タイムズカー、免許証画像の外部送信146万件で確定　パーク24が見舞金3000円を支給へ

　パーク24は10月23日、グループ会社が運営するカーシェアリング「タイムズカー」のWebシステムへの不正アクセスについて、第5報として調査結果を発表した。外部専門機関によるフォレンジック調査を終えたという。

　運転免許証など本人確認書類の画像データについては、これまで約160万件に漏えいのおそれがあるとしていた。詳細調査の結果、外部送信の痕跡が確認されたのは146万4800件だった。このほか、攻撃者にアクセスされたものの外部送信の痕跡がなかった暗号化画像データが89万1602件あり、合計は235万6402件となる。

　画像データは暗号化した状態で保管していた。このため、アクセスや外部送信の痕跡があっても、直ちに画像の内容を閲覧できる状態になったことを意味しないと説明する。ただし、外部送信された暗号化データについて、将来的に復号される可能性は完全には否定できないとしている。

　氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などのアカウント情報で、外部送信の痕跡が確認されたものは662万8007件。ハッシュ化されたパスワードは4件だった。調査では、タイムズクラブのWebシステムへの不正アクセスも確認された。クレジットカード番号の全桁とセキュリティコードは保持していないという。

　原因は、Webシステムに存在した脆弱性が悪用されたことだという。確認された侵害経路への対策は完了し、同一構成のシステムの点検や監視強化も実施した。攻撃手法の詳細は、二次被害の防止のため公表しない。漏えいした情報が売買・公開された事実は、現時点で確認されていないとしている。

　お客さまへの対応として、アクセスおよび外部送信の痕跡が確認された顧客に、3000円相当の現金または金券を見舞金として渡す。内容と渡し方は検討中で、決まり次第案内するという。あわせて、本人確認書類の画像は会員登録の完了後は保有しない社内ルールに改め、現在保有する画像は10月末までに削除する。

　同社は9月25日にタイムズカーのWebシステムで異常なアクセスを検知し、同日に個人情報保護委員会へ報告していた。情報セキュリティの強化策とガバナンスの強化策は、年内をめどに公表するという。