タイムズカー、サイバー攻撃で本人確認書類画像約146万件に外部送信の痕跡　対象者に3,000円相当のお見舞い-免許証再交付の限界と47都道府県の対応状況

パーク24は2026年10月23日、「タイムズカー」のWebシステムへの不正アクセスについて第5報を公表しました。運転免許証などの本人確認書類の暗号化画像データのうち、外部送信を示す痕跡が確認されたのは約146万件と判明。該当する利用者に3,000円相当の現金または金券を渡す方針を発表しました。

9月29日の第3報では約160万件の本人確認書類画像について漏えいを報告していましたが、第5報で外部送信を確認した画像データは約146万件と整理されました。外部送信が確認されたのは暗号化されたデータであり、免許証画像の内容が攻撃者に読まれたと確定したものではありません。また「146万件」は画像データの件数であり、「146万人全員に補償金」と公式が確定させた人数ではありません。

過去の日本航空（JAL）やベネッセの情報漏えいに伴うお詫びの金額と比較するとともに、免許証情報のなりすましリスク、再交付をしても消えないリスク、各地の公安委員会・都道府県警の対応を整理します。

タイムズカー情報漏えい・3,000円お見舞いのサマリー

• 2026年9月25日、タイムズカーのWebシステムへの不正アクセスを検知。調査で約660万アカウントの情報流出が明らかになりました。
• 10月23日の第5報で、本人確認書類の暗号化画像データ約146万件に外部送信を示す痕跡が確認されました。これまでの約160万件とは調査上の位置づけが異なります。
• 暗号化データへのアクセス・外部送信の双方の痕跡が確認された利用者に、3,000円相当の現金または金券を渡す方針です。受け取り方法は決定後に個別案内されます。
• 画像データを暗号化した状態で保管していたため、外部送信だけで券面を閲覧されたと断定できません。ただし将来の復号可能性を完全には否定できないと説明しています。
• フォレンジック調査では関連する「タイムズクラブ」のWebシステムへの不正アクセスも確認されました。
• 攻撃の原因はWebシステムの脆弱性の悪用と判断されました。侵入後、データベースやファイル領域にアクセスしたとしています。
• 顧客データの売買・公開を示す事実は10月23日時点では確認されていません。
• 従来は本人確認書類画像を会員期間中と退会後7年間保有していましたが、今後は本人確認完了後に削除し、既存画像も10月末までに削除する方針です。
• 運転免許証の再交付は各地で特例を含めて受け付けていますが、変更される番号は原則として末尾の再交付記号であり、過去に流出した住所・生年月日・旧画像の悪用を防ぎ切る措置ではありません。
• 今回の3,000円は見舞いとして発表されたもので、免許証再交付手数料の個別実費補償や、将来のなりすまし被害に対する損害賠償を一律に確約した発表ではありません。

対象者への3,000円支給はいつ、どのように受け取れるのか

パーク24の第5報は、暗号化された運転免許証などの本人確認書類画像について、攻撃者によるアクセスと外部送信を示す痕跡が確認された利用者を、お見舞いの対象としています。3,000円相当の現金または金券としていますが、具体的な配布方法や手続きは調整中です。既に影響を受けた利用者への個別通知を進めており、詳細は対象者へ知らせるとしています。

そのため、利用者が現段階で「補償金申請サイト」や金融機関口座の登録を求められた場合、情報の真正性を慎重に確認する必要があります。メールやSMSに記載されたURLから申請する前に、パーク24の公式第5報と公式窓口を直接確認してください。

対象画像データの約146万件は、運転免許証だけではなく、住所確認書類や学生証、家族確認書類などを含む本人確認書類画像の総称です。また、約660万の会員アカウントすべてがお見舞い対象となるわけではありません。個々の該当状況は通知内容に基づいて判断します。

過去の個人情報漏えい補償はJAL・ベネッセが500円、今回は3,000円

JALの2014年事件は、当初最大75万件の可能性として公表されましたが、最終的に流出が確定したのは4,131名です。500円相当のQUOカード等の提供については当時の航空業界報道で確認できます。ベネッセは現在も公式ウェブサイトで500円分の金券をお詫びの品としたことを説明しています。

運転免許証画像が悪用される危険性――画像が暗号化されていても注意する理由

運転免許証の表面画像には、氏名、顔写真、生年月日、住所、免許証番号、有効期限など、オンラインで本人確認に使われ得る情報が記載されています。これらの情報が第三者に閲覧可能な状態になれば、名義を装った申込み、偽の本人確認書類の作成、SNSや金融サービスを通じた詐欺の準備などに使われるおそれがあります。ただし、画像を保有するだけで銀行口座やクレジットカードを必ず開設できるわけではありません。事業者側が顔と書類を照合するか、ICチップの真正性を確認するかなど、本人確認の方式によって難度は異なります。

今回確認されたのは、暗号化画像データに対するアクセスと外部送信の痕跡です。第5報は、画像内容の閲覧が直ちに可能になったとは説明していません。その一方で、漏れた暗号化データの将来的な復号の可能性を完全に否定できないとしています。実際に画像が読まれたと断定せず、リスクのある本人確認情報を長期的に監視する必要があります。

想定される二次被害には、タイムズカーの通知や3,000円の受け取りを装った偽サイト、運転免許証画像の提出を求める偽サポート、携帯電話端末の分割購入やローン等へのなりすまし申込みがあります。現在の住所や電話番号が漏えいしていれば、架空請求や不審な郵便物、なりすまし電話の説得力を高める材料にもなります。

セキュリティ対策Labでは、免許証画像の漏えいによるなりすましと本人ができる対策や、銀行が書類画像中心の本人確認の見直しを進める動きも解説しています。

運転免許証の再交付・番号変更だけでは、情報漏えいの対策は完了しない

運転免許証の再交付に伴い、券面の顔写真や12桁の免許証番号の末尾を変更できる場合があります。ただし、警察庁の説明によると、一般的な再交付で変更されるのは再交付回数に関わる末尾の番号であり、氏名、生年月日、住所、本人の顔といった根本的な属性を消去できるわけではありません。

攻撃者が旧免許証の画像を取得していた場合、再交付しても過去の画像が回収されることはありません。新しい免許証が交付されたことを第三者の事業者が常に判別できるとも限らず、券面画像を使う本人確認への対策としては限界があります。免許証番号の大部分は通常引き継がれ、末尾だけが変わることから「新しい番号になれば、古い本人確認情報は無価値になる」と考えるのは誤りです。

警察庁は2026年10月、再交付による悪用防止効果は限定的であると説明し、金融機関などに本人確認の徹底を求めたと報じられています。再交付は本人の不安や特定の手続上のリスクを軽減し得る手段の一つですが、信用情報の確認、本人申告、詐欺への警戒などと組み合わせて判断します。

47都道府県の免許証再交付対応状況――特例・実績と未確認を区別

全国の都道府県公安委員会は、免許証の紛失・破損・記載事項変更等とは別に、相当な事情がある場合に再交付を認めることができます。今回の事件に関し、警察庁によると「ほぼ全ての窓口」で対応していると2026年10月10日に報じられています。ただし、個々の地域の申請条件、持参書類、手数料、交付日数が共通とは限りません。

以下は10月23日時点で、公式案内や県警取材による報道から受付または申請・交付実績を個別に確認できた地域を区別した一覧です。「今回の特例の個別確認なし」は再交付を断っているという意味ではありません。地域名をクリックして確認できる記事や参考資料にアクセスできます。詳しい地域別の検証経緯は、セキュリティ対策Labの免許証の特例再交付を確認した25都県の一覧を参照してください。

再交付の費用と窓口で確認すること

静岡県警が10月16日に更新した今回の被害者向け専用案内では、従来の運転免許証の再交付は2,600円、マイナ免許証は1,500円、2枚持ちは2,700円としています。県の案内には受付時間や必要書類も記載されています。これを全国一律の手数料や無料支援制度と読み替えることはできません。

現時点で確認できた支援の中心は、免許証の現物を紛失していなくても相談・特例再交付を認める運用です。都道府県による手数料免除やパーク24による再交付実費の直接負担が全国一律に始まったという公表はありません。3,000円のお見舞いと再交付にかかる手数料は別の制度として整理する必要があります。

再交付を申し込む場合は、①漏えいに関する通知メール等、②所持している免許証またはマイナ免許証、③手数料、④必要な場合の写真・その他本人確認書類を確認し、窓口ごとの予約、即日交付の可否、免許証番号の変更範囲、領収書の発行の可否を事前に問い合わせてください。支払いの領収書と公式通知は保管しておきます。

免許証情報が漏えいした可能性がある人が今できる対策

信用情報機関への本人申告を検討する

本人確認書類の現物を持っていても、画像や記載情報が外部に流出した疑いがある場合、信用情報機関の本人申告制度を利用できます。JICCは、書類を紛失していないが画像が流出した場合の申告区分として「名義の悪用防止」を案内しています。CICも書類画像の漏えいに対する本人申告手続きを案内しています。全国銀行個人信用情報センターも、免許証画像を含む情報の漏えいによる本人申告に対応しています。

本人申告は金融機関やクレジット会社が審査するときの参考情報であり、利用者側の被害防止を保証するものではありません。自分の名義の身に覚えのない借入れ・クレジット契約の有無を確認するには、本人開示の手続きも利用できます。

正規の案内だけを確認し、偽の3,000円申請に注意する

3,000円の見舞いが話題になると、見舞金の受け取りや緊急の本人確認を口実に、パスワード、ワンタイム認証コード、クレジットカード番号、銀行のログイン情報を求める連絡が届く可能性があります。見舞金手続きの案内が正式に開始されたかを公式の発表ページで確認し、メッセージのリンク先に安易に入力しないでください。

見覚えのない契約や請求を確認する

信用情報機関で本人開示を行い、心当たりのないカード、ローン、端末分割契約がないか確認します。見覚えのない請求や契約書が届いた場合は、契約事業者の公式窓口と警察相談専用電話「#9110」に連絡してください。金銭被害が発生した場合は証拠を保全して早めに対応します。

メール・SMSやアカウントを保護する

本人確認書類の漏えいはパスワードの変更では解消できませんが、別のアカウントへの不正ログインを防ぐため、メールアカウントなどで使い回しているパスワードの変更や多要素認証の設定、ログイン履歴の確認も有効です。これらは今後の二次被害を減らすための対策であり、画像データの漏えい自体を取り消すものではありません。

パーク24は画像保有を見直し、10月末までに既存データを削除へ

同社は従来、会員の登録中だけでなく退会後も7年間にわたり本人確認書類の暗号化画像を保管していました。10月16日に保管ルールを変更し、本人確認を終えた画像は即時削除する方針に転換。既存画像についても2026年10月末までに削除するとしています。

ただし、会社が保有する画像を削除しても、事件の際に第三者へ外部送信されたデータが削除されるわけではありません。10月23日の第5報では、将来の問い合わせに備え、保存画像との同一性を確認するための情報は保全していると説明しています。事件後の調査では、Webシステムの脆弱性を悪用した侵入に続き、データベースとファイル領域へのアクセスが確認されています。

出典

• タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報、2026年10月23日）―パーク24
• タイムズカーWebシステムへの不正アクセスに関する対応について（第4報、2026年10月16日）―パーク24
• JAL顧客情報システムへの不正アクセスによる情報漏えいについて＜最終報告＞―日本航空
• JAL、情報流出4,131人分で確定、500円相当のQUOカード等を提供（2015年1月22日）―Aviation Wire
• 事故の概要／お客様へのお詫びとお詫びの品―ベネッセ
• 免許画像流出、再交付申請相次ぐ、警察庁は効果限定的と説明（2026年10月10日）―時事通信／nippon.com
• 運転免許証の番号等の形式及び内容について（2025年3月10日通達）―警察庁
• タイムズカーの本人確認書類画像が漏えいされた方へのお知らせ（10月16日更新）―静岡県警察
• 運転免許証の再交付を確認した25都県の地域別一覧（10月21日更新）―セキュリティ対策Lab
• 青森県の再交付申請実績と手数料（10月21日）―青森テレビ／TBS NEWS DIG
• 運転免許証の画像が流出した場合に本人申告できるか―JICC
• 本人確認書類の画像が流出した場合の手続き―CIC
• 本人申告の手続き―全国銀行個人信用情報センター
• タイムズカー情報漏えいと再交付申請の特例、鳥取・島根―FNNプライムオンライン
• 広島県で運転免許証の特例再交付、申請期限なし―FNNプライムオンライン
• 宮城県の免許証再交付実績―FNNプライムオンライン
• 山口県公安委員会の特例再交付―毎日新聞／StartHome