タイムズカーは、パーク24グループが運営するカーシェアです。入会するときは、免許証の写しを出します。
パーク24は2026年9月25日から29日にかけて、タイムズカーへの不正アクセスについて公表しました。漏れたのは約660万アカウントで、うち約160万では免許証の画像なども漏れています。パスワードは「復元できない形式」だったのに、なぜ画像は同じ形で持てないのでしょうか。
経緯と件数は、パーク24の第1報〜第3報（2026年9月25〜29日）によります。本人確認のルールは、警察庁のQ&Aと周知用チラシから取りました。
ログインの確認は、元に戻せない値でもできる
同社によると、漏れた情報には免許証の画像のほか、パスワードも含まれます。ただし復元できない形式で持っていたので、不正なログインには使えないという説明です。
米国のNISTの指針は、パスワードに「ソルト」という値を加え、ハッシュにして保存するよう求めています。ハッシュは入力から決まった長さの値を作る計算で、値から入力へは戻せません。そしてログインのときは、入力に同じ計算をして、保存した値と一致するかを比べます。つまり、元の文字列を持たなくてよいのです。なお、同社の方式は非公表です。
タイムズカーが免許証の写しを集めるのは、貸した記録を残すため
一方、免許証の画像は何のために集めているのでしょうか。タイムズカーの案内によると、国土交通省の通達で、車を貸した記録を残す義務があるからです。記録には氏名や住所、免許の情報が要るので、免許証の写しを受け取っています。また、記載が読み取れなければ入会を断ることもあるそうです。
つまり免許証の画像は、一致を比べるだけでは役目を果たせません。写っている文字を読んで確かめるものなので、一方通行の形にはできないのです。
タイムズカーのトップページは、2016年に保守が終わった部品を今も読み込んでいる
パーク24は、侵入の経路を公表していません。第2報の時点では、外部の専門機関が調査中でした。
ただし、外から確かめられる事実が1つあります。2026年10月3日時点で、タイムズカーのトップページは、Javaで作るWeb部品「Teeda」を読み込んでいます。そしてSeasarプロジェクトは、Teedaを含む多くの製品を2016年9月26日で終了し、保守もやめました。保守が終わった部品は、新しい弱点が見つかっても、プロジェクトからは修正が出ません。
とはいえ、Teedaが今回の入り口だったかは分かりません。部品が古いことと、そこから侵入されたことは別の話です。
金融機関などでの免許証の画像による本人確認は、2027年4月に原則廃止
では、漏れた免許証の画像は何に悪用されうるのでしょうか。同社は第1報で、漏れた個人情報がなりすましメールなどに悪用されるおそれを挙げました。また、国も画像による本人確認を危ない方法とみています。
警察庁によると、金融機関などでの本人確認で、書類の画像を送ってもらう方法は廃止されます。なぜなら、書類の偽造や改ざんによる、なりすましのリスクが高いからです。そのため2027年4月1日からは、口座開設などをネットで行うとき、ICチップの情報を送る必要があります。画像や写しは、原則として使えません。
警察庁は、秘密鍵で暗号化されたICチップの情報を、公開鍵で復号して確かめる方法を示しています。したがって、加工できる免許証の画像とは違い、書き換えた情報はこの確認を通りません。
漏えいの報告の9割超は1,000人以下、今回は約660万アカウント
個人情報保護委員会への漏えいの報告は、直近の1年で減りました。
| 個人情報保護委員会の年次報告（事業者） | 令和6年度 | 令和7年度 |
|---|---|---|
| 漏えい等事案に関する報告 | 19,056件 | 17,139件 |
| うち不正の目的をもって行われたおそれ | 7,604件 | 3,822件 |
令和7年度は、漏れた人数が1,000人以下の報告が93.6%でした。ところが今回は、1回の不正アクセスで約660万アカウント分が漏れています。退会した人や入会を終えなかった人の情報も含まれていました。
まとめ
- パーク24は、タイムズカーから約660万アカウントの情報が漏れたと公表した
- 約160万アカウントでは、免許証の画像などの本人確認書類も漏れた
- パスワードは一致を比べるだけなので、ハッシュにして元に戻せない形で持てる
- 免許証の画像は文字を読んで確かめるので、元に戻せる形で持つしかない
- 2027年4月1日から、金融機関などのネットでの本人確認は原則ICチップの情報に切り替わる
一致を比べるパスワードは、元に戻せない形で持てます。一方、文字を読む免許証の画像は、戻せる形で持つしかありません。そしてICチップの情報は公開鍵で確かめられるので、書き換えると確認を通りません。
