日本脆弱性総合ポータル

リクルート：中古車情報サイトと販売店向け業務支援サービスへの不正アクセス

重要度
業務やサービスの停止・最大3,709,551件
公表日
2026.10.21
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 中古車サイトに不正アクセスがあり、最大370万件の個人情報が漏えいした可能性がある。
  2. 原因は第三者による不正アクセスとされるが、侵入口は未公表。
  3. 利用者は不審な連絡に注意し、リンクや添付ファイルを開かないよう呼びかけられている。

株式会社リクルートが運営する中古車情報サイト『カーセンサーnet』と、中古車販売店向け業務支援サービス『C-MATCH』で、2026年10月17日に外部からの不審なアクセスが検知された。関連サービスは同日から一時停止された。10月20日の調査で、個人情報が漏えいした可能性があり、件数は最大3,709,551件と把握された。対象は利用者、中古車販売店、同社や業務委託先などの従業員で、クレジットカード情報とログインパスワードは含まれないとされる。原因は第三者からの不正なアクセスとされるが、侵入口は未公表である。10月21日時点で二次被害は確認されていない。

確認された経路・公表元の推定

  1. 2026年10月17日、『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知した。
  2. 同日17時頃、『カーセンサーnet』などの関連サービスを一時停止した。
  3. 2026年10月20日の調査で、漏えいした可能性のある個人情報の項目と件数（最大値）を把握した。
  4. 原因は第三者からの不正なアクセスとされ、侵入経路は未公表である。
  5. 個人情報保護委員会へ速報を行い、対象者へ順次個別に連絡する方針である。

根拠の要点

資料は原因を第三者からの不正なアクセスと記すが、侵入経路の記載はない。原因と影響範囲は調査中とされる。

資料の基準時点：2026年10月21日時点

当時、対策できたのか

判定保留

侵入経路と攻撃時点の防御状況は資料に記載がなく、原因と影響範囲は調査中とされるため、判定を保留する。

公表された対策

  • 2026年10月17日に、関連する全サービスを一時停止した。
  • 個人情報保護委員会へ速報を行った。
  • 対象者へ順次個別に連絡し、連絡できない人には本発表で知らせ、問い合わせ窓口を設置した。
  • 利用者に対し、メール・SMS・郵送物の開封や電話への応答をしないこと、リンクや添付ファイルを開かないことを呼びかけた。
  • 原因究明を図るとともに、より一層の対策を検討・実行するとした。

この事例を理解するための動画

まだ分からないこと

  • 侵入経路（最初にアクセスされた手段）の詳細
  • 侵入の日時（検知は2026年10月17日のみ記載）
  • 原因および影響範囲の詳細（調査中）
  • 漏えい情報が悪用されたかどうか（今後不審な連絡が届くおそれがあると記載）
  • 具体的な再発防止策の内容（より一層の対策を検討・実行するとのみ記載）

関連する事例

同じ原因分類の事例

事例の一覧に戻る