パーク24は10月23日、カーシェアのタイムズカーで起きた不正アクセスの第5報を出し、運転免許証などの本人確認書類の画像のうち約146万件に外部へ送られた痕跡があったと発表した。これまで「約160万件に漏えいのおそれ」としていた数字を、詳しい調査で絞り込んだかたちだ。
画像は暗号化して保管しており、すぐに中身を見られる状態にはないという。ただし同社は、将来の復号の可能性を完全には否定できないとしている。対象の人には3,000円相当のお見舞いが渡される。免許証の画像は、パスワードのように変えることができない。会員だった人は、この先の数年をどう備えるかを考える段階に入った。
第5報で確定したこと
今回の発表で新たに示された点は次のとおり。
- 外部送信の痕跡が確認された本人確認書類の画像は約146万件
- 外部送信の痕跡はないが、攻撃者がアクセスした痕跡のある暗号化データもある
- 連携サービスIDの漏えいは、9件としていたのを4件に訂正。JR西日本グループの WESTER ID は0件だった
- お見舞いは3,000円相当の現金または金券。方法と時期は検討中で、決まり次第対象者に案内する
同社は、9月25日に異常を検知していた。原因は Web システムの脆弱性の悪用で、詳しい手口は二次被害を防ぐため明かしていない。確認された侵入経路への対策は終えたとしている。クレジットカードは番号の全桁とセキュリティコードを持っていないため、不正利用のおそれはないという。
自分が対象かどうか
パーク24は、影響を受けた人に個別の通知を送っている。お見舞いの対象は、暗号化された本人確認書類の画像へのアクセスと外部送信の両方の痕跡が確認された人だ。通知が届いていない人で心当たりがある場合は、専用窓口の0120-25-8924 (24時間) か、タイムズカーの問い合わせフォームで確かめられる。
保管のルールも変わる。これまでは会員期間中と退会後7年間、画像を持ち続けていた。今後は会員登録が済んだら画像を持たない。いま残っている画像は、本人の申し出がなくても2026年10月末までに消すという。退会して何年もたつ人の画像まで残っていたのは、この保管ルールのためだ。
免許証の画像が出回ることへの備え
同社が想定するリスクとして挙げているのは、フィッシングメールや偽サイトによる詐欺、なりすましによる各種の申込みや問い合わせ、不正な勧誘、個人情報の悪用の4つだ。漏えいした情報には、画像のほか氏名や住所なども含まれる。
個人にできることは、どれも地味だ。タイムズカーやパーク24を名乗る連絡のリンクは開かず、公式サイトから確かめる。身に覚えのない契約の案内や請求、本人確認の電話が来たら、放置せずに相手先へ直接問い合わせる。自分の名義でローンやクレジットの申込みがされていないかは、信用情報機関に本人開示を求めて確かめる手段もある。
ただ、画像が暗号化されている以上、何がいつ起きるかは誰にも分からない。備えは一度で終わらず、思い出したときに続ける類のものになる。
次に確かめたいのは、パーク24のニュースページで公表される予定の情報セキュリティ強化策と調査委員会の検証結果だ。同社は2026年内をめどに出すとしている。お見舞いの方法と時期は、決まり次第対象者に案内される。
ことば
- 本人確認書類 — 運転免許証やマイナンバーカードなど、本人であることを示す公的な書類。カーシェアでは登録時に画像を送る仕組みが多く、事業者がその画像を保管していることがある。
- 復号 — 暗号化されたデータを元の読める形に戻すこと。鍵が無ければ通常は戻せないが、同社は将来その可能性を完全には否定できないとしている。
いつかどこかに送った免許証の画像が、今どこに保管されているか、あなたは把握しているだろうか？
