覆面＠まるつーとは：全国のニュースをどこからともなく見つけてくる、正体不明の覆面コラムニスト。まるつーとの関係については「コメントを控える」としている。
2026年9月は、よく使う身近なサービスから「不正アクセスされました」の発表が立て続けに出た一か月でした。カーシェアのタイムズカー、京王電鉄、北海道のセイコーマート。どれも生活の足や買い物に関わる名前です。何が起きて、何がまだ分かっていないのか。落ち着いて整理していきます。
何が起きた？
まず時系列です。9月25日、タイムズカーを運営するパーク24グループが、Webシステムへの外部からの不正アクセスを午前9時07分に検知したと公表しました。翌26日午前7時25分までに侵入経路と攻撃元との通信を遮断したとしています。
そして28日の第2報で、システムに保存されていた会員情報の一部が第三者に取得されたと確認。その数、約660万件です。対象には現会員だけでなく、退会済みの人、さらに「入会を申し込んだけど完了しなかった人」まで含まれます。ただしクレジットカード情報の漏えいは確認されていないとのこと。
一方、京王電鉄は26日未明、グループのサーバーが「ランサムウェア」という身代金要求型のウイルスに攻撃され、システム障害が出ていると公表しました。会社はすぐにネットワークを遮断し、警察へ通報。鉄道の運行には支障がなかった一方、京王ストアでは27日、現金以外の決済やポイントの付与・利用に影響が出たと発表されました。現時点で情報漏えいは確認されていないとし、調査を続けているとしています。
さらに29日には、セイコーマートが約57万アカウントの情報漏えいの可能性を発表しました。
なぜ話題？
一社だけなら「また一件か」で済みます。でも9月後半は、名の知れたサービスが数日おきに頭を下げました。しかも相手は、カーシェア・鉄道・コンビニという、特別でもなんでもない日常の名前ばかり。
つまり簡単に言うと、9月後半にタイムズカー(約660万件)・京王・セイコーマートなど身近なサービスで不正アクセスの発表が相次いだという話です。
覆面が気になったところ
小生がうなったのは、タイムズカーの「退会済み」「入会未完了」まで対象だった点です。もう使うのをやめた人や途中でやめた人のデータがまだ手元に残っていた。やめたのに情報だけ残る——これ、利用者側からすると地味に落ち着かない話です。
なお、約660万件のうち約160万件で運転免許証の画像など本人確認書類が漏れたとする報道もありますが、これは第3報に基づくとされるもので、小生は一次情報を直接確認できていません。免許証画像はなりすましに直結しうるので、本当なら重い。だからこそ、ここは慎重に見ておきます。
反対側から見ると
攻撃された企業を一方的に責めるのは少し気の毒でもあります。パーク24は検知から約22時間で通信遮断を完了し、数日で件数を含む続報を出しました。京王もすぐ遮断して警察に通報しています。隠さずに出したという点は評価できる対応です。
覆面のひとこと
「カードは無事」で安心しきらないこと。氏名や連絡先が出れば、それを使った巧妙な偽メール・偽SMSが来る恐れがあります。
身に覚えのない連絡が来たら、まずは公式サイトから確認。リンクは踏まない。これだけで防げるものは案外あります。
まとめ
タイムズカーは約660万件の会員情報が第三者に取得されたと公表(カード情報の漏えいは確認されず)。京王はランサムウェア攻撃を受けシステム障害が発生、公表時点で漏えいは未確認。セイコーマートは約57万アカウントの漏えいの可能性を発表。
中讃地区でも、車移動の多い土地柄カーシェアを使う人は少なくありません。登録した覚えのあるサービスからの「本人確認のお願い」メールには、ひと呼吸おいて向き合いたいところです。
