号外EXTRA EDITION
パーク24
会員300万人の会社で、660万件が漏れた ── 退会済みまで届いた不正アクセス
東証プライム 4666 ／ 2026年9月28日 第2報公表 ／ 2026年9月28日 終値 1,953円（▲3.00%）／ 適時開示・公表資料に基づく号外レポート
9月28日、パーク24は連結子会社タイムズモビリティが運営するカーシェアリング「タイムズカー」のWebシステムで不正アクセスが発生し、約660万件のアカウント情報が漏えいしたと公表しました。漏えい情報には氏名・住所・電話番号だけでなく、運転免許情報と運転免許証の画像まで含まれます。 検知は9月25日9時07分、経路の遮断完了は26日7時25分。会社は同25日に第一報を出し、調査を進めた28日13時30分に対象規模を約660万件とする第二報を公表しました。タイムズカーの会員数は2024年11月に300万人を超えたばかりで、今回の660万件は退会済みの会員や入会未完了の申込者まで含んだ数です。 株価は第二報が出た28日に終値1,953円、前週末比▲3.00%（算出）。翌29日も続落し、一時1,846.5円（前日比▲5.45%）まで売られました。
漏えいしたアカウント数
9月28日 終値（第二報公表日）
業績への影響
タイムズカー ── クルマを持たずに15分単位で借りるカーシェアリング
本人確認書類（運転免許証画像） ── なりすましに直結しうる情報
復元できない形式のパスワード ── そのままでは読めない状態で保管
連携サービスID（計9件） ── JR西日本のWESTER IDなど、他社サービスとの接続情報
適時開示 ── 第一報は9月25日、規模を示した第二報は28日13時30分
01 ── WHAT HAPPENED
9月25日に検知して即日第一報、28日の第二報で660万件と免許証画像が出た
始まりは9月25日金曜の朝です。タイムズモビリティのシステムで9時07分に不正アクセスを検知し、直ちに調査を開始。その後の調査で、第三者がシステムに不正アクセスを行い、グループが保有する個人情報の一部を閲覧または不正に取得していたことを確認しました。会社は被害拡大を防ぐため、翌26日土曜の7時25分までに不正アクセス経路を遮断し、攻撃元との通信を断ち、遮断後にその経路からアクセスできないことを確認したとしています。検知から遮断までは実質1日、対応そのものは速い部類です。
会社は検知当日の9月25日に第一報を公表しました。様子が具体化したのは28日です。調査の結果として、漏えいしたアカウント数を約660万件とし、漏えい項目に氏名・住所・生年月日・電話番号・メールアドレスに加えて運転免許情報と運転免許証の画像などの本人確認書類情報、復元できない形式のパスワード、連携サービスIDが含まれると明らかにしました。この第二報が13時30分に出て、投資家向けの適時開示にもなっています。
検知から第二報まで ── 4日間の時系列
会社公表資料による ／ 時刻は会社発表のもの
対応の速さと、漏れた中身の重さは別の話
検知から経路遮断まで実質1日で、第一報も検知当日に出ています。封じ込めの初動は速い。ただし市場と利用者が身構えているのは初動の速さではなく、漏れた情報の中身のほうです。氏名や住所は変えられませんが、いちばん重いのは運転免許証の画像で、これは差し替えがきかず、本人側で無効化する手段もありません。初動が速くても、出てしまった情報の性質までは巻き戻せないというのが、この事案の受け止めを決めています。
02 ── THE NUMBERS
660万件は、いまの会員300万人より多い
まず数の大きさです。タイムズカーの会員数は2024年11月に300万人を超えたところでした。今回漏えいした約660万件は、その倍以上にあたります。差が生まれるのは、660万件が現会員だけでなく、退会済みの会員や、入会を申し込んだものの完了しなかった人まで含む数だからです。過去に一度でも登録情報を預けた人は、いま会員でなくても対象になりうる。ここが、現在の利用者数だけを見ていると取りこぼす点です。
次に中身です。漏えい項目には、氏名、法人会員の所属部署名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報（運転免許証画像等）、パスワード、連携サービスIDが並びます。会社が明記した安全側の事実は2つ。ひとつ、クレジットカード情報は漏えいしていない。もうひとつ、パスワードは復元できない形式で保管しており、そのものが読める状態で漏れた事実は確認されていない。金銭に直結する情報は守られている一方で、本人確認に使う情報が抜けているという構図です。
| 項目 | 内容 | 会社の注記 |
|---|---|---|
| 漏えいアカウント数 | 約660万件 | タイムズカー会員・退会済み会員・入会未完了者、タイムズビジネスサービス会員・退会済み会員を含む |
| 漏えいした個人情報 | 氏名／法人会員の所属部署名／住所／生年月日／電話番号／メールアドレス／運転免許情報／本人確認書類情報（運転免許証画像 等）／パスワード／連携サービスID | |
| 連携サービスID | 計9件 | JR西日本グループの会員サービス「WESTER ID」等 |
| クレジットカード情報 | 漏えいなし | 漏えいしていないことを確認済み |
| パスワード | 復元困難な形式 | そのものが認識可能な状態で漏れた事実は未確認 |
クレカが無事でも、免許証画像は「差し替えのきかない情報」
クレジットカードは番号が漏れても止めて再発行すれば実害を断てます。パスワードも変えれば済む。しかし運転免許証の画像は、番号や有効期限だけでなく券面の見た目そのものが出るため、なりすましの本人確認書類として使い回されうる。しかも本人の側から無効化する手段がありません。会社が「不特定多数への公開や不正利用は現時点で確認されていない」と書いているのは調査途中の表現で、安全が確認されたという意味ではありません。だからこそ会社は対象者への個別案内を進めています。
03 ── WHERE IT HIT
漏れたのは、成長エンジンのカーシェアそのものだった
パーク24の稼ぎ頭は、いまや駐車場の「タイムズパーキング」だけではありません。カーシェアリングを含むモビリティ事業が成長を牽引しています。2026年10月期の第3四半期累計（2025年11月〜2026年7月）は、売上高3,040億円で前年同期比+2.7%、営業利益289億円で同+16.2%と増収増益でした。通期予想は売上高4,450億円（前期比約+10%）、営業利益415億円（同約+10%）で、純利益は前期比+51%の見込みとされています。カーシェアの好調が、この会社の増益基調をつくってきました。
今回の不正アクセスが当たったのは、まさにその成長サービスであるタイムズカーの会員基盤です。過去に不正アクセス事案が起きたさくらインターネットでは、漏れたのが本業のGPUクラウドではなく契約台帳の側でしたが、パーク24の場合は伸びている事業そのものの顧客情報が対象になりました。ただし会社は「サービス提供への影響は確認されておらず、各種サービスは通常どおり継続している」と明記しています。駐車場運営など他事業の稼働にも直接の影響は出ていません。
| パーク24 2026年10月期 | 数値 | 補足 |
|---|---|---|
| 第3四半期累計 売上高（11〜7月） | 3,040億円 | 前年同期比 +2.7% |
| 第3四半期累計 営業利益 | 289億円 | 前年同期比 +16.2% ── 増収増益 |
| 通期予想 売上高 | 4,450億円 | 前期比 約+10% |
| 通期予想 営業利益 | 415億円 | 前期比 約+10% |
| 通期予想 純利益 | 前期比 +51% | カーシェア好調を背景とした会社予想 |
| タイムズカー会員数 | 300万人超 | 2024年11月に突破。漏えいは退会済み等を含め約660万件 |
無人で成り立つ商売ほど、本人確認情報が生命線になる
カーシェアは、鍵の受け渡しも対面確認もなくクルマを貸す商売です。それを成立させているのが、登録時に預かる運転免許情報と本人確認書類でした。無人で回せる効率の裏側で、会社は膨大な本人確認情報を抱え込む構造になっている。今回はその情報が漏れました。業績数字への直接の影響より、会員が「免許証の画像まで預けて大丈夫か」とどう感じるか、そして退会後もデータが残っていた事実をどう受け止めるかのほうが、時間差で効いてくる種類の話です。
04 ── THE STOCK
第二報の28日に▲3.00%、翌29日は一時▲5.45%まで続落
値動きを日ごとに並べると、市場が第二報にどう反応したかが見えます。第二報が出た9月28日の終値は1,953円、前週末（9月25日）比▲60.5円・▲3.00%（算出）。取引時間中には一時1,924円まで下げ、前週末比▲4.44%（算出）を付けました。第二報の公表が13時30分だったため、午後にかけて下げ幅が広がった格好です。
翌29日はさらに売られました。始値1,922円（前日比▲31円）で始まり、午前中に一時1,846.5円、前日比▲106.5円・▲5.45%（算出）まで下落。第一報から続く漏えい問題を引き続き嫌気した動きと報じられています。9月25日の終値2,013.5円と比べると、29日の一時安値までで▲8.29%（算出）です。
9月25日〜29日 ── 不正アクセス公表前後の株価
終値（円）と対9月25日終値の変化（%・算出） ／ 9月29日は日中の一時安値
| パーク24（4666）の位置 | 数値 | 補足 |
|---|---|---|
| 9月28日 終値 | 1,953円 | 前週末比 ▲60.5円（▲3.00%・算出）。一時1,924円 |
| 9月29日 一時安値 | 1,846.5円 | 前日比 ▲106.5円（▲5.45%・算出）。始値1,922円 |
| 時価総額 | 約3,341億円 | 9月28日終値ベース（算出）。発行済株式数 171,048,369株 |
| 9月25日終値との比較 | ▲8.29% | 2,013.5円 → 29日一時1,846.5円（算出） |
| 市場 | 東証プライム | 代表取締役社長 CEO 西川光一／CFO 實貴孝夫 |
参考 ── 情報漏えいは一段下げをつくるが、その後は本業で決まる
2026年8月のさくらインターネットの不正アクセスでは、対象件数が第一報から第二報にかけて膨らみ、株価は一時▲10%超まで売られました。その後の値動きを決めたのは、本業であるGPUクラウドの提供環境に影響が及んでいないという事実です。2024年のKADOKAWAのランサムウェア事案も、漏えいと出荷停止で下げたあと、本業の回復とともに戻す場面がありました。情報漏えいは株価を一段下げるが、その先は本業がどうなるかという先例です。パーク24の場合、駐車場とカーシェアのサービスは通常どおり継続しており、業績への影響を会社は「精査中」としています。ここが今後の値動きの分かれ目です。
05 ── THE RESPONSE
止血は完了、いまは原因究明と影響範囲の確定の段階
会社が公表している対応は次のとおりです。不正アクセス経路の遮断と攻撃元との通信遮断は9月26日までに完了。現在は、原因および影響範囲の調査のため外部専門機関によるフォレンジック調査を実施し、あわせて個人情報保護委員会および警察への報告を行っています。今後の調査で新たな事実や影響が判明した場合は、速やかに対象となる関係者へ連絡し、自社Webサイト等で公表するとしています。本件の対象となる方には、順次、個別に案内が行われます。
利用者側で気をつけるべきは、本件に便乗したフィッシングです。660万件の名簿には氏名・住所・電話番号・メールアドレスに加えて免許証画像まで含まれるため、本物そっくりの通知や請求を装う材料が揃っています。会社を名乗る不審なメール・SMS・電話には応じず、案内は必ず公式サイトで確認するのが安全です。他サービスで同じパスワードを使い回している場合は、この機会に変更しておくのが自衛になります。
再発防止策と業績影響は、まだ「続報」の中にある
第二報の時点で、再発防止策は「すでに実施済みの対策と、今後の中長期的な対策・実施時期を整理したうえで続報にて公表する」とされ、具体策は示されていません。業績への影響も「精査中であり、今後の業績に重大な影響が認められる場合は速やかに開示する」とだけ書かれています。侵入経路、実際に閲覧・取得された件数、連携先への波及、そして対応・補償の費用は、いずれも未確定です。検知から第一報・第二報まで数日で動いたペースを考えると、続報は遠くない可能性があります。次の開示で件数が確定に向かうのか、影響範囲が広がるのか。株価が次に動く場所はそこです。
06 ── SUMMARY
分かっていること、まだ分からないこと
現時点で分かっていること
- 9月25日9時07分にタイムズモビリティのシステムで不正アクセスを検知。26日7時25分までに経路を遮断・通信を遮断（同25日に第一報）。
- 28日13時30分の第二報で、漏えいアカウント数を約660万件と公表。適時開示にもなった。
- 漏えい項目に氏名・住所・生年月日・電話番号・メールに加え、運転免許情報・運転免許証画像・パスワード・連携サービスID（WESTER ID等9件）を含む。
- クレジットカード情報は漏えいなし。パスワードは復元困難な形式で保管。
- 660万件は現会員300万人を超える数で、退会済み会員・入会未完了者も対象。
- 株価は28日終値1,953円（▲3.00%）、29日一時1,846.5円（▲5.45%）。サービスは通常継続。
まだ分からないこと
- 侵入経路と原因。フォレンジック調査が継続中。
- 660万件のうち実際に閲覧・取得された件数。現在の数は対象となりうる総数。
- 連携先サービスへの波及。WESTER ID等9件の影響範囲。
- 2026年10月期業績への影響。対応費用・補償・解約・会員獲得への波及。会社は「精査中」。
- 再発防止策の中身と、続報の時期。
号外の視点 ── 見るべきは株価より、預けた免許証画像がどう扱われるか
今回の事案が通常の会員情報漏えいと違うのは、本人確認書類の画像という、本人でも無効化できない情報が660万件規模で対象になった点です。市場が28日から29日にかけて素直に下げたのは、件数の大きさに加えて、この中身の重さを織り込んだからだと読めます。
ただし、パーク24の株価を中期で決めるのは駐車場とカーシェアの本業です。サービスは通常どおり継続しており、業績への影響は「精査中」。さくらインターネットやKADOKAWAの先例が示すように、情報漏えいは一段の下げをつくるものの、その先は本業次第になりやすい。見るべきは日々の株価よりも、次の続報で示される実際の被害件数、連携先への波及、そして再発防止策の中身です。無人のカーシェアが本人確認情報の上に成り立っている以上、そこへの信頼が戻るかどうかが、この会社の成長エンジンの行方を左右します。