タイムズカー660万件漏えい、退会した人も対象　免許証画像が流出したとき「自衛」はどこまで効くのか

「もう何年も使っていないから関係ない」。そう思った方にこそ、まず知っておいていただきたいことがあります。カーシェアの「タイムズカー」で起きた今回の情報漏えいは、現在の会員だけでなく、退会した人、入会手続きの途中でやめた人も対象に含まれています。運営会社のパーク24は、退会後も氏名や住所、運転免許の情報と画像を一定期間保管していたと説明しており、過去に一度だけ登録した人の情報も漏えいの範囲に入っています。

漏れたのは約660万件のアカウント情報です。このうち約160万件では、運転免許証などの本人確認書類の画像そのものが含まれていました。氏名・住所・生年月日・電話番号・メールアドレスに加えて、顔写真付きの免許証の画像がセットで第三者の手に渡った、ということです。

テレビやSNSでは「信用情報機関に本人申告を」「免許証を再交付しよう」といった対策が繰り返し紹介されています。どれも無意味ではありません。ただ、今回の漏えいの中身を見ていくと、個人の自衛で守れる範囲には、はっきりした限界があります。この記事では、何がどこまで漏れたのかを整理したうえで、それぞれの対策で守れること・守れないこと、そしてその先にある本人確認の仕組みそのものの話まで、順を追って考えていきます。

何が、どこまで漏れたのか

パーク24の公表によると、不正アクセスを検知したのは2026年9月25日の午前9時7分、攻撃経路を遮断したのは翌26日の午前7時25分です。9月28日に「約660万件のアカウント情報が第三者に取得された」と発表し、翌29日には本人確認書類の画像が漏えいしたアカウントが約160万件だと公表しました。

160万件 ÷ 660万件 ＝ 約24%。つまり、対象となった人のおよそ4人に1人は、書類の画像まで漏れている計算になります。画像の種類は運転免許証だけではなく、公共料金の請求書などの現住所確認書類、学生プランの学生証、家族プランの家族確認書類も含まれます。

一方で、クレジットカード情報は対象のシステムに保存されておらず漏えいしていないこと、パスワードは復元できない形式で保管されていたこと、公表時点で情報が不特定多数に公開された事実や不正利用の事実は確認されていないことも、あわせて発表されています。

ここで注意したいのは、「不正利用は確認されていない」が「不正利用は起きていない」を意味しないことです。会社自身が外部の専門機関による調査を続けている段階であり、被害の全体像はまだ固まっていません。実際、免許センターや信用情報機関には申込みや相談が集中し、受付を一時休止した機関も出ました。関心の高さがそのまま、不安の大きさを表しています。

「カード情報は無事」が安心材料にならない理由

情報漏えいのニュースでは、クレジットカード情報が含まれていたかどうかに注目が集まりがちです。カード番号が漏れたなら、カードを止めて再発行すれば、その番号はもう使えません。被害を「切る」手段が個人の側にあります。

今回はそこが違います。氏名、住所、生年月日は変えられません。顔写真も変えられません。運転免許証の番号は再交付で変わりますが、後述するとおり変わるのは末尾の1桁だけです。漏れたものの大半が、本人の意思では「無効化」できない情報である点が、カード情報の漏えいとは根本的に異なります。

本人確認書類の画像が悪用される場面として懸念されているのは、本人になりすましたクレジットカードやローンの申込み、携帯電話回線の契約、各種サービスのアカウント復旧や住所変更といったものです。どれも「本人確認書類の画像を送る」「氏名・住所・生年月日を伝える」ことで手続きが進む仕組みが残っているからこそ、成り立つ悪用です。

信用情報機関への本人申告で守れること、守れないこと

最もよく紹介されている対策が、信用情報機関への「本人申告」です。信用情報機関とは、クレジットカードやローンの契約・返済の記録を管理し、加盟する金融会社が審査のときに照会する機関のことで、CIC、JICC（日本信用情報機構）、全国銀行個人信用情報センターの3つがあります。

本人申告は、この信用情報に「本人確認書類を紛失した」「名義を悪用されるおそれがある」といった注意書きを自分で登録しておく制度です。JICCは、免許証の現物は手元にあるが画像などの情報が流出した場合も登録できると案内しています。登録は5年間有効で、手数料はCICのインターネット申込みで1,000円、JICCのスマホアプリ申込みで700円（いずれも税込）です。全国銀行個人信用情報センターも有料で、手数料は同センターの案内で確認できます。

では、登録すればなりすましの申込みは止まるのでしょうか。ここは冷静に見る必要があります。CIC自身が「与信判断は各会員会社が独自に行い、本人申告の効力を保証するものではない」と明記しています。本人申告は審査担当者に「この人は注意して見てください」と伝える仕組みであって、申込みを自動的にはじく仕組みではありません。

もう一つの限界は、信用情報を照会しない契約には効かないことです。クレジットカードやローンの審査では必ず照会されますが、信用情報機関に加盟していない事業者のサービス登録や、本人確認書類の画像だけで通る手続きには、本人申告の情報は届きません。

さらに見落とされがちなのが、本人自身への影響です。本人申告の情報は、なりすましの申込みだけでなく、本人が自分でカードやローンを申し込んだときにも参照されます。各社の審査基準は公開されていないため断定はできませんが、追加の本人確認を求められる、審査に時間がかかる、といった可能性は考えておくべきでしょう。近いうちに住宅ローンや自動車ローンの申込みを予定している方は、申告の内容と時期を事前に金融機関へ相談しておくのが無難です。

免許証を再交付しても、変わるのは末尾の1桁だけ

もう一つの対策として報じられているのが、運転免許証の再交付です。公表後、各地の免許センターには再交付を求める人の列ができました。

ただし、再交付で変わるのは12桁の免許証番号のうち末尾の1桁、つまり再交付回数を示す数字だけです。上の11桁はそのまま引き継がれます。しかも、再交付しても漏えいした画像の氏名・住所・生年月日・顔写真は何一つ変わりません。報道では警察関係者が、写真や住所、生年月日が流出している時点で番号を変えることに大きな効果があるとは言えない、との見方を示しています。

加えて、再交付回数は券面に残り続けます。その数字が本人確認や審査でどう扱われるかは各社の判断で、不利になるかどうかは分かりません。手間と時間をかけて再交付しても、得られる安心は限定的で、ゼロではない懸念が残る。これが実情です。

それでも今できることを、順番に

個人の自衛に限界があるからといって、何もしなくてよいわけではありません。優先順位をつけて考えると、次の順になります。

最初に確認したいのは、自分が対象かどうかです。パーク24は対象者にメールで個別に案内するとしており、退会済みの人向けには問い合わせフォームも設けています。「使っていた記憶がある」という方は、退会していても確認する価値があります。

次に、パスワードの使い回しです。パスワードそのものは復元できない形式で保管されていたとされていますが、メールアドレスと氏名、生年月日が揃っている以上、他のサービスで同じパスワードを使っていれば、そちらが狙われる余地はあります。心当たりがあれば、優先度の高いもの（メール、銀行、証券、通販）から変えておきましょう。

そのうえで、本人申告をするかどうかは、「この先5年のうちにカードやローンを申し込む予定があるか」「なりすましの被害が出たときの負担をどう見るか」を天秤にかけて決めてください。費用は3機関合わせても数千円で済みますが、本人の審査に影響する可能性はゼロではありません。

そして、パーク24をかたるメールや電話への警戒です。会社も注意喚起していますが、「漏えいの補償手続きです」「本人確認のため免許証を再送してください」といった連絡は、まさに漏えいした情報を使った詐欺の入口になり得ます。本人確認書類の画像を求める連絡には、相手が誰であれ応じないことが原則です。

最後に、届いた案内メールや自分がとった対応の記録を残しておくことです。補償の方針は外部調査の結果を踏まえて決めるとされており、集団訴訟への参加を募る動きも出ています。将来どの形で手続きが進むにしても、「いつ、どんな案内を受け、何をしたか」の記録は本人にしか残せません。

個人の自衛の先にある、本人確認の仕組みの話

ここまでの整理で見えてくるのは、どの対策も「漏れた情報を使った手続きが、今も通ってしまう」ことを前提にした、いわば後追いの対策だということです。根本的に状況を変えるには、本人確認書類の画像や、氏名・住所・生年月日の組み合わせだけで本人確認を完結させる仕組みそのものを変えるしかありません。

実はこの動きは、すでに始まっています。犯罪収益移転防止法（マネーロンダリング対策のために金融機関などに本人確認を義務づける法律）の施行規則が改正され、2027年4月1日から、オンラインでの本人確認はマイナンバーカードの公的個人認証に原則一本化され、免許証の画像を送信する方式は廃止されます。窓口での対面確認についても、書類を見せるだけでは足りず、ICチップの読み取りが原則になります。この改正はすでに公布済みで、施行を待つ段階です。

ただし、この法律が対象とするのは銀行、クレジットカード会社、不動産業者といった「特定事業者」です。カーシェアやレンタカーの事業者は、この枠には入っていません。今回の件で漏れた免許証画像の多くは、法律上の義務ではなく、各社が自社の判断で集めていたものです。そう考えると、議論すべきは「金融機関の本人確認をどう厳格にするか」だけでなく、「金融機関以外の事業者が、顔写真付きの書類画像をどこまで集め、どれだけの期間持ち続けるのか」という点にも広がります。

既存のサービスの本人確認も見直しを迫られるでしょう。電話での住所変更や解約の手続きは、いまも氏名・住所・生年月日・電話番号の照合で進むことが多く、これらはまさに今回フルセットで漏れた情報です。ビデオ通話での本人確認も、生成AIによる画像や映像の偽造が進むなかで、本物の免許証画像が大量に出回ったことで、なりすましのハードルが一段下がったと指摘されています。

利用者側の自衛、パーク24一社の対応、そして本人確認制度の見直し。この三つはどれか一つで済む話ではなく、三つ目まで進んで初めて「免許証の画像が漏れても、それだけでは何もできない」状態に近づきます。今回の事案は、その議論を急ぐきっかけになるはずです。

最後に

約660万件、うち約160万件は本人確認書類の画像まで。この規模の漏えいは、被害にあうかどうかが本人の注意深さでは決まらない、ということを突きつけています。できる対策はやりつつも、それで安心と思い込まず、不審な連絡に備え、記録を残しておく。地味ですが、いま個人にできるのはそこまでです。

こうした出来事があると、自分の情報がどこに、どれだけ登録されているのかを見直したくなります。金融機関や保険、各種サービスとの契約を一度棚卸しし、不要なものを整理するのは、情報の守りと同時に家計の整理にもつながります。どこから手をつければよいか迷う方は、お気軽にご相談ください。