免許証画像が流出したら何が起きるか：タイムズカー事案の悪用と対策

カーシェアリング「タイムズカー」の不正アクセスで、約160万件のアカウントから運転免許証の画像などが漏えいしました。知りたいのは、画像だけで自分の名義の口座やローンが作られるのかどうかです。

この記事ではまず事案で公表されている内容を整理します。その上で、免許証画像が本人確認でどう使われるか、悪用の事例、公的機関が案内している対策を、公表資料で確かめます。運営は、情報の不正利用は確認されていないとしています。ここに書くのは一般に起きうることです。この事案で悪用された事実は、公表されていません。

事案で公表されていること#

運営はタイムズモビリティで、パーク24の連結子会社です。公式の第1報から第3報と、10月6日に更新されたQ&Aで公表されているのは、次の内容です。

項目	内容
検知と遮断	9月25日9時07分に検知し、9月26日7時25分までに不正アクセスの経路と攻撃元との通信を遮断
漏えいしたアカウント	約660万件。退会者、入会が完了していない人、タイムズビジネスサービスの会員を含む
本人確認書類が漏えいしたアカウント	約160万件
漏えいした書類の画像	運転免許証、現住所確認書類（公共料金の請求書など）、学生証（学生プランの場合）、家族確認書類（家族プランの場合）
そのほかの情報	氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報など
クレジットカード情報	運営が保有しておらず、漏えい対象に含まれない

原因、侵入経路、攻撃者についての記載は、第3報までとQ&Aにありません。再発防止策は続報で公表する予定とされています。補償は外部専門機関の調査結果を踏まえて決める予定で、現時点では決まっていません。秋田魁新報は集団訴訟に向けた動きがあり、訴訟を呼びかける弁護士のサイトに、10月2日午後1時までに1万人以上が登録したと伝えています。

退会後も保管されていた理由は、Q&Aに書かれています。氏名、住所、生年月日は、税法等に基づき7年間、運転免許情報と画像は、なりすまし対策と問い合わせ対応のため、7年間保管していたと説明されています。

免許証画像だけで、何ができるのか#

金融機関などがオンラインで本人確認をする方法は、犯罪収益移転防止法の施行規則（第6条第1項第1号）に定められています。金融庁の資料に載っている、個人向けの主な方法は次のとおりです。

方法	内容
ホ	写真付きの本人確認書類の画像と、容貌の画像を、金融機関等が提供するソフトウェアで送る。書類の画像は、氏名、住居、生年月日、写真に加え、厚みその他の特徴を確認できるものとされる
ヘ	写真付きの本人確認書類のICチップ情報と、容貌の画像を送る
ト	書類の画像またはICチップ情報に加え、銀行等への顧客情報の照会、または顧客名義の口座への振込みを使う
カ	マイナンバーカードに記録された署名用電子証明書を使う

免許証の画像を使う方法のうち、ホ方式は、書類の画像に加えて、本人の容貌の画像も求めます。運営がQ&Aで説明する「本人の容貌画像との照合」と「本人名義口座による確認」は、この表の方法にあたります。ただし、運営は、第三者による不正な申し込みの試みや、ほかの情報や手段を組み合わせた不正の可能性を完全に否定していません。

実際に、他人の免許証画像で口座を開設した疑いの事例が報じられています。テレビ朝日と共同通信の報道によると、20代の男が、2025年4月ごろ、群馬県在住の男性ら2人の免許証を使ってオンラインで口座を開設し、ローン契約で80万円をだまし取った疑いで逮捕されました。捜査当局は顔認証を、成り済ましの画像や不審なアプリで突破した可能性があるとみています。この事例はタイムズカーの事案とは別で、免許証画像の入手経路も、ここでは分かっていません。

国が進めている見直し#

こうした悪用を受けて、国は非対面の本人確認を見直しています。金融庁の資料は、偽造・改ざんされた本人確認書類で開設された口座が詐欺などに使われている状況を踏まえ、非対面の本人確認をマイナンバーカードの公的個人認証に原則として一本化する方針が示されたと説明しています。2025年6月24日には、犯罪収益移転防止法施行規則が改正され、書類の偽変造によるなりすましのリスクが高い方法が、廃止されることが決まりました。

警察庁のJAFICの案内によると、2027年4月1日から、口座開設などで本人確認を受けるときに、マイナンバーカード等のICチップ情報の読み取り等が必要になります。警察庁のチラシは、非対面では、運転免許証やマイナンバーカード等のICチップ情報を送る必要があり、原則として本人確認書類の画像や写しは使えない、と説明しています。各金融機関等の判断で、2027年4月1日より前に先行実施する場合があります。

金融庁は2025年7月の業界団体との意見交換会の資料で、施行日を待たず、可及的速やかな対応を各金融機関に求めています。施行日までは画像を使う方式を続ける金融機関もあり得ます。

氏名や住所と結び付いたときの危険#

免許証の画像には氏名、住所、生年月日が載っています。運営は第1報で、漏えいした可能性のある個人情報が、なりすましメールやフィッシングメール等に悪用される可能性があると案内しています。Q&Aは運営や金融機関、携帯電話会社、公的機関などを名乗って、SMS認証コード、ID・パスワード、口座情報、暗証番号などを聞き出そうとする連絡に注意するよう求めています。警察を名乗る「ニセ警察詐欺」も注意の対象で、警察庁に相談した上で、迷惑電話を警告するアプリが紹介されています。

名義の悪用ではクレジットやローンの契約も心配されます。CICは本人申告の案内で、「ご自身の名義が第三者に悪用される可能性があるとき」を、制度が役に立つ場面の一つに挙げています。

いま取れる対策#

運営の案内にある対策は、次のとおりです。

1. 運営を装ったメール、SMS、電話に応じない。リンクや添付ファイルを開かず、パスワードや認証コードを入力しない
2. 不審な連絡を受けたら、その場で情報を伝えず、各事業者の公式窓口に確認する
3. 運営から、パスワードやSMS認証コードを電話やメールで尋ねることはない

これに加えて、信用情報機関の本人申告があります。信用情報機関のCICとJICCは、信用情報に注意喚起となる情報を登録できる制度を設けています。会員会社がクレジットやローンの審査で信用情報を確認するときに、あわせて確認されます。

項目	CIC	JICC
名称	本人申告	本人申告コメント
免許証画像に関する場面	「不審な人物やサイトに本人確認書類の画像を送信してしまったとき」	「名義の悪用防止」。例として「運転免許証の画像を送信してしまった」など、現物は手元にあるが情報が流出してしまった場合
申し込み	インターネットまたは郵送	満15歳以上の本人。代理人は不可
手数料	インターネットで1,000円（税込）	スマホアプリの申し込みで700円（税込）
登録期間	登録日から5年間	登録日から5年間

CICは、与信判断は各会員会社が独自に行い、本人申告の効力を保証するものではないと明記しています。CICのよくある質問は、悪用の防止を約束するものではなく、悪用された場合もCICが補償を行うものではないと説明しています。本人申告は、全ての不正利用を完全に防げるわけではないため、ほかの対策とあわせて使う位置づけです。

JICCの説明は、「情報が流出してしまった場合」を名指ししているため、事業者からの漏えいにも使える区分と読めます。CICの区分は、本人が画像を送信した場面の表現ですが、CICは別の案内で、個人情報が漏れたかもしれないときにも、名義冒用の本人申告で不正利用のリスクを軽減できると説明しています。個人情報が第三者に知られると、無断でクレジットやローン等の申し込みが行われる可能性があるためです。

事業者が読み取れる点#

退会した人の情報まで漏えいの対象になった背景には、運営が退会後も情報を7年間保管していたことがあります。何を、どの目的で、何年保管するかを、利用者に説明できる形で決めておく必要性が読み取れます。ただし、今回の保管が法令に照らして適切だったかは、公表された情報だけでは判断できません。

国がICチップ情報の読み取りへ移る流れは、事業者にとって、画像を保管する意味の見直しにもつながります。この点は各社の判断になります。

続報で確認したいこと#

• 原因と侵入経路、再発防止策
• 補償の方針
• 本人確認書類が漏えいした会員への詳細な案内

公式の続報はタイムズカーの新着情報に掲載されます。事案の全体像は9月の国内のセキュリティ事案にもまとめています。