2026年9月、カーシェアリングサービス「タイムズカー」のWebシステムが不正アクセスを受け、約660万アカウントの個人情報が第三者に取得されたことが公表されました。
漏えいした情報には、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などが含まれ、約160万アカウントでは運転免許証画像などの本人確認書類も漏えいしたことが確認されています。
一方、クレジットカード情報の漏えいは確認されておらず、パスワードについても復元できない形式で保管されていたと発表されています。
このようなニュースを見たとき、「クレジットカード情報が漏れていないなら大丈夫」と思う方もいるかもしれません。
しかし、本当に注意したいのはその後です。
漏えいした氏名やメールアドレス、電話番号などが、フィッシング詐欺やなりすましといった「次の攻撃」に利用される可能性があります。
では、実際に自分の個人情報が漏えいした場合、どのようなことに注意すればよいのでしょうか。

漏えいした情報が「次の攻撃の材料」になる
例えば、攻撃者が氏名、メールアドレス、電話番号、利用しているサービスなどを把握していれば、
「情報漏えいのお詫びとして補償金をお支払いします」
「安全確認のため、パスワードを変更してください」
「本人確認が必要です。こちらからログインしてください」
といった、本物と思わせるメールやSMSを作ることができます。
実際にタイムズカーも、同社を装ったメール、SMS、電話などに注意し、身に覚えのない連絡のリンクや添付ファイルを開いたり、パスワードや認証コード、クレジットカード情報を入力したりしないよう呼びかけています。
自分の名前や実際に利用しているサービス名が書かれていても、それだけで本物だと判断しないことが重要です。

(1) メールやSMSのリンクを安易に開かない
情報漏えいが発表された後には、その企業を装ったフィッシングメールなどが送られてくる可能性があります。
「情報漏えいに関する重要なお知らせ」
「補償手続きのご案内」
「パスワード変更のお願い」
など、思わず確認したくなる内容には特に注意しましょう。
確認が必要な場合は、メールやSMSに記載されたURLからアクセスするのではなく、検索や普段使っているブックマークなどから公式サイトを開いて確認しましょう。

(2) 同じパスワードを使い回していないか確認する
漏えいした情報にパスワードが含まれている場合には、パスワードの使い回しにも注意が必要です。
例えば、あるサービスから漏えいしたメールアドレスとパスワードを使って、攻撃者が別のサービスへのログインを試みることがあります。
同じパスワードを複数のサービスで使用している場合は、それぞれ異なるパスワードへ変更しましょう。
また、多要素認証（MFA）やパスキーが利用できるサービスでは、これらを設定することで不正ログインのリスクを下げることができます。

(3) 運転免許証などの本人確認書類が漏れた場合は特に注意
今回のタイムズカーの事例では、運転免許証画像をはじめ、公共料金の請求書、学生証、家族確認書類などの画像も漏えいしたことが確認されています。
こうした本人確認に利用できる情報が漏えいした場合には、フィッシングだけでなく「なりすまし」にも注意が必要です。
身に覚えのない契約書類、クレジットカード、請求書などが届いた場合には、放置せず発行元に確認しましょう。
また、必要に応じてCIC、JICC、全国銀行個人信用情報センター（KSC）などの信用情報機関で、自分の信用情報を確認する方法もあります。

(4) 電話番号が漏えいした場合も注意する
氏名、住所、生年月日、電話番号、本人確認書類などが組み合わさって漏えいした場合には、電話番号を利用したなりすましにも注意が必要です。
例えば、第三者が本人になりすまして携帯電話会社で手続きを行い、電話番号を乗っ取る「SIMスワップ」と呼ばれる手口があります。
電話番号を乗っ取られてしまうと、SMSで送られてくる認証コードを第三者に取得され、ほかのサービスの認証に悪用される可能性があります。
突然スマートフォンが圏外になった、身に覚えのない携帯電話会社から手続きの連絡が届いた、といった異変があれば注意が必要です。
重要なサービスについては、利用できるのであればSMS認証だけでなく、認証アプリやパスキーなどを利用することも対策になります。

(5) クレジットカードや銀行口座も定期的に確認する
今回のタイムズカーの事例では、クレジットカード情報の漏えいは確認されていません。
しかし、フィッシングなどの二次被害によって、後からクレジットカード情報やインターネットバンキングの認証情報などを盗まれる可能性はあります。
カードや銀行口座の利用履歴を定期的に確認し、身に覚えのない利用がないか確認しておきましょう。
カード会社や金融機関が提供している利用通知機能を設定しておくことも、不正利用に早く気付くために有効です。

情報漏えいは「漏れた後」にも注意
情報漏えい事故では、企業側がどのようなセキュリティ対策を行うかが注目されがちですが、情報を漏えいされた側も注意が必要です。
特に氏名、生年月日、住所、電話番号などは、パスワードのように簡単に変更することができません。
そのため、事故直後だけではなく、その後もフィッシングやなりすましなどに利用される可能性があります。
情報漏えいの通知を受け取ったら、まず「自分のどの情報が漏えいしたのか」を確認しましょう。

そして、
・同じパスワードを使い回している場合は変更する
・多要素認証やパスキーを利用する
・メールやSMSのリンクを安易に開かない
・身に覚えのないログインや契約、請求がないか確認する
・クレジットカードや銀行口座の利用履歴を確認する
といった対策を行うことが重要です。

情報漏えいが起きたときに大切なのは、「漏れた情報を使って、次に何が行われる可能性があるか」を考えることです。
二次被害の可能性を知り、普段と違うメール、SMS、電話、ログイン通知、契約などに気付けるようにしておきましょう。

【引用元・参考】
「タイムズカーWebサイト」への不正アクセスに関する調査結果および今後の対応について（第2報）
（第3報）