東京報道新聞

貸し駐車場大手のパーク24は9月28日、カーシェアリングサービス「タイムズカー」のウェブシステムが外部から不正アクセスを受け、最大で約660万件の個人情報が流出した可能性があると発表しました。この問題は、25日の午前9時7分にシステムへの不正アクセスを検知したことで発覚し、同社は直ちに調査を開始するとともに、不正な通信を遮断する措置を講じました。

外部の専門機関を交えて詳細な調査を進めた結果、現在の正規会員だけでなく、過去に退会済みの会員や、「タイムズビジネスサービス」の会員、さらには入会手続きを申し込んだものの何らかの理由で完了していない人の情報までもが、第三者に取得されていたことが明らかになっています。漏えいした情報には、利用者の氏名、住所、生年月日、電話番号、メールアドレスといった基本的な個人情報のほか、法人会員の所属部署名や、「WESTER ID」などの外部連携サービス用ID9件が含まれています。

さらに深刻な事態として、本人確認のために提出された運転免許証や、学生プラン用の学生証、家族プランの家族確認書類、そして現住所確認のための公共料金の請求書などの画像データが、合わせて約160万件流出していたことも判明しました。一方で、パーク24によると、被害に遭ったシステムにはクレジットカード情報が保存されておらず、金融被害に直結する決済情報の漏えいは確認されていません。また、アカウントのパスワードについても、第三者が元の文字列を復元できない形式に暗号化して保管されていたため、これを用いてアカウント自体が乗っ取られる恐れはないと説明しています。

同社は9月26日の午前7時25分までに攻撃元との通信を完全に遮断し、現在は警察や個人情報保護委員会への公式な報告を行うとともに、対象となる会員に対して順次個別の案内をメールで送信しています。現時点において、流出した情報がインターネット上など不特定多数に公開されたり、実際に不正利用されたりした事実は確認されていません。同社は「多大なるご迷惑とご心配をかけ、深くおわびする」と謝罪し、今後はフォレンジック調査を通じてより詳細な原因究明と影響範囲の特定を急いでいます。なお、カーシェアリングの各種サービス自体は、本事象による影響を受けておらず通常通り継続して提供されています。

懸念される「なりすまし」被害と利用者へ求められる対策

今回の大規模な流出において最も問題視されているのは、顔写真付きの本人確認書類が含まれている点です。

事態の深刻さを受けて、被害を受けた利用者を中心とする集団訴訟に向けた動きも加速しています。10月1日午前の段階で、弁護士が立ち上げた被害者を募る専用サイトには参加登録が殺到するなど、社会的影響の大きさが浮き彫りになっています。

運営会社側は、現段階では漏えいした情報が悪用された事実は確認されていないとしつつも、企業を装ったフィッシングメールやSMS、不審な電話には十分注意するよう呼びかけています。利用者は、身に覚えのないリンクを開いたり、認証コードやクレジットカード情報などを入力したりしないといった自衛策を徹底するとともに、自身の信用情報に不審な履歴がないか継続的に警戒していく必要があります。