売店に関わる情報の最大件数であり、「約48万店舗が被害を受けた」と読むのは不正確です。

10月17日のサービス停止から21日の対象件数公表まで

リクルートは10月17日、カーセンサーnetに関連するシステムへの外部からの不審なアクセスを検知しました。利用者と取引先の安全確保、影響確認のため、同日17時ごろから関連するサービスを一時停止しました。

その後、10月20日までに個人情報の漏えいが疑われる対象項目と最大件数を把握。10月21日の公表では約371万件に及ぶ可能性を明らかにするとともに、原因と影響範囲の詳細調査を継続していると説明しています。

同社は個人情報保護委員会への速報を実施済みで、対象者には順次連絡する方針です。連絡先の不通や退職などにより個別通知できない場合を想定し、公式発表と問い合わせ窓口でも案内するとしています。

10月17日のサービス停止については、セキュリティ対策Labが報じた初報で経緯を整理しています。サービスの再開状況はカーセンサーおよびリクルートの公式案内で確認する必要があります。

個人利用者への危険性と具体的な対策

中古車の問い合わせ履歴と氏名・住所が組み合わさると、第三者が販売店の担当者を装い、実際の検討状況に沿った連絡をするリスクがあります。今回、こうした悪用が発生したと確認されたわけではありませんが、一般的な迷惑メールよりも事情を把握しているように見せかけた連絡には注意が必要です。

販売店を装う電話・SMS・メール

「問い合わせた中古車について追加確認が必要」「在庫確保のために予約金を振り込んでほしい」「本人確認のため登録情報を再入力してほしい」といった連絡は、今回の情報を悪用した詐欺の想定例です。特に車両名や過去の問い合わせ内容を挙げられても、それだけで正規の販売店からの連絡とは判断できません。

連絡に記載されたURLや振込先をそのまま利用せず、販売店の公式サイトに自分でアクセスし、掲載されている電話番号から確認してください。支払先口座の変更を告げられた場合も同様です。

住所・氏名を使った書面でのなりすまし

氏名と住所が判明すると、販売店や配送・登録手続きに関する郵送物を装う行為が考えられます。番地まで含まれる可能性がある対象も存在するため、心当たりのない請求書、本人確認書類の提出依頼、QRコード付きの通知に注意してください。

利用者が確認したいこと

• リクルートからの案内が届いた場合、差出人名だけで信用せず、公式サイト掲載情報と照合する。
• 車両代金、予約金、手数料などの支払い依頼は、以前から把握している販売店の連絡先で確認する。
• 身に覚えのないSMSのURLや添付ファイルを開かない。認証コードや本人確認書類を安易に送らない。
• 不審な連絡を受けた場合はメール・SMS・通話履歴を保存し、取引先や警察の相談窓口に連絡する。

公式に漏えいの可能性が示された情報にログインパスワードは含まれていません。したがって、今回の発表だけを根拠にすべての利用者のパスワードが流出したと扱うべきではありません。偽の再設定画面へ誘導する連絡には注意してください。

中古車販売店・企業への危険性と対策

販売店側では、連絡先だけでなくC-MATCHのログインID、古物商許認可情報、個人事業主の引落口座情報まで対象項目に含まれている点を踏まえて対応する必要があります。

C-MATCHログインIDを利用した不正操作の試行

ログインIDが第三者に知られると、パスワードの推測や他サービスから流出した認証情報との照合など、不正ログインを試みる材料に利用される可能性があります。ただし、ログインIDの漏えい可能性だけでアカウントへの侵入が成功したことにはなりません。

販売店の管理者は、サービスの再開や認証設定に関するリクルートの公式指示を確認し、パスワードの使い回しがないか、退職者や委託先の不要アカウントが残っていないかを点検してください。利用可能な場合は多要素認証も設定し、ログイン履歴・操作履歴の確認方法を提供元に問い合わせてください。

引落口座情報や許認可情報を利用した取引先詐称

個人事業主の引落口座情報と販売店関係者の情報が組み合わさると、金融機関やサービス運営者を装った確認連絡、口座変更を誘導する偽の案内などの材料になる可能性があります。口座情報が対象になったことと、不正送金や不正引き落としが発生したことは別です。

経理・管理部門では、支払先や引落口座の変更依頼をメールだけで承認せず、事前に登録した電話番号など別経路で確認してください。該当する個人事業主は取引口座の明細も点検し、不審な取引があれば金融機関に相談することが考えられます。

古物商許認可番号などは事業者確認に使われるため、許認可情報が示されていることだけで連絡相手を信用しない運用が必要です。

販売店の業務継続と顧客への案内

サービス停止期間中は、問い合わせの受信・返信、在庫情報の掲載・更新、商談管理などの業務が影響を受ける可能性があります。自社サイト、電話、別の正規問い合わせ先を案内し、カーセンサー経由の問い合わせが未達になっていないかを確認してください。

外部サービス停止を想定した連絡先の代替手段、取引先からの不審な支払い依頼への確認手順、アカウント管理者の役割分担は、平時から手順化しておくことが有効です。IPAによるWeb・SaaS・APIなどの緊急点検項目も参考になります。

二次被害は10月21日時点で未確認、今後の調査結果に注意

リクルートは10月21日時点で把握する範囲において、本事案に起因する二次被害は確認されていないと説明しています。一方、今回公表した件数は調査段階の最大値であり、情報が実際に持ち出された範囲、攻撃手法などの詳細については調査が続いています。

問い合わせ利用者は販売店を装った金銭要求に、中古車販売店は認証情報を狙う連絡や銀行口座変更の指示に、それぞれ注意する必要があります。実際に対象となるかどうかの確認は、リクルートからの個別連絡と公式のお知らせに従ってください。

出典

• 『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいの可能性に関するお知らせ ― 株式会社リクルート（2026年10月21日）
• リクルート『カーセンサーnet』『C-MATCH』情報漏えいの可能性を公表 ― ORICON NEWS（公式発表内容の再掲、2026年10月21日）

関連記事

ママワークスに不正アクセス、会員の個人情報漏洩の可能性―登録会員は79万人超 サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表 ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円 WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)