370万件の中身は均一ではない。重いのは48万件のほう

• 大半は氏名と「市区町村まで」の住所。番地まで含む可能性は約12%
• 重いのは販売店48万件。引落口座情報が含まれる場合がある
• パスワードと決済情報は含まれない

リクルートが『カーセンサーnet』と『C-MATCH』への不正アクセスについて、件数を公表した。最大3,709,551件。

報道の見出しは「370万件」で止まっている。だが公式の内訳を読むと、中身がまったく違った。そこを書く。

停止までの経緯は検知したその日の17時に全部止めた話に書いた。今回はその続きになる。

370万件の内訳

全体の87%が、いちばん上の「問い合わせをした人」になる。

その317万件の中身

ここがいちばん意外だった。さらに分かれている。

連絡先まで出たのは799件だ。370万件のうち、それだけになる。

そして「住所」の注記

これは報道では絶対に伝わらない部分だと思う。

上記「住所」は原則として市区町村名までの情報です。町名・番地・建物名・部屋番号等まで含む住所が記載されている可能性がある件数は、最大447,670件です

大半は「◯◯市」までで止まっている。

番地まで含む可能性があるのは44.7万件、全体の約12%。残りの88%は、そこまで出ていない。

「370万件が漏れた」と聞いたときに想像する内容と、実際とはかなり距離がある。

重いのは、販売店のほうだった

件数では13%だが、中身の重さが違う。

C-MATCHに登録している中古車販売店48万3,168件について、挙げられている項目はこうだ。

• 代表者や担当者の氏名・電話番号
• 古物商許認可番号、許認可保有者氏名、発行都道府県
• ログインID

そして、個人事業主の場合にはさらに追加される。

個人事業主の場合、上記に加え、事業所・窓口の住所、郵便番号、電話番号、FAX番号、引落口座情報が含まれます。

口座の情報が入っている。

なぜこれが重いか

1. 口座情報は、変えるのが重い。パスワードのように数分では済まない
2. 古物商の許認可番号は、事業者を名乗る材料になる。取引相手を装える
3. 事業所の住所と電話は、たいてい公開情報だが、口座とセットになると話が変わる
4. ログインIDが出ている。パスワードは含まれないが、片側は分かっている

個人の「氏名＋市区町村」と、事業者の「代表者名＋口座＋許認可番号」では、できることが違う。

件数の大きさと、一人あたりの重さは別物だ。

従業員と委託先も入っている

見落としやすい項目がある。1万673件のほうだ。

対象はこうなっている。

• リクルートの従業員（退職者を含む）
• 業務委託契約を結んでいる、または結んでいた企業の従業員や個人事業主
• 販売代理店契約を結んでいる、または結んでいた企業の従業員

項目は氏名、メールアドレス、ログインID。

「結んでいた」が入っている。すでに関係が終わっている人も対象になる。

昨日書いた福岡市の件でも、消防局が契約終了後も残っていたデータで対象になっていた。終わった関係のデータが残り続けるのは、どこでも同じらしい。

含まれていないもの

公式がはっきり書いている。

上記(1)〜(4)いずれにもクレジットカードなどの決済情報、ログインパスワードは含まれておりません。

昨日の阪急阪神百貨店の件でも、カード番号の全桁は持っていなかった。決済情報を自前で持たない形が、効くときには効いている。

なお(1)〜(4)の全てに社内の管理用IDが含まれるとも書かれている。

注意喚起の書き方が強い

ここは少し驚いた。ふつうは「ご注意ください」で終わる。

メール・SMS・郵送物の開封や電話への応答をしない
本文に記載されたリンクを開かない
添付されたファイルを開封しない

「開封しない」「応答しない」まで踏み込んでいる。

住所が出ているので郵便物が入っているのも、理にかなっている。メールだけの話ではない。

見分け方は漏えいの後に届く「お詫びとお知らせ」に書いた。本物にログインリンクは入らないのが基本になる。

経緯は3日で動いている

土曜に検知して同日に止め、中3日で内訳まで出している。

昨日書いた445万件の件と比べると、項目ごとの件数まで割って出している点が丁寧だと思う。

やること

販売店・個人事業主の方

1. 口座の明細を見る。身に覚えのない引き落としが無いか
2. 取引先を名乗る連絡を疑う。許認可番号を知っている相手でも、本物とは限らない
3. 振込先の変更依頼には、必ず別の経路で確認する。電話番号もメールも出ている
4. C-MATCHのパスワードは漏れていないが、再開時に変えておく

3番目がいちばん危ない形だと思う。取引のある相手を装って振込先を変えさせる手口は昔からある。材料が揃っている状態になっている。

利用者の方

1. 慌てなくていい。パスワードも決済情報も含まれていない
2. 郵便物に注意する。住所が出ている
3. 個別の連絡を待つ。対象者には順次連絡されるとされている

まとめ

• 最大3,709,551件。うち87%が「問い合わせをした利用者」
• その大半は氏名と市区町村までの住所
• 番地まで含む可能性は最大44.7万件（約12%）
• 電話・FAX・メールまで出たのは799件
• 重いのはC-MATCH販売店48万3,168件。個人事業主は引落口座情報も
• 古物商許認可番号とログインIDも含まれる
• 従業員・退職者・委託先・代理店も1万673件が対象
• パスワードと決済情報は含まれない
• 公式の注意は「開封しない」「応答しない」と強い

出典

• リクルート「『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月21日。件数と項目の内訳、住所の精度に関する注記、含まれない項目、経緯、注意喚起、問い合わせ窓口）

本記事は2026年10月21日時点の公表内容に基づく。件数は最大値であり、原因と影響範囲の調査は継続中とされている。続報で内容が変わる可能性があるため、最新の情報は公式の発表で確認すること。本記事は法的な助言ではない。