タイムズカー情報漏えいのお見舞金支払い（2026年・パーク24の決断）

何をなぜ決めたか：免許証画像の外部送信を基準とした会員への3,000円相当の補填

概要

2026年10月23日、パーク24は取締役会で、連結子会社のタイムズモビリティが運営するカーシェアリング「タイムズカー」への不正アクセスを受け、お見舞金の支払いを決議した。対象は、暗号化された運転免許証等の本人確認書類画像へのアクセスと外部送信の痕跡が確認された会員で、3,000円相当の現金または金券を渡す。渡し方は決まっておらず、決定後に案内するとした。

同じ日に、お見舞金と諸対応費用として特別損失5,500百万円を2026年10月期の第4四半期に計上する見込みを公表した。親会社株主に帰属する当期純利益の通期予想は44,000百万円から38,500百万円へ12.5%引き下げ、売上高・営業利益・経常利益の予想と1株65円の年間配当予想は据え置いている。10月28日には臨時報告書を提出した。

背景

不正アクセスを検知したのは2026年9月25日の9時07分で、侵入の経路は翌26日の7時25分までに遮断した。28日の適時開示では、漏えいしたアカウントを約660万件とし、氏名・住所・運転免許情報・運転免許証画像などの本人確認書類情報が含まれると公表した。クレジットカード情報は漏えいしていない。29日には、本人確認書類が漏えいしたアカウントを約160万件とした。

本人確認書類の画像は、会員登録の際に提出を受け、暗号化したうえで会員期間中と退会後7年間保有していた。会員にこの画像を預かる事業は、2009年3月にマツダレンタカーを取得して始めたモビリティ事業である。2025年10月期末のタイムズカー会員数は3,616千人、モビリティ事業のセグメント利益は14,888百万円であった。

内容

外部の専門機関によるフォレンジック調査は10月23日に終わった。原因はWebシステムに存在した脆弱性で、攻撃者は侵入後にデータベースとファイル領域へ到達していた。氏名・住所などに外部送信の痕跡があったものは6,628,007件、暗号化された本人確認書類の画像では、外部送信の痕跡があったものが1,464,800件、アクセスの痕跡だけのものが891,602件であった。

お見舞金の対象は、画像の外部送信の痕跡があった側に限った。画像は暗号化して保管しており、送信の痕跡があっても中身がただちに閲覧できる状態になったことを意味しない。それでも、外部へ送られた暗号化データは将来の復号の可能性を完全には否定できないことを、対象とした理由に挙げている。

含意

補填と並んで、画像を預かる仕組みそのものも改めた。10月16日、本人確認書類の画像は会員登録の確認が終われば即時に削除する社内ルールへ変え、保有中の画像は申し出の有無にかかわらず10月末までに削除すると公表した。社外取締役を中心に外部専門家を加えた調査委員会が内部統制とガバナンスを検証し、強化策は年内を目処に公表する。

公表の直後、モビリティ事業では会員数の推移に一定の影響がみられた。一方、1日あたりの売上高は事案の前の水準を維持している。特別損失は見込みの段階で、当期の有価証券報告書はまだ提出されていない。2005年5月に価格.comへの不正アクセスでメールアドレスを詐取されたカカクコムは、サイトを5月14日から24日まで閉鎖し、特別損失として復旧費用41百万円を計上している。