2026年9月は、日本国内で個人情報の漏えい・不正アクセスの公表が相次いだ異例の月でした。
カーシェア大手からコンビニ、チケット販売サービスまで、業種を問わず被害が発生しています。
今回は9月中に公表された主な事案をまとめてご紹介します。
タイムズカー、最大660万件
パーク２４グループのタイムズモビリティ株式会社が運営する「タイムズカー」は、2026年9月25日に外部からの不正アクセスを公表。
最大約660万件のアカウント情報が対象となり、氏名・住所・生年月日に加え、運転免許証画像などの本人確認書類まで流出した可能性があります。
パスワードも対象に含まれますが、復元できない形式で保管されているため直ちに悪用される可能性は低いとされ、クレジットカード情報の漏えいは確認されてません。
氏名、住所、生年月日、電話番号、メールアドレス、会員番号、免許情報、本人確認書類、法人会員情報、連携サービスIDが流出
セイコーマート、57万件
セコマが運営するコンビニ「セイコーマート」は、2026年9月29日、公式アプリの会員サーバーへの不正アクセスを公表。
対象は「セイコーマートクラブ」会員のうち約57万2,022件（全会員の約49％相当）。
9月24日夜に不正な退会処理が1件発覚し、28日17時過ぎには会員サーバーへの不正アクセス自体が確認され、同日20時に該当サーバーへの接続を停止してます。
第三者に閲覧された可能性がある情報は、セイコーマートクラブ会員の氏名、性別、生年月日、住所、電話番号、メールアドレス、会員用ポイントカードへの入会年月日と退会年月日。
イープラス、1,463件
イープラスが提供する電子チケット「スマチケ」の払戻し管理システムに対し、2022年6月30日から2026年9月11日までに払戻しを申請した一部利用者、計1,463件の情報が流出した可能性があると、2026年9月29日に公表。
メールアドレス・カナ氏名に加え、銀行振込を選んだ751件については金融機関名・支店名・口座種別・口座番号・口座名義、郵便振替を選んだ68件については住所・氏名も対象に含まれます。
不正アクセスを受けたのは、電子チケット「スマチケ」の払戻し情報を管理するシステムだ。公式発表によると複数回の不正アクセスが発生しており、2022年6月30日から2026年9月11日までに払戻しを申請した一部利用者計1463件の情報が漏えいしたとしている。
東京メトロ・オズモール、数万件
東京メトロの会員サービス「メトロポイントクラブ（メトポ）」では、2026年9月27日、業務委託先が管理するサーバーへの不正アクセスにより、約5万9,000件のメールアドレスが閲覧・取得された可能性があると公表。
同じく9月27日には、スターツ出版が運営するレストラン・ホテル予約サイト「オズモール」でも海外からの大量の不正アクセスが検知され、最大44万7,610件のメールアドレスと一部会員の氏名・都道府県が流出した可能性があると発表されてます。
東京地下鉄株式会社（東京メトロ）は9月27日、メトロポイントクラブ（メトポ）会員向けサービスに第三者による不正アクセスがあり、約5万9000件のメールアドレスが閲覧または取得された可能性があると発表した。発表によると、メトポ会員のうち、メールの送信不能により同社が配信を停止しているメールアドレスが格納されたサーバーへの不正アクセスが確認された。当該サーバーにはメールアドレス以外の会員情報は保存されておらず、不正アクセスされた箇所は特定のうえ、対策を実施したという。
26日、同社のシステム部門が、オズモールへの海外からの大量の不正アクセスを検知。一時的に該当ページへのアクセスを止め、原因を特定したうえでシステムを修正して不正アクセスを遮断した。その後の調査で、会員の個人情報が閲覧された可能性を確認した。
ネットの反応
- 【超悲報】カーシェア大手”タイムズカー”さん、不正アクセスで免許証やパスワードを含む個人情報660万件をお漏らし
- パーク24(タイムズ)の情報漏洩、運転免許証の画像が漏洩って、謝罪して許されるレベルじゃないわ
- いくらなんでも運転免許証660万枚は桁が違いすぎる…
- 本人確認制度の強化・情報漏洩の補償など消費者保護の強化を訴える絶好の機会ではある。
- 最近使っていない元会員ですが、思いっきり該当者でメールが来てました
- 警察のふりや弁護士のふりして詐偽電話とか来たら自分の個人情報知ってるから本物だと思いそう
- 「お前もか」「日本企業どうしたの」「心配でなりません」
（出典：X、なんJ・おんJまとめ、Yahoo!ニュースのコメント欄）
なぜこれほど集中したのか
個人情報保護法では、一定規模以上の漏えいや要配慮個人情報を含む場合、個人情報保護委員会への報告と本人への通知が義務付けられてます。
専門メディアの集計では、2026年9月20日から29日までの10日間だけで国内有名企業10社超が情報漏えいや障害を公表したとされ、決算期前の情報開示のタイミングや、委託先経由の侵入増加などが背景として指摘されました。
まとめ
ネットではAIの悪用によるサイバー攻撃なのではないかという声もありました。
身に覚えのあるサービスを使っている方は、念のためパスワードの使い回しがないか確認してみてください。