脆弱性突かれ 約146万件の画像に送信痕跡
パーク24は2026年10月23日、同社が運営するカーシェアリングサービス「タイムズカー」のWebシステムへの不正アクセスによる個人情報漏えいに関する調査の第5報を発表しました。
タイムズカーのウェブサイト
発表によると、Webシステムに存在した脆弱性が悪用され、第三者がシステムへ侵入。その結果、氏名や住所、運転免許情報など約662万件の個人情報にアクセスされ、外部に送信された痕跡が確認されたといいます。
また、これまで漏えいのおそれがあるとしていた本人確認書類の画像データについては、詳細調査の結果、外部送信の痕跡が確認されたのは約146万件であることが判明しました。このほか、タイムズクラブWebシステムからもカード番号や連携サービスIDなどの情報漏えいが確認されています。なお、クレジットカード番号全桁やセキュリティコードは同社で一切保持していないため、不正に利用されるおそれはないとしています。
パーク24は今回の事態を受け、被害の防止と顧客の不安軽減を最優先に対応を進めるとしています。
特に、暗号化された本人確認書類画像データに外部送信の痕跡が確認された顧客に対し、お見舞いとして3000円相当の現金または金券を支払うことを決定しました。同社は「外部送信された暗号化データについては将来的な復号の可能性を完全に否定できるものではない」とその理由を説明しています。
再発防止策としては、本人確認書類の画像保有に関する社内ルールを見直します。これまでは会員期間中および退会後7年間保有していましたが、今後は会員登録の確認が完了したのち、即時削除する運用に変更するとのことです。あわせて、現在保有している本人確認書類の画像データは、顧客からの申し出の有無にかかわらず、2026年10月末までに全て削除する方針です。
今後は、社外取締役を中心とし外部専門家を加えた調査委員会にてガバナンスの観点から検証を行い、具体的な情報セキュリティ強化策を年内を目処に公表するとしています。
