タイムズカー情報漏えいは自分も対象？約660万件の範囲と確認・対処法

タイムズカーの個人情報漏えいは、現在・過去の会員だけでなく、入会手続きが完了しなかった人も対象になり得ます。2026年9月28日の公式発表では約660万アカウントの情報を第三者が取得したと確認。まず公式サイトで発表を読み、個別案内を確認し、不審なメールやSMSのリンクからログインしないことが大切です。クレジットカード情報は漏えいしていないと発表されています。

タイムズカー個人情報漏えい：約660万件の対象は誰？

タイムズカーは9月25日にWebシステムへの不正アクセスを検知し、28日の調査結果・今後の対応（第2報）で、一部会員情報が第三者に取得されたと公表しました。最初の発表では「漏えいの可能性」でしたが、第2報では取得の事実を確認した点が重要な変更です。

対象は約660万「アカウント」です。これは、約660万人の全員について同じ種類の情報が漏れた、あるいは全員のカード情報が漏れた、という意味ではありません。自身が含まれるかは、会社からの個別案内と公式窓口で確認してください。

例えば、過去に退会した人は現在のアプリにログインできなくても登録履歴が対象になり得ます。申し込みだけで入会を見送った人は、車を利用した記録がないことと、申し込み時に入力した情報が保存されていたかは別の話です。まず自分の利用・申込履歴を思い出し、案内の有無を確かめてください。

「今は使っていないから関係ない」「一度も車を借りていないから対象外」とは判断できません。一方、対象区分に当てはまるだけで、どの項目が自分について取得されたかまで決まるわけでもありません。案内が届く前に断定しないでください。

流出した可能性のある項目と、漏えいが確認されていない情報

会社が示した情報の種類には、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報（運転免許証画像など）、パスワード、連携サービスIDなどが含まれます。法人会員の所属部署名も挙げられています。ただし、該当する項目は対象者によって異なると明記されています。

注意したいのは「リストにある項目＝自分の全項目が流出した」ではないことです。本人確認書類の画像を提出した記憶がない人も、反対に画像を提出した人も、公式の個別案内を待ち、必要なら直接問い合わせるのが正確です。

クレジットカード情報は？

9月28日の会社発表では、クレジットカード情報は漏えいしていないことを確認したとしています。この事実と、偽サイトにカード番号を入力させるフィッシングの危険は別問題です。「情報漏えいへの補償手続き」などを装った連絡でカード番号を求められても、入力しないでください。

パスワードはそのまま読める形で流出した？

パスワードに関する情報は対象項目として記載されていますが、会社によると復元できない形式で保管され、現時点でパスワードそのものが第三者に認識可能な状態で漏えいした事実は確認されていません。「平文のパスワードが660万件流出」とする表現は公式発表と一致しません。

それでも、同じパスワードを複数のサイトで使っている、短く推測されやすいものを使っている場合は、一般的な予防策として見直す価値があります。IPAの不正ログイン対策も、長く複雑で使い回さないパスワードと、多要素認証の利用を勧めています。これは今回の暗号化状態を否定するものではありません。

自分が対象か確認する順番：偽メールを踏まないために

1. 受信したメールやSMSのリンクは一度置き、普段使うブックマークや自分で入力した公式URLからタイムズカーのお知らせへ進みます。
2. 9月28日付の第2報を確認し、入会途中・退会済み・法人利用など、自分の履歴が対象区分に入るか整理します。
3. 会社は対象者に順次個別案内するとしています。過去のメールアドレス、迷惑メールフォルダー、法人窓口への連絡も確認します。
4. 個別案内が見当たらない、対象項目が分からない場合は、発表に記載された公式窓口へ自分から問い合わせます。

個別案内が「順次」である以上、9月29日現在、通知がまだ届かないことだけで対象外とは断定できません。メールの差出人表示は偽装されることがあります。本文に書かれた電話番号へ折り返すのではなく、公式発表にある番号を見てかけ直しましょう。

会社が公表した本件の問い合わせ先は0120-25-8924（24時間）、または公式問い合わせフォームです。混雑の可能性があるため、まず発表の対象区分と手元の登録履歴を整理しておくと話が早くなります。個別の漏えい項目を記事やSNSの推測だけで決めつけないでください。

今すべき対策は？危険な連絡の見分け方

実害が確認されていなくても、氏名・連絡先などを利用した、もっともらしい連絡が届く可能性を想定しておくのが安全です。会社はメール・SMS・電話でパスワードやクレジットカード情報を尋ねないと明記しています。認証コードの入力を迫る連絡にも応じないでください。

• 「漏えい確認のため今すぐログイン」「返金を受けるにはカード登録」といった連絡は、急がず公式サイトから真偽を確認する。
• 案内のURLや添付ファイルを不用意に開かず、ログイン画面はブックマーク・公式アプリ・自分で入力したURLから開く。
• 使い回しがあるなら、それぞれのサービスで異なる長いパスワードへ変更し、提供されている多要素認証を有効にする。
• 本人確認書類画像の提出履歴がある場合も、まず公式の個別案内を確認し、不審な口座開設等の連絡には応じない。

不審なSMSやメールの典型的な手口と、安全な確認の仕方はLUMARIONのSMSのURLを開く前の確認手順も参考になります。ログイン方法の見直しを考える人はパスキーの仕組みと利用上の注意も合わせて確認してください。タイムズカーがパスキーに対応していると示すものではなく、対応状況は各サービスで確認が必要です。

すでに怪しいリンクを押してしまった場合

リンクを開いただけなのか、偽画面にパスワードやカード番号を入力したのかで対応は変わります。入力してしまった場合は、そのサービスの公式画面からパスワードを変更し、同じパスワードを使う他のサービスも変更してください。カード番号を入力したならカード会社へ速やかに連絡しましょう。IPAは、リンクにアクセスしても情報入力やアプリのインストールをしていなければ、基本的に被害は発生しないと説明していますが、端末の不審な挙動があれば相談窓口を利用してください。

サービスは使える？現時点で分かっていること・未確定のこと

会社によると、9月26日7時25分までに不正アクセスの経路を遮断し、遮断後はアクセスできないことを確認しました。9月28日の公表時点で新たな不正アクセス、情報の不特定多数への公開、本件に起因する不正利用は確認されていません。各種サービスも通常どおり継続しています。

9月25日の第1報と9月28日の第2報を混同しない

9月25日の第1報は、不正アクセスの検知と漏えいの可能性を知らせる初動の告知でした。後日の調査で確認された件数や取得項目は第2報で示されています。古いニュースやSNSの投稿だけを見て「まだ可能性の段階」と受け取ると、対象確認を後回しにしてしまう恐れがあります。確認日時が書かれているか、どの報告に基づく記述かを見てください。

逆に、約660万件という数字から「会員660万人の口座が乗っ取られた」と読み替えるのも誤りです。公表されたのは取得されたアカウント数で、ログイン被害や金銭被害の件数ではありません。情報の種類、影響の範囲、確認済みの被害を分けて捉えると、取るべき行動を落ち着いて判断できます。

ただし、原因と影響範囲について外部専門機関が調査を続けています。今後新たな事実が分かれば、対象者への連絡と公式サイトでの告知を行う方針です。「不正利用が確認されていない」は将来も起きないという保証ではありません。反対に、現時点で具体的な被害が発生したと決めつけるのも避けましょう。

大切なのは、①対象の可能性を確認する、②通知を公式経路で照合する、③怪しい連絡へ情報を渡さない、の順番です。変更を伴う操作は必ず自分で開いた公式ページから行ってください。家族に知らせる際も、推測で不安を広げず、発表日時と公式のURLを共有するのが確実です。この記事は2026年9月29日未明に確認できた第2報に基づきます。続報で範囲や対応が変わる可能性があるため、最新の公式発表を定期的に確認してください。