免許証の画像を160万件持っていた。確認が終わった後も

• 本人確認は一度で終わる手続き
• 画像は確認後も残り続ける
• 漏れると差し替えがほぼできない

2026年秋の公表で、件数より重く見えたものがある。本人確認書類の画像だ。

何が公表されたか

パーク24の発表から引く。

• 9月25日、タイムズカーWebサイトへの不正アクセスを公表
• 漏えいした項目に「免許情報、本人確認書類」が挙がっている
• 運転免許証画像などの本人確認書類は約160万件と日経xTECHなどが報じている
• 対象には現会員だけでなく、退会者と入会未完了者も含まれる

学生証や家族確認書類の画像も含まれたと報じられている。

なぜ件数より重いのか

他の項目と性質が違う。

• メールアドレスは変えられる
• パスワードは変えられる
• クレジットカードは再発行できる
• 免許証の画像は差し替えられない

4つ目がこの問題の核心だ。被害者の側に打つ手がほとんど無い。

何に使われうるか

本人確認に使われている場面を考えると分かる。

• オンラインの口座開設
• 携帯回線の契約
• 各種サービスの年齢確認
• 借入の申し込み

画像の提出で足りる手続きは少なくない。なりすましの材料になる。

なぜ画像が残るのか

残す理由はある。

• 確認した記録として保管を求められる業種がある
• 後からの照会に備える
• 再確認の手間を省く
• 消す運用を作っていない

4つ目が多い。消さない理由が無いだけで残っている。

確認と保管は別のこと

ここを分けて考える。

• 確認 — 本人かどうかを判断する作業。一度で終わる
• 保管 — 確認した事実を残すこと
• 保管に必要なのは「いつ、何で確認したか」の記録
• 画像そのものが必要とは限らない

3つ目で足りる場面は多い。記録と原本を取り違えている。

記録として残す項目

画像を消しても残せるものだ。

• 確認した日時
• 確認に使った書類の種別
• 確認した担当者または仕組み
• 書類の番号の一部（必要な場合）

これだけなら、漏れても差し替えができる範囲に収まる。

法令で求められる場合

業種によっては保管義務がある。

• 犯罪収益移転防止法の対象となる取引など
• 保管の期間が定められている場合がある
• 自社が対象かどうかは所管の規定を確認する

義務があるなら消せない。その場合は置き場所と暗号化の話になる。

義務が無いなら

消す運用を作る。

1. 確認が完了した時点で画像を削除する
2. 確認の記録だけを残す
3. 削除を自動で走らせる
4. 削除されたことを確認する

3つ目が要点だ。手作業にすると必ず溜まる。

退会者のデータ

今回の公表で目を引いた点だ。

• 退会者が対象に含まれていた
• 入会未完了者も含まれていた
• どちらも関係が終わっている相手

入会未完了者は、サービスを使ったことすらない。手続きの途中で止めた人の書類が残っていたことになる。

入会未完了のデータが残る理由

作りの問題だ。

• 途中で離脱した申込みを消していない
• 「後で再開できるように」保持している
• 保持の期限を決めていない

2つ目は利用者のためだが、期限を決めなければ無期限の保持になる。

期限の決め方

• 入会未完了は30日で削除
• 退会後は法令の保管義務の範囲だけ残す
• 画像は確認完了で削除
• 期限は画面に明記する

4つ目を書くと、社内でも守られやすくなる。公開した期限は動かしにくい。

保持するなら置き方を変える

消せない場合の話だ。

• Webから直接読める場所に置かない
• アプリケーションと別の権限で管理する
• 暗号化して保存する
• 取り出しに記録を残す

1つ目が基本だ。外部公開しているアプリケーションから到達できる場所に原本を置かない。

IPAの注意喚起にも同じ項目がある

10月9日の注意喚起は、対策のひとつに保有データの扱いを挙げている。

• 「保有情報の再点検」
• 「不要情報の削除」

侵入を防ぐ話ではない。侵入されたときに何が出るかを減らす話だ。

漏れた側が取れる対応

利用者としてできることは限られる。

• 身に覚えのない契約の通知に注意する
• 信用情報を確認する
• 免許証の番号を使う手続きで本人確認の強化を求める
• 警察や消費生活センターに相談する

差し替えができないため、監視するしかないのが実情だ。

自分のサイトで確認すること

規模が小さくても同じだ。

1. フォームで画像を受け取っていないか
2. 受け取った画像がどこに保存されているか
3. 削除の運用があるか
4. 何年分溜まっているか

4つ目を数えると判断が変わる。想像より多い。

まとめ

1. 免許証の画像は差し替えられない
2. 確認と保管は別のこと。記録だけで足りる場合がある
3. 退会者と入会未完了者のデータに期限を付ける
4. 消せない場合は、Webから到達できない場所へ移す
5. 今日できるのは、溜まっている量を数えること

持っていなければ漏れない。保持しない判断がいちばん強い対策だ。

出典

• パーク24「『タイムズカーWebサイト』への不正アクセスによる個人情報漏えいの可能性について（第1報）」
• 情報処理推進機構「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
• 件数および対象者の区分は、日経xTECH、日本経済新聞の各報道による

法令上の保管義務の有無は業種と取引で変わる。自社の扱いは所管の規定で確認してほしい。この記事は法的な助言ではない。