カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティ（パーク24グループ）が、外部からの不正アクセスにより最大約660万件の個人情報を漏洩させたと発表した。漏洩した情報には、氏名・住所・生年月日・電話番号・メールアドレスといった基本情報に加え、本人確認のために提出された運転免許証や学生証の「画像データ」が含まれていた。
自動車を介したサービスが、これほどの規模で個人情報を扱っているという現実——そして、それが一夜にして外部に流出し得るという現実は、整備工場を経営するすべての工場長・オーナーにとって、他人事ではない。
整備工場が毎日受け取っている個人情報、すべて把握していますか？
氏名・住所・電話番号だけじゃない：車検証・走行距離・整備履歴も「個人情報」
「個人情報」と聞くと、多くの人は氏名や住所を思い浮かべる。しかし個人情報保護法が定める「個人情報」とは、特定の個人を識別できる情報全般を指す。整備工場の日常業務を振り返ってみてほしい。
車検証には、車両の使用者の氏名・住所が記載されている。整備記録には、いつ、どの車が、どのような状態で入庫し、何の作業を行ったかが残る。車台番号は車両と所有者を紐付ける識別子になり得る。走行距離のデータは、生活パターンや行動範囲の推測材料にもなる。さらに、定期点検の予約情報には電話番号やメールアドレスが伴い、保険情報が含まれる場合もある。
これらはすべて、個人情報保護法の保護対象となり得る情報だ。整備工場は、業務の性質上、顧客一人ひとりについて非常に多層的な情報を継続的に蓄積している。それが何件分あるか、どこに保管されているか、誰がアクセスできるか——即座に答えられる工場は、果たしてどれだけあるだろうか。
盲点は「免許証のコピー」——代車貸出で毎回受け取っているあの紙
中でも特に注意が必要なのが、代車貸出時に取得する運転免許証のコピーである。
タイムズカーのケースで問題視されたのも、まさにこの「免許証の画像データ」だった。運転免許証には、氏名・住所・生年月日・免許番号・顔写真が一枚に集約されている。これは「特定個人を識別するための情報の塊」であり、悪用された場合の被害は甚大だ。なりすまし、不正なローン申し込み、各種詐欺——免許証一枚から引き起こされ得るリスクは、想像以上に広範囲に及ぶ。
代車を貸し出すたびに取得されるこのコピーが、鍵のかかっていない引き出しに無造作に保管されていたとしたら。あるいは、退会・廃車後も何年も保存され続けていたとしたら。タイムズカーの事例では、過去7年間に退会した会員の情報も漏洩対象に含まれていた。整備工場でも、数年前の顧客の免許証コピーがそのまま残っていることは珍しくない。
自動車業界はすでに被弾している——近年の漏洩事例
今回のタイムズカーの事例は、自動車関連サービスを標的とした不正アクセスの深刻さを改めて浮き彫りにした。不正アクセスが検知されたのは25日午前9時10分ごろ。翌26日の午前7時半ごろまでに経路は遮断されたが、その間に最大約660万件もの個人情報が外部に持ち出された可能性がある。しかもその被害は、タイムズカー単体にとどまらなかった。ポイント連携などを通じて接続していた外部サービス9件のIDや会員番号もあわせて漏洩対象となったことが明らかになっている。
一つのシステムへの侵入が、連携する複数のサービスへと連鎖的に波及する——これが現代のサイバー攻撃の特徴だ。ある自動車関連の大手サービスが被弾すれば、そこに接続するサービス、そこから派生するデータが芋づる式に危険にさらされる。自動車業界は、すでにそのリスクの現実を突きつけられている。
「うちは中小だから狙われない」が通じなくなった理由
「でも、うちは小さな整備工場だから関係ない」——そう思っている整備事業者は少なくないはずだ。しかしその認識は、今日では通用しない。
サイバー攻撃の多くは、特定の企業を狙い撃ちにするのではなく、セキュリティーの甘い「穴」を自動的に探索するプログラムによって実行される。規模の大小は関係ない。脆弱なシステムがあれば、そこが入り口になる。
整備ソフトのVPN・予約アプリ・部品発注システムが”入り口”になる
整備工場のデジタル化は、ここ数年で急速に進んでいる。整備管理ソフト、オンライン予約システム、部品発注のためのWebポータル、そしてリモートアクセスのためのVPN（仮想プライベートネットワーク）——これらはいずれも、外部のネットワークと接続する「扉」でもある。
設定が古いまま放置されたVPN、更新されていない整備ソフトのOSやアプリ、使い回しのパスワード——こうした管理上の隙が、攻撃者にとっての格好の入り口となる。タイムズカーの事例が示すように、一点突破による侵入が全体の情報漏洩へと発展するリスクは、規模に関係なくすべての事業者に存在する。
漏洩が起きたら何をしなければならないか——法律上の義務
万が一、個人情報の漏洩が発生した場合、事業者には法律上の義務が生じる。2022年4月に全面施行された改正個人情報保護法のもとでは、一定の要件を満たす漏洩が発生した場合、個人情報保護委員会への報告と、本人への通知が義務付けられている。
報告義務が生じる主なケースは、不正アクセスなど不正の目的による漏洩、要配慮個人情報（病歴・犯罪歴など）の漏洩、財産的被害が生じるおそれがある漏洩、1,000件を超える漏洩などである。運転免許証の情報は要配慮個人情報に準じた取り扱いが求められる場合があり、整備工場が日常的に扱う情報は、この義務の対象となり得る。
報告期限は、速報が「漏洩を知った日から3〜5日以内」、確報が「30日以内」とされている。タイムズカーのケースでも、同社はすでに個人情報保護委員会および警察への報告を完了している。対応の遅れは、行政処分や社会的信用の失墜に直結する。
そして法的義務にとどまらず、被害を受けた顧客からの損害賠償請求、取引先・メーカーとの契約上の責任、地域での評判の失墜——これらが重なれば、一つの漏洩事案が工場の経営そのものを揺るがしかねない。
今日から整備工場でできる6つの確認
難しい技術的対応の前に、まず現場でできる基本的な確認がある。以下の6点を、今日の業務終わりに点検してほしい。
- 免許証コピーの保管場所と施錠状況: 引き出し・ファイル・棚など、コピーの保管場所と施錠状況を確認する。
- 保管期間のルール: 保存期間と廃棄に関するルールが定められているかを確認する。
- アクセス権限の範囲: 誰でも自由に個人情報を閲覧・持ち出しできる状態になっていないかを見直す。
- パスワードの管理: 整備管理ソフトや予約システムで、初期パスワードのまま、あるいは使い回しになっていないかを確認する。
- ソフトウェアのアップデート: 整備ソフトやPCのOSが最新の状態に保たれているかを確認する。
- 不要な個人情報の廃棄: 不要になった数年前の顧客の免許証コピーや整備記録が、そのまま残っていないかを見直す。
一度にすべてを整備する必要はない。まず今日、引き出しを開けて免許証コピーの枚数を数え、施錠できているかを確認する——その一歩から始めることが重要だ。
「対岸の火事」ではなく「明日の自分の話」として
タイムズカーの事例は、規模こそ大きいが、その本質は整備工場が直面するリスクと地続きだ。日常業務の中で当たり前のように受け取り、当たり前のように保管してきた免許証コピー・車検票・整備記録——それが「個人情報」であり、漏洩すれば法的制裁と経営危機に直結するという現実は、工場の規模に関わらず変わらない。
「うちは関係ない」と思っていた工場が、ある日突然、不正アクセスの被害者になる。そのとき、引き出しの中に何枚の免許証コピーが入っていたかを後悔しながら数えることになるのか。それとも、今日のうちに確認を済ませておくのか。その対応が運命の分かれ目となる。
（関連記事）
