日本脆弱性総合ポータル

タイムズモビリティ / タイムズカー：タイムズカーWebシステムへの不正アクセスと個人情報漏えい（第5報）

重要度
6,628,007件
公表日
2026.10.23
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. Webシステムに不正アクセスがあり、個人情報の外部送信の痕跡が見つかった。
  2. Webシステムの脆弱性が悪用され、攻撃者が侵入してデータベースにアクセスした。
  3. 対象の会員はマイページで自分の漏えい情報を確認できる。

タイムズカーのWebシステムが第三者の不正アクセスを受け、お客様情報が漏えいした。外部専門機関の調査により、Webシステムに存在した脆弱性が悪用されたと判断されている。氏名、住所、運転免許情報などのデータ約663万件について外部送信の痕跡が確認され、本人確認書類の画像約146万件についても外部送信の痕跡が確認された。

確認された経路・公表元の推定

  1. Webシステムに存在した脆弱性が悪用され、攻撃者がシステムに侵入した。
  2. 攻撃者はシステム内の情報を探索し、取得した情報を使ってデータベースとファイル領域にアクセスした。
  3. 暗号化された本人確認書類の画像にもアクセスされ、一部は外部送信された。
  4. 2026年9月25日に異常なアクセスを検知し、対象サーバーの隔離と経路の遮断を行った。

根拠の要点

外部専門機関によるフォレンジック調査の結果、脆弱性が悪用されたと判断されており、攻撃者がデータベースとファイル領域にアクセスしたことが確認されたと説明されている。攻撃手法の詳細は二次被害防止のため非公表とされている。

資料の基準時点：2026年10月23日時点

当時、対策できたのか

判定保留

攻撃時点で当該脆弱性が未対応だったかどうか、修正版の時期、防御条件は資料に示されていない。確認された侵害経路への対策完了と同一構成システムの点検は述べられているが、対策の欠落は明示されていないため判定保留とした。

公表された対策

  • 確認された侵害経路に対する対策を完了
  • 同一構成のシステムへの点検と脆弱性対策を実施
  • 監視・検知強化の追加対策を実施
  • 会員登録完了後は本人確認書類の画像を保有しない社内ルールに変更
  • 保有する本人確認書類の画像を2026年10月末までに削除
  • 情報セキュリティ強化策とガバナンス強化策を年内を目途に公表予定

この事例を理解するための動画

まだ分からないこと

  • 侵入の日時（検知は2026年9月25日と公表）
  • 侵害に使われた脆弱性の種類と修正版の時期
  • 攻撃手法の詳細とシステム構成（二次被害防止のため非公表）
  • 外部送信された暗号化画像の将来の復号可能性（完全には否定できないとされる）
  • 漏えい情報の売買や公開、実害発生の有無（現時点で確認されていないが監視を継続中）

関連する事例

同じ原因分類の事例

事例の一覧に戻る