東証プライム上場企業のパーク24株式会社は10月23日、9月25日に公表した連結子会社であるタイムズモビリティ株式会社への不正アクセスについて、第5報を発表した。
タイムズモビリティでは9月25日午前9時7分に、タイムズモビリティ運営のカーシェアリングサービス「タイムズカー」のWebシステムで不正アクセスを検知したため、調査した結果、第三者がシステムに不正アクセスし、同社グループの保有する個人情報の一部を閲覧または不正に取得していたことが判明していた。
外部専門機関によるフォレンジック調査を進めた結果、本事案に関連してタイムズクラブWebシステムへの不正アクセスを確認している。
また、同社はこれまで本人確認書類画像データ約160万件が漏えいの可能性があるとしていたが、その後の詳細調査の結果、外部送信の痕跡が確認された本人確認書類画像データは約146万件であることが判明している。なお、外部送信の痕跡は確認されなかったものの、攻撃者によるアクセスの痕跡が確認された暗号化データが存在することも判明している。
現時点で判明している対象件数と対象情報は下記の通り。
【タイムズカーWebシステムからの漏えい状況】
1.攻撃者により下記のデータにアクセスされ外部送信された痕跡を確認したもの：6,628,007件
項目：氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報
1.に該当するアカウントの「本人確認書類の画像」の漏えい状況
攻撃者により暗号化された「本人確認書類の画像」データにアクセスされ、外部送信された痕跡を確認したもの：1,464,800件
攻撃者により暗号化された「本人確認書類の画像」データにアクセスされたものの、外部送信された痕跡が確認されなかったもの：891,602件
【タイムズクラブWebシステムからの漏えい状況】
攻撃者により下記のデータにアクセスされ、外部送信された痕跡を確認したもの
氏名・住所・生年月日・運転免許情報：5件
タイムズクラブカード番号：19,510件
タイムズビジネスカード番号：12件
連携サービスID：135,436件
クレジットカード番号の下4桁：28件
同社では、タイムズカーへの会員登録時に提出のあった運転免許証等の本人確認書類の画像を、暗号化した状態で会員期間中および退会後7年間保有していたが、本事案を受け、本人確認書類の画像保有に伴うリスクと管理のあり方を総合的に勘案した結果、運用方法等の変更を行い、会員登録完了後は画像を保有しない社内ルールに変更している。
また、社内ルール見直しに伴い、現在同社が保有している本人確認書類の画像データについても、本人からの申し出の有無にかかわらず、2026年10月末までに削除する。
同社では、本事案により暗号化された運転免許証等の本人確認書類画像データへのアクセスおよび外部送信を示す痕跡を確認した顧客に対し、「多大なご心配とご負担をお掛けしていることを重く受け止」め、3,000円相当の現金または金券を見舞いとして支払う。
同社では、外部専門機関によるフォレンジック調査の結果から、本事案はWebシステムに存在した脆弱性が悪用されたことにより発生したものと判断している。同社によると、攻撃者は当該脆弱性を悪用してシステムに侵入した後、システム内の情報を探索し、取得した情報を利用してデータベースおよびファイル領域へアクセスしていたことを確認している。
同社では情報セキュリティに関する外部専門家の助言も踏まえながら、情報セキュリティ強化策を策定し、順次実施するとのこと。
