タイムズカーの情報流出で約160万件の本人確認書類が漏えい、日本で免許証の再交付申請が増加

免許証を再交付しても、流出した情報は消せない

日本のタイムズカーサービスへのサイバー攻撃で、会員記録約160万件に含まれる本人確認書類が流出した。警察が、免許証の再交付による詐欺防止効果には限界があると警告するなか、再交付を求める申請が出ている。報道で紹介された会社の公表によると、情報流出の影響は現会員と元会員のアカウント約660万件に及んだ。

直ちに問題となるのは、再交付しても変わらない情報だ。日本の運転免許証を再交付すると、写真と、再交付回数を示す12桁番号の末尾1桁だけが変わる。犯罪者にすでにコピーされた氏名、住所、生年月日は流出したままであり、盗まれた画像を確認する企業には、免許証がその後再交付されたかを確実に確認する方法がない。

警察庁は金融機関などに本人確認の強化を求めるとともに、自身の情報が悪用された疑いがある場合は速やかに警察に相談するよう呼びかけている。これとは別に金融庁は10月9日、アップロードされた本人確認書類の写真を使う方式から、実物のカード内にある電子チップを読み取る方式への切り替えを加速するよう金融機関などに要請した。

この変更は、犯罪による収益の移転防止に関する法律に基づく改正規則ですでに予定されている。2027年4月1日から、顧客と対面せずに行う本人確認では、対象となる規則のもとで本人確認書類の写真を送る方法は認められなくなる。チップ読み取りが標準となり、適切な書類やスマートフォンを持たない人向けには代替手段が残される。

流出はどの程度の規模か

タイムズカーはパーク24の関連会社が運営している。同サービスは9月25日に不正侵入を検知した。報道によると、影響を受けたアカウントまたは流出記録は約660万件で、そのうち約160万件には運転免許証の画像など本人確認書類が含まれていた。

これらの数字は、同じ合計数についての異なる推計ではなく、情報流出の異なる部分を示している。報じられたアカウント数を使うと、影響を受けた記録の約24％、つまりほぼ4件に1件に本人確認書類が含まれていたことになる。いずれの数字も、重複を除いた個人の正確な人数を示すものではなく、調査によって総数が修正される可能性がある。

流出した情報には、氏名、住所、生年月日、電話番号、メールアドレス、免許証の詳細が含まれている可能性がある。福岡市のタイムズカー利用者には、住所、生年月日、電話番号、メールアドレス、免許証画像が開示された情報に含まれると記載した通知が届いた。

元利用者も影響を受けた。データは約7年間保管されていたと報じられており、本来の目的を終えた後も企業が機微な書類を保管し続けているかが注目されている。個人情報保護委員会は、不要になった個人情報を削除するよう事業者に呼びかけている。

対応をめぐる日程

本人確認の強化を求める動きは、タイムズカーへの不正侵入より前に決まっていた規制改正を受けたものだ。今回の情報流出を受け、法施行日より前に改正を実施するよう求める圧力が高まっている。

• 2025年6月：本人確認規則の改正が公布され、アップロードされた書類画像を使う対象の方法を将来的に終了することが定められた。
• 2026年9月25日：タイムズカーが不正侵入を検知。
• 9月29日：金沢市の影響を受けた利用者に、個人情報の流出を知らせるメールが届いた。
• 10月8日：警察庁の楠芳伸長官が記者会見でサイバーセキュリティーと詐欺防止について言及。
• 10月9日：金融庁がカードのチップを使った本人確認の早期導入を要請。
• 10月11日：日本各地で免許証の再交付に関する問い合わせや申請が増えていると報道。
• 2027年4月1日：改正本人確認規則の施行予定日。

10月9日の要請は、既存の本人確認方法を直ちに禁止する新たな措置ではなく、導入を早めるよう求めるものだ。写真を使った本人確認を続ける機関には、移行の準備を進めながら、書類や顔写真を慎重に確認するよう求めている。

再交付申請が増えている理由

情報流出が公表されて以降、警察署や運転免許センターには多くの問い合わせが寄せられている。本人確認書類の流出画像がなりすましに使われるのではないかとの懸念から、免許証の再交付や登録情報の変更について相談する人がいる。

免許証は通常、有効期間内に紛失、盗難、破損、記載事項の変更などの理由で再交付される。都道府県公安委員会は、それ以外の相当な理由がある場合にも再交付を認めることができる。タイムズカーの情報流出を受け、ほぼすべての窓口が申請を受け付けており、悪用の恐れが再交付の理由として扱われているという。

石川県では、運転免許センターに1日数件の問い合わせが寄せられている。申請は金沢市の県運転免許センターと輪島、珠洲両警察署で受け付けている。報告された手数料は、従来型免許証が2,600円、運転免許証の情報をマイナンバーカードに一体化したマイナ免許証が1,500円。

タイムズカーを2年間利用していた金沢市の30代男性は、9月29日の通知を受けて再交付を検討していた。地元報道が伝えた時点で、詳しい追加説明は受けていないと話した。タイムズカーと法人契約を結ぶ別の金沢市の企業は、全従業員にメールで注意喚起した一方、サービスの利用は続けていた。

免許証の再交付で実際に変わるもの

免許証の再交付は、流出した本人情報をリセットするものではない。写真と番号の末尾1桁は変わるものの、コピーされた書類にあるその他の情報は、なりすましに使われる可能性が残る。また、再交付しても企業のシステムからすでに持ち出された画像を取り戻したり、削除したりすることはできない。

写真を持っていることは、その写真を提出する人が元のカードを所持している証明にはならないため、この違いは重要だ。企業が十分な追加確認を行わずに画像を受け付ける場合、正当な本人に新しいカードが交付されても、古い画像を提示する人物の行為を阻止する効果はほとんどない可能性がある。

個人情報保護委員会は、流出した免許証画像がクレジットカードの取得、銀行口座の開設、携帯電話契約に悪用される可能性があると警告している。これらは想定される悪用の形態であり、流出した書類がすべてすでに不正利用されたことを示すものではない。

報道では、再交付が完了した全国の件数も、タイムズカーの情報流出に特定して確認された詐欺の件数も示されていない。広範な懸念や各地での申請状況は確認されているが、金銭的被害を受けた人の数はまだ明らかになっていない。

銀行にカードのチップ読み取りが求められる理由

チップによる本人確認では、申請者がアップロードした写真だけに頼るのではなく、運転免許証やマイナンバーカードなど、実物の本人確認書類から電子情報を読み取る。このため、盗まれた画像だけではチップ読み取りの手続きを完了できない。

片山さつき金融担当相は、顧客の本人確認に際して、より強固な確認を行うよう金融機関に求めた。

ICチップ情報の読み取りを含む本人確認手続きを適切に実施する

金融庁は10月9日の通知で、委託先の監督を含むサイバーセキュリティー対策の見直しも機関に求めた。この要請は特定の情報流出を名指ししていないが、タイムズカーへの不正侵入や、本人確認書類が関係するほかの事案の公表を受けて出された。

改正規則では、チップ付きの本人確認書類や近距離無線通信（NFC）に対応するスマートフォンを持たない人向けに代替手段が残されている。NFCは、対応するスマートフォンをカードに近づけて通信する技術だ。代替手段には、偽造防止措置を施して本人確認書類の原本を郵送する方法などが含まれる。

チップの読み取りは、なりすましにつながる経路の一つに対処するものだ。流出した住所、生年月日、電話番号が使えなくなるわけではなく、機関が不審な申請を確認する必要もなくならない。

共通の犯行主体が確認されていない攻撃の広がり

タイムズカーの情報流出は、交通、小売り、飲食サービスへの攻撃が公表されるなかで明らかになった。報告された事案には、焼肉きんぐの予約・ポイントアプリから顧客記録1,000万件超がコピーされたケースや、JR東日本の予約システム「えきねっと」からメールアドレス約167万件が流出したケースがある。

東京メトロ、ローソン、日本経済新聞社が関係する事案も報じられている。福岡では小売業のミスターマックスと交通系ICカード「nimoca」のサービスで情報流出が公表され、JR九州はウェブ会員のメールアドレスが流出した可能性があると発表した。流出した情報は事案ごとに異なり、本人確認書類の写真を含む情報流出と同等に扱うべきではない。

平将明デジタル相は緊急会合を開き、状況を次のように表現した。

サイバー空間の非常事態

古川俊治サイバー安全保障担当相も、状況の深刻さについて述べた。

極めて深刻だ

経済産業省は約1,000の業界団体に対し、通信機器やシステムに脆弱性がないか点検するよう求めた。広範に報じられている一連の攻撃について、犯行声明を出したグループはなく、捜査当局も共通の犯行主体を特定していない。

攻撃手法について分かっていること

日本のコンピューター緊急対応チームJPCERT/CCは、最近の攻撃で確認された手法として、未修正のソフトウェアの脆弱性を探す行為、モバイルアプリを通じて見つかった内部インターフェースの悪用、分析ツール「Metabase」に既知のSQLインジェクション脆弱性を突く攻撃などを挙げている。

SQLインジェクションとは、データベースへの問い合わせを操作し、脆弱なアプリケーションに意図しない処理を実行させる手法で、保存された情報が漏えいする可能性がある。報告された手法は一連の攻撃活動の背景を示すものだが、タイムズカーへの攻撃でどの手法が使われたかは明らかにしていない。

福岡工業大学では、情報基盤センターが30分間に約9,000件の攻撃を遮断したと記録したという。この記録は、個々の機関が直面する悪意ある通信の量を示している。攻撃の成功件数や、全国で盗まれた記録の数を示すものではない。

セキュリティー専門家は、人工知能によって標的を探す手間が減る可能性があると指摘している。セキュリティー企業ブラックパンダの平岡正樹氏は、攻撃がAIと明確に結び付けられてはいないと注意を促した。その可能性も、ネットワーク通信の見かけ上の発信地域も、責任の所在を示すものではない。

影響を受けた人が注意すべきこと

警察庁は、情報流出が起きた企業を装う詐欺電話や偽メールが今後増えるとみている。流出した連絡先情報により、特に相手が氏名、住所、サービスの利用状況を知っている場合、こうした連絡を本物らしく見せるおそれがある。

楠芳伸長官は10月8日の記者会見で、警察庁が捜査と予防の双方に取り組むと述べた。詐欺電話をブロックするアプリの利用、パスワードの更新、不審なメールを避けることなど、基本的な対策も呼びかけた。

当局は、詐欺や情報の悪用が疑われる場合は速やかに警察に連絡するよう呼びかけている。身に覚えのない契約や口座が見つかった場合、個人情報保護委員会は、該当するクレジットカード会社や銀行にも相談するよう助言している。情報流出の通知は情報が漏れたことを示すものであり、予期しない口座、契約、取引が見つかった場合は別途対応が必要となる。

次の確定した期限は2027年4月1日だ。パスキー、侵入検知、不要データの削除などの対策を盛り込んだ改定版のプライバシー指針も、来年4月に公表される見通しだ。それまでは、企業が本人確認とデータ保護を強化するとともに、影響を受けた人も免許証の再交付では防げない悪用に警戒し続ける必要がある。

要点

• タイムズカーのアカウント約660万件が影響を受け、そのうち約160万件の記録に本人確認書類が含まれていた。
• 免許証を再交付すると写真と番号の末尾1桁は変わるが、流出した個人情報の多くは変わらない。
• 石川県では再交付申請を受け付けており、手数料は従来型免許証が2,600円、マイナ免許証が1,500円と報じられている。
• 金融機関には、2027年4月1日の新規則施行前にカードのチップを使った本人確認を導入するよう求められている。
• 当局はなりすまし、不正契約、詐欺電話、偽メールへの警戒を呼びかけ、悪用が疑われる場合は速やかに相談するよう促している。
• 報じられた一連の攻撃について共通の犯行主体は特定されておらず、タイムズカーの情報流出による詐欺被害の全国総数も明らかになっていない。