「免許証画像は暗号化されています」…その後の記載がごにょごにょで不安の声
タイムズカーのWebシステムへの不正アクセスが発覚してから約1か月後の2026年10月23日、親会社のパーク24が関連情報の「第5報」を公表しました。利用者の関心が高い免許証などの本人確認書類画像の処遇は、結局どうなるのか、未だ明かされていない部分があります。
タイムズカーシェアの駐車マス（中島みなみ撮影）
タイムズカーの問題は、免許証画像データが他の個人情報と関連した形で漏洩している点で、被害者に与える不安が他の漏洩事案と大きく違います。3000円の見舞金を提示した「不正アクセスによる個人情報漏えいに関するご報告と対応について 第5報」（以下第5報）の後も、問い合わせ窓口の自動音声は「オペレーターにつながるまで長時間お待ちいただく状態」を繰り返すばかり。不安は解消されません。
第5報を見た利用者の一人は、こう話します。
「（免許証画像が）暗号化されているなら漏洩しても安心かと思いきや、そうじゃない。どっちなんだって話です。『閲覧可能な状態になったことを意味しない』とか、『将来的』とか、あいまいすぎて、調査終了後のほうが、よけいに不安が大きくなった」
その利用者が注目したのは、第5報で流出規模の数字を掲げた後に記載されていた注釈です。
《本人確認書類画像データは暗号化した状態で保管していたため、攻撃者によるアクセスや外部送信を示す痕跡が確認された場合であっても、直ちに画像内容が閲覧可能な状態になったことを意味するものではありません。一方で、外部送信された暗号化データについては、将来的な復号の可能性を完全に否定できるものではありません》
「復号」とは、暗号化されたデータを、鍵を使って元の読める状態に戻すことです。パーク24の発表によると、本人確認書類の画像は暗号化した状態で会員期間中と退会後7年間保有していました。保有の目的は、会員登録時の本人確認に加え、不正利用が疑われる事案への対応、問い合わせ対応、各種の本人確認業務に利用することだったとしています。
236万件の免許証情報は結局「何をされた」のか
こうした用途で画像を使う以上、一般論として会社側には暗号化されたデータを読める状態に戻す手段があるとみられます。専門家は次のように話します。
本人確認画像の漏洩の詳細を伝える「第5報」（中島みなみ撮影）
「暗号化は特別なことではありません。わかりやすいのは、ファイルの送信でパスワードを設定する行為です。パスワードに相当するのが『暗号鍵』。一般論としてクラウド上で適切な強度による暗号化がされていれば、第三者が復号するのは、現実的に難しいとされています」
個人情報保護法の施行規則には、高度な暗号化など必要な措置が講じられている場合は、個人情報保護委員会（個情委）への報告対象から、その部分を除くことを決めています。
《なお、漏えい等が発生し、又は発生したおそれがある個人データについて、高度な暗号化等の秘匿化がされている場合等、『高度な暗号化その他の個人の権利利益を保護するために必要な措置』が講じられている場合については、報告を要しない》
ただし、個情委のQ&Aは、報告を不要とするためには、漏えい時点の技術水準に照らして第三者が読める状態にすることが困難な暗号化の措置が講じられたうえで、その情報を読める状態にするための手段が適切に管理されていることが必要、との考え方を同時に示しています。
パーク24は外部専門機関によるフォレンジック調査後の最終件数で、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報が外部に送られた形跡が確認されたアカウントは、約663万件と発表しました。このアカウントのうち、暗号化された本人確認書類の画像について、発表文は次のように件数を示しています。
・攻撃者が画像データの保管場所に入り、データが外部に送られた形跡もあるもの……約146万件（146万4800件）
・保管場所に入った形跡はあるが、外部に送られた形跡は確認されていないもの……約89万件（89万1602件）
両者の合計は約236万件（235万6402件）です。パーク24はこれまで、約160万件の画像データについて漏洩のおそれがあるとしていました。今回示された件数は、それを上回る数字です。
また、保管場所に入ったことを第5報は「アクセス」と表現していますが、アクセスの意味は幅広く、その中身を説明していません。一般には、データの保管場所に到達し、読み出しなどの操作ができる状態になることを指します。保管場所に入った後に何が行われたかは、発表文からはわかりません。
免許証画像の安全性は「鍵の管理」しだい
暗号化された免許証画像の安全性は、暗号方式の強さと鍵の管理に左右されます。鍵が侵入者の到達できない別の場所で厳重に守られていれば、データが外に出ても、第5報のとおり「直ちに画像内容が閲覧可能な状態になったことを意味するものではありません」と言えます。
逆に、鍵やそれにつながる情報が盗まれていれば、暗号化は事実上意味を失います。
第1報によると、2026年9月25日9時07分の不正アクセスの検知から6日7時25分の経路遮断までは22時間18分でした。
「侵入した攻撃者が内部で認証情報や鍵の保管場所を探すのは、一般的な手口とされます。不正アクセスを遮断するまでに何があったのかは興味があります」（前同、専門家）
一連の説明に、鍵がどう扱われたかを示す記載はありません。第5報と、同日の業績修正のお知らせに、鍵に関する記載が見当たらないのです。会社が「将来的な復号の可能性を完全に否定できるものではない」と書いた意図の説明が必要ではないでしょうか。
第5報の発表後、暗号化の意味と鍵の行方について、改めて広報担当者にメールで次の3点を質問しました。
・暗号鍵は、画像データと同じ環境で管理していましたか？
・暗号鍵や鍵に関する情報にアクセスされた形跡はありますか（第5報には言及がありません）？
・暗号方式は何ですか？
3点の質問は、同日中に一括して短くまとめられて回答されました。「セキュリティ上の観点から、暗号化方式やその他詳細については回答を差し控えさせていただきます」（パーク24広報担当）
第5報には、攻撃手法やシステム構成を二次被害防止の観点から公表しないと記載されていて、回答はこの内容を踏襲するものです。「暗号化方式やその他詳細」を差し控えると同時に、鍵や鍵に関する情報にアクセスされた形跡の有無にも触れていません。回答が意味するのは、鍵の安全性が示されていないという事実です。
会員が自らのリスクを判断するには、年内を目処に公表される強化策を待たず、暗号鍵の行方について、結論だけでも示される必要があります。
