駐車場大手のパーク24は10月23日、連結子会社タイムズモビリティが運営するカーシェアリング「タイムズカー」のWebシステムが不正アクセスを受けた問題で、外部専門機関によるフォレンジック（デジタル鑑識）調査の結果を公表した。会員登録の際に提出された運転免許証などの本人確認書類の画像データのうち、146万4800件に外部へ送信された痕跡が確認された。同社は、この画像が送信された客に3000円相当の現金または金券をお見舞いとして渡す。氏名や住所、生年月日などが外部送信された件数は662万8007件で確定した。お見舞金と対応費用として特別損失55億円を計上する見込みとなり、2026年10月期の純利益予想を440億円から385億円に引き下げた。
お見舞金の対象は「画像が送信された客」に限る
お見舞金の対象は、暗号化して保管していた運転免許証などの画像データに、攻撃者がアクセスし、外部へ送信した痕跡が確認された客だ。同社は画像を暗号化した状態で保管しており、送信の痕跡があっても、ただちに画像の中身が見られる状態になったことを意味しないと説明している。一方で、外部へ送信された暗号化データについては「将来的な復号の可能性を完全に否定できるものではない」とし、客への影響と負担を踏まえて対象を決めたという。
公表資料が示した件数は画像データの件数で、お見舞金を受け取る人数は示されていない。渡し方と具体的な内容は検討中で、決まり次第、対象者に個別に案内する。
対象から外れる客も多い。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報が外部送信された662万8007件のうち、画像の送信まで確認されたのは146万4800件にとどまる。攻撃者が画像データにアクセスしたものの、外部送信の痕跡が見つからなかった89万1602件も、お見舞金の対象には含まれていない。
同社は9月28日の第2報で、漏えいしたアカウント数を約660万件、本人確認書類の画像について約160万件に漏えいのおそれがあると公表していた。今回の詳細調査で、送信の痕跡がある画像は約146万件に絞り込まれた。なお、送信の痕跡はなかったものの、攻撃者がアクセスした暗号化データが存在することも判明している。
漏えいした情報と件数
調査結果によると、原因はWebシステムに存在した脆弱（ぜいじゃく）性で、攻撃者はこれを悪用して侵入し、システム内の情報を探索した後、得た情報を使ってデータベースとファイル領域にアクセスしていた。攻撃手法とシステム構成の詳細は、二次被害を防ぐため公表を控えるとしている。
| 区分 | 主な情報 | 件数 |
|---|---|---|
| タイムズカー 外部送信を確認 | 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報 | 662万8007件 |
| 同 画像を外部送信 | 暗号化された本人確認書類の画像 | 146万4800件 |
| 同 画像にアクセス（送信は未確認） | 暗号化された本人確認書類の画像 | 89万1602件 |
| 同 認証情報 | ハッシュ化されたパスワード | 4件 |
| タイムズクラブ 外部送信を確認 | 連携サービスID | 13万5436件 |
| 同 | タイムズクラブカード番号 | 1万9510件 |
タイムズカーの客の情報には、法人向けの「タイムズビジネスサービス」に「カンタン入会」で加わり、駐車場だけをクレジットカード払いで契約している客の情報も含まれる。会員情報と同じシステムで管理していたためだ。法人会員の所属部署名3677件、タイムズビジネスカード番号113件なども外部送信された。
関連する「タイムズクラブ」のWebシステムにも不正アクセスがあり、他社の提携サービスと連携するための識別番号13万5436件などが流出した。クレジットカード番号の下4桁も28件含まれるが、同社は番号の全桁とセキュリティーコードを保持しておらず、不正に使われるおそれはないとしている。第2報で9件としていた連携サービスIDの漏えいは、タイムズカー側で4件に訂正した。JR西日本グループの会員サービス「WESTER ID」は0件だった。
特別損失55億円、純利益予想を12.5％下げる
同日発表した業績予想の修正によると、特別損失55億円は、画像データの送信の痕跡が確認された客へのお見舞金と、問題への諸対応の費用を合わせた額だ。2026年10月期の連結業績予想は、売上高4110億円、営業利益425億円、経常利益395億円を据え置いた。親会社株主に帰属する純利益は440億円から385億円へ12.5％引き下げ、1株当たり純利益も257円76銭から225円54銭になる。年間配当予想の1株65円は変えない。
仮に画像データ146万4800件の1件ごとに3000円を渡すとすると、お見舞金の総額は約43億9000万円となり、特別損失55億円の約8割に当たる。ただし、件数と人数が一致するかどうかは公表されておらず、お見舞金と対応費用の内訳も示されていない。
修正後の純利益予想385億円を、画像が外部送信された146万4800件で割ると、1件当たり約2万6000円になる。修正前の予想440億円なら約3万円だ。お見舞金3000円は、この額の9分の1程度にとどまる。
配当は据え置いた。修正の理由を説明した同じ資料の中で、同社は2026年10月期の年間配当予想を、2025年12月15日に公表した1株65円から「変更はありません」と明記している。1株当たり純利益の予想が257円76銭から225円54銭に下がる一方で配当額は変えないため、利益のうち配当に回す割合（配当性向）は約25％から約29％に上がる計算になる。前期の2025年10月期は、純利益が159億1700万円、1株当たり純利益が93円28銭だった。
同社は、問題の公表直後にモビリティ事業で会員数の推移に「一定の影響」が見られたと明らかにした。一方で、1日当たりの売上高は問題の発生前の水準を保っているという。
免許証を作り直すなら、東京は手数料2600円・平日のみ
運転免許証の画像が流出した客が、免許証そのものを作り直すことができるのか。警視庁の案内によると、東京都で再交付を受けられるのは、免許証を遺失・盗難・汚損・破損した場合のほか、表示されている写真を変更したい場合、裏面の記載内容を表面に表示したい場合などだ。情報の漏えいは、再交付の理由として挙げられていない。
再交付の手数料は、従来の運転免許証で2600円。受け付けは府中、鮫洲、江東の3か所の運転免許試験場で、平日の午前8時30分から午後4時までに限られる。代理人による手続きはできないため、本人が平日に試験場へ出向く必要がある。
手数料だけでお見舞金の9割近くになる。仮に手続きと往復に2時間を充て、その時間を10月1日に改定された東京都の最低賃金（時給1280円）で換算すると2560円になり、手数料と合わせて5160円となる。ただ、再交付を受けても、既に外部へ送信された画像データが戻るわけではない。パーク24の公表資料は、免許証の再交付を客に勧めてはいない。
同社が想定するリスクとして挙げるのは、フィッシングメールや偽サイトによる詐欺、なりすましによる各種の申し込みや問い合わせ、不正な勧誘などだ。現時点で、流出した情報が売買されたり公開されたりした事実は確認されていないとしており、ダークウェブを含めて情報の流通状況を監視している。第1報から一貫して、同社を装うメール、SMS、電話に注意し、身に覚えのない連絡のリンクや添付ファイルを開かず、パスワードなどを入力しないよう呼びかけている。
画像は10月末までに全て削除、年内に再発防止策
タイムズカーは会員登録時に提出された免許証などの画像を、会員である間は保有し、退会後も7年間保管していた。登録時の本人確認のほか、不正利用が疑われる事案や問い合わせへの対応に使うためだったという。画像は社内ルールに基づいて保管・管理し、保有期間も「当社が定めた基準」に則って運用していたと説明している。法令が保管を求めていたという記述は、同社の公表資料に無い。流出の対象には退会済みの客も含まれる。
同社は10月16日の第4報で、この運用を改めると発表した。今後は登録の確認が終わればすぐに画像を削除し、現在保有している画像は、本人の申し出の有無にかかわらず2026年10月末までに削除する。将来の問い合わせに備え、保存していた画像との同一性を確かめるための情報は残すとしている。
確認された侵入経路への対策は完了し、同じ構成のシステムの点検と監視の強化も実施した。今後は社外取締役を中心に外部専門家を加えた調査委員会で、グループの内部統制とガバナンス（企業統治）を検証する。情報セキュリティーとガバナンスの強化策は年内をめどに公表する。
10月にはブックオフでも会員情報の流出が判明した（ブックオフ会員638万人の情報漏えい 第2報で人数確定、職業も対象と訂正）。個人情報保護委員会への漏えい報告と、国が社名を公表した事案の経緯は個人情報の漏えい報告、3年で4万8315件 勧告6件・命令1件、社名公表はトヨタ・ドコモなど一部にまとめている。
問い合わせは専用のフリーダイヤル（0120-25-8924、24時間）と、タイムズカーのWebサイトの問い合わせフォームで受け付けている。
配当は1円も削らず、被害者には1件3000円
パーク24は、今回の負担を全面的に引き受けるべきだ。免許証の画像を退会後も7年間持ち続けたのは、同社が自ら定めた基準による。同社の説明に、法令上の義務は出てこない。しかも事件の後には、登録の確認が終わればすぐ画像を消す運用に改めた。持たなくても事業が回る画像を持ち続け、それを盗まれたのである。損失の原因は同社の判断にあり、その費用を客に負わせる理由は無い。
ところが、負担の配分は釣り合っていない。修正後の純利益予想385億円を、画像が送信された146万4800件で割れば、1件当たり約2万6000円になる。純利益を全て充てれば、お見舞金の8倍を超える額を渡せる計算だ。同社は特別損失55億円を計上してもなお、385億円の利益を見込んでいる。
配当の扱いが、その姿勢を最もはっきり示している。純利益予想を55億円下げながら、年間配当予想の1株65円は「変更はありません」と据え置き、配当性向は約25％から約29％に上がる。株主への約束は1円も削らず、被害者への手当ては1件3000円にとどめた。経営陣が守ったのは被害者ではなく株主であり、株主への保身に走った配分と言うほかない。
3000円という額は、被害者が負う手間にも届かない。東京で免許証を作り直すだけで手数料2600円がかかり、本人が平日に試験場へ出向かなければならない。その2時間を最低賃金で換算して足せば5160円となり、お見舞金を上回る。しかも作り直したところで、外部へ送信された画像は戻らない。どれも、流出が無ければ起きなかった負担である。
パーク24の経営陣と社員に問いたい。自分の免許証の画像と住所、生年月日を、3000円で売ってくれと言われて応じるだろうか。応じないのであれば、客にその額で納得を求めることはできない。
同社はお見舞金の内容と渡し方を、まだ「検討中」としている。額を見直す余地は残っている。配当を据え置く余力があるのなら、お見舞金を純利益に見合う水準へ引き上げ、免許証を作り直す客には手数料と手間を補うべきだ。年内に公表する再発防止策と合わせ、被害者に向けた負担の上積みを示すよう求める。