タイムズカー情報漏洩事故の衝撃！
カーシェアリング大手「タイムズカー」を展開するパーク24株式会社の管理するWebシステムに対する不正アクセスにより、最大約660万件の個人情報が流出する大規模事故が発生し、この中に約160万件におよぶ運転免許証等の本人確認書類の画像データが含まれていたことが大きなニュースとなりました。
そして流出したおよそ660万件の個人情報には、現会員（約400万人）だけでなく、「解約済みの退会者」や「入会手続き審査中の者」等の個人情報も含まれていたことが判明し、目下大きな物議を醸しているところです。
すでにパーク24株式会社から、個人情報が流出したと思われるユーザー等に対してお詫びと経過報告等のメールが送られているようですが、運転免許証の悪用を懸念したタイムズカーの利用者が運転免許センターに殺到し、都内だけでも10日間で約1500人が再交付や写真・番号変更の手続きに殺到する異常事態となっています。
タイムズカー情報漏洩事故の問題点
情報セキュリティの専門家によると、今回のタイムズカーの情報漏洩事故における主な原因と背景には、技術面および管理面において複数の問題点が存在するとのことです。
- システムの脆弱性と技術的負債
約12〜20年前の古いWebアプリケーションフレームワーク（Java、Spring、Struts2等）がバージョン更新（サポート）終了後もそのまま継続して使用されており、Webサーバーに重大な脆弱性が放置されていました。 - AI（人工知能）を悪用した攻撃
意図的に安全装置が解除されたローカルAIや自律型AIエージェント、あるいは中国製AI等が、Webサイトのセキュリティホール（脆弱性）を自動解析し、集中的かつ執拗にBot攻撃を行った可能性が指摘されています。 - 個人情報の不必要な長期保存
本来、法令により一定期間の保存が義務付けられた帳簿データ（氏名・住所・生年月日等）には含まれない運転免許証の画像を、利用者の退会後も無目的に保有していたことが、被害をさらに大きく拡大させました。
なお専門家筋によると、現時点ではタイムズカーユーザーのクレジットカード情報は流出していないようです。その理由は、タイムズカーが自社サーバー内にカード情報を一切保持せず、決済代行会社へのトークン決済等により情報を分離・非保持化していたためと言われています。
運転免許証はどのように悪用されるか？
顔写真つきの運転免許証データが流出し、これが第三者に悪用された場合、以下のような重大なリスクが想定されます。
- なりすまし被害（不正契約・借入）：オンライン上で、消費者金融からの借入れ、ローンやリース契約、携帯回線契約、銀行口座開設をされるリスク
- ディープフェイクによるeKYC突破：免許証の顔写真から擬似画像・動画が生成され、オンライン本人確認（eKYC）を突破されてしまうリスク
- 二次被害：氏名・住所・連絡先を悪用した巧妙なフィッシング詐欺メール、闇バイトの実在証明への無断利用、住居把握によるストーカー被害などのリスク
- 信用情報への悪影響：他人が勝手に作成したローンや借入が放置されることで、本人が知らぬ間に信用情報機関のブラックリストに掲載されてしまうリスク
パーク24株式会社は、タイムズカーのマイページ等を通じて、利用者等に謝罪および経過報告等を行っていますが、一部の弁護士が「謝罪で済まされる問題ではない！」と、被害者に対してパーク24株式会社を相手とした集団訴訟を呼びかけ、すでに登録者が数万人規模に上るなど事態は収拾不能な状況に陥っています。
なおパーク24株式会社は、10月23日のプレスリリースにて、10月末日までに保有する本人確認書類の画像データを全て削除すると発表しています。
AI時代のサイバーリスクにどう備える？
近年のサイバー攻撃の特徴は、AI技術の発展により24時間365日休みなく企業や個人のWebメディアのセキュリティホール（脆弱性）を探索し、また違和感のない自然な日本語でフィッシングサイトに誘導するなと、極めて高速化・高度化していることです。
したがって昨今は、企業であるか個人であるかを問わず、「AIにはAIを（攻撃検出や脆弱性診断でのAI活用）」というスタンスで、旧来のサイバーリスク対策の手法にとらわれない、迅速な多層防御と多角的な情報セキュリティの確立が求められています。
個人が行うべき主な対策
2025年の4月～5月頃に、情報搾取型マルウェア（インフォスティーラー）に感染した端末を使用したユーザーが、ネット証券やネット銀行の口座を乗っ取られ、不正取引や不正引き出しが相次いだ事件は記憶に新しいと思います。
その事件を契機に多くのネット証券およびネット銀行は、パスキー認証設定や二段階認証設定を必須とするなど、従来のIDとパスワードを主流とした情報セキュリティ対策の常識が大きく変わる潮目となりました。
パスキー認証
- 高セキュリティな認証方式：パスキー（Passkey）は、公開鍵暗号技術とスマホ等の生体認証（顔・指紋等）を組み合わせた技術であり、フィッシング詐欺やパスワード漏洩、マルウェア（インフォスティーラー等）に対して非常に有効です。
- 免許証流出との無関係性：パスキーの秘密鍵は手元の端末内に保管されるため、サービス提供側のサーバーが攻撃され、ユーザー情報が流出しても、流出した情報をもとに不正にログインしたり、パスキーを解除することはできません。
二段階認証
- 不正ログインの防止：パスワード認証に加えて、SMSや認証アプリ等による二段階認証（多要素認証）を設定しておくことで、パスワードが試行・漏洩された場合でもアカウント乗っ取りを防ぐことができます。
- 認証強度の担保：ただしSMS認証のみに依存するリスク（SIMスワップ等）を避けるため、メールトークンや認証アプリ、バックアップコード、パスキーと組み合わせた多層的な運用を推奨します。
事業者が行うべき主な対策
まず機密情報や個人情報などのアクセス権限を明確にし、物理的あるいはシステム的にアクセス制限を設定するのが最も有効です。一方で意外と見落とされがちなことは、アクセス権限を明確にするには、自社内の業務分掌と職務権限が体系的かつ網羅的に整備されていることが前提であるという点です。責任と権限が不明確では有効なアクセス管理は実現できません。
また不正アクセス以前の問題として、神奈川県警の警察官が免許更新時に回収した県民の運転免許証を不正に持ち出して駅のホームに置き忘れたり、北海道の小学校の教諭が児童の通知表データが記録された私物のUSBメモリをリサイクルショップに売却してしまうなど、未だ物理的な事故が絶えませんので、ペーパーレス化も必須といえるでしょう。
特定個人情報の取り扱い
- 不要なデータの即時削除と廃棄：「特定個人情報の適正な取扱いに関するガイドライン」や個人情報保護法に則り、利用目的を達成した本人確認書類の画像などの不要データは速やかに復元不能な方法で削除・廃棄することが鉄則です。
- 保存場所の分離とアクセス制限：機密性の高いデータは、Webサーバーや日常使うデータベースから隔離されたオフライン環境や限定サーバーに保管し、厳格なアクセス制御を行う必要があります。特定個人情報管理担当者を決め、管理区域から特定個人情報を持ち出さないことです。
サイバーセキュリティ対策
- 経営主導のセキュリティガバナンス：「サイバーセキュリティ経営ガイドラインVer.3.0」に基づき、経営者がリスクを正しく認識し、CISO（最高情報セキュリティ責任者）のもとで保護・検知・応答の仕組みを構築することが重要です。
- システムの更新と多層防御・PDCA：古いフレームワークの放置（技術的負債）を解消し、システム全体の多層防御、アクセスログの監視、定期的な脆弱性診断および緊急対応体制（CSIRT等）を整備し、継続的な改善を図ることが求められます。
日本の職場のITリテラシーが低い理由
当事務所メンバーは、これまでいろいろな組織に関与して参りましたが、残念ながら情報セキュリティに対する意識が甘いケースが散見されます。たとえば会社のグループウェアがあるのにわざわざ個人のLINEを業務使用したり、GoogleやMicrosoftのアカウントを複数で使いまわしたり、不要な個人情報を無目的に保有し続けたり等々、情報セキュリティの観点から極めて危うい運用が横行しているのが現状です。
こうした問題の根底には、ITリテラシーの不足にとどまらず、古い慣習や思考から脱却できていない実情があります。情報という無形資産に対する投資をなおざりにし、「何を言っているか」ではなく「誰が言っているか」で物事が決まる前時代的な組織体質が、情報セキュリティ対策を阻む大きな足かせとなっています。しかしことITに関しては、年配者ほど若手から謙虚に教えを請う姿勢が大切ではないでしょうか？
こうした現状に対し、当事務所ではオンラインサービスを主戦場としてきた経緯から、独自の情報管理体制を構築し研鑽してまいりました。特に特定個人情報を取り扱う社労士にとって、情報セキュリティに対する無知や無関心は決して許されません。当事務所は業界最高水準の情報セキュリティを誇るGoogleサービスをプラットフォームに、AI時代に即した多層的かつ高度な情報セキュリティ対策を積み重ねて参ります。
