レンタル関連サービスの情報漏えい・不正アクセスまとめ【2026年10月】主要7サービスの対象情報と対策

ニッポンレンタカー:アプリへの不正アクセスが2件

ニッポンレンタカーサービスは、運営する「ニッポンレンタカーアプリ」への第三者による不正アクセスを9月26日に公表しました。対象は41名の会員で、閲覧されたおそれがあるのは氏名・電話番号・メールアドレス・ログインID・ご利用履歴・ご予約情報です。運転免許証情報やクレジットカード情報を登録していた会員は、免許証番号・住所・生年月日、カード番号下4桁・名義人名も閲覧されたおそれがあります。

10月1日には、第1報とは異なる手法の別の不正アクセスが判明したと発表しました。攻撃は9月19日から21日にかけて外部から行われ、55名の会員情報ページへの不正なアクセスが確認されています。閲覧された可能性のある情報の項目は、第1報と同じです。2件の対象者が重複しているかは、発表に書かれていません。

対象の会員には登録のメールアドレス宛に個別に連絡していて、案内メールが届いていない会員は、現時点で情報が閲覧されたおそれは確認されていません。10月1日の発表では、二次被害は確認されていないとされています。個人情報保護委員会への報告と、警察への相談も行っています。

タイムズカー:約660万アカウントの会員情報が第三者に取得された

タイムズモビリティが運営するカーシェアの「タイムズカー」は、9月25日にWebシステムへの不正アクセスを検知しました。第2報(9月28日)では、保存されていた一部の会員情報が第三者に取得されたことを確認し、漏えいしたアカウント数は約660万件と発表しました。対象は、タイムズカーとタイムズビジネスサービスの会員と退会済みの方で、入会を申し込んだが完了していない方も含みます。

漏えいした情報は対象者によって異なり、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報・本人確認書類情報・パスワード・連携サービスIDなどです。パスワードは復元できない形式で保管され、クレジットカード情報は漏えいしていません。

第3報(9月29日)では、運転免許証画像などの本人確認書類が漏えいしたアカウント数は約160万件と発表されました。画像の種類は、運転免許証、現住所確認書類(公共料金の請求書など)、学生証(学生プラン)、家族確認書類(家族プラン)です。約660万件と約160万件の関係(後者が前者に含まれるか)は、発表に明記がありません。

第4報(10月16日)では、本人確認書類の画像は登録確認の後に保有しないルールに改め、現在の保有分は10月末までに削除するとしています。外部専門機関の調査結果は、10月23日に案内される予定です。

この発表の対象はカーシェアで、レンタカーのタイムズカーレンタルとは別のサービスです。第2〜4報には、レンタカーのみを利用している方が対象かどうかの記載がありません。心配な方は、公式の問い合わせ窓口(0120-25-8924、24時間)で確認してください。

skyticket:別々の3件の不正アクセス

アドベンチャーが運営する比較予約サイトのskyticketは、10月9日に、異なる経路による次の3件の不正アクセスを公表しました。数字は事案ごとに別のものです。

• サーバーへの不正アクセス(10月2〜4日、10月5日に発覚):対象のお客様は約1,464万件で、このうち会員のログインパスワード(ハッシュ化したもの)を含むものが約413万件です。項目は、氏名、生年月日、メールアドレス、電話番号、住所、振込時の依頼人名義などです。パスポート番号は流出していないとされています。
• 業務管理システムへの不正アクセス(9月20日、9月28日に発覚):対象は17,780件(重複を含む)です。氏名、電話番号、返金先の口座情報などが、流出または流出のおそれがあります。
• バス予約の完了ページの閲覧(8月3日〜10月1日):ログインなしで表示できる状態になっていて、対象は予約約12,000件です。

10月16日の第2報では、第1報の「カード番号は流出した情報に含まれていない」という説明が訂正されました。2018年6月以前のログから、2017年2月〜2018年6月に「skyticketプレミアム」の会費をカードで支払った最大6,140名のカード番号・名義・有効期限が流出したと発表されています(セキュリティコードは含まれない)。「最大」は、対象になり得る人数の上限を示す表現です。会員特典のベネフィット・ステーションの会員ID・氏名・パスワードも対象です。

二次被害については、第1報で、1名のアカウントへの不正ログインを除き確認されていないとされました。第2報には、二次被害の最新の状況は書かれていません。

当サイトに掲載しているスカイチケットWiFiやレンタカーの予約が対象かどうかは、公式発表に記載がありません。

ゲオ:個人情報の外部漏洩は確認されていないと発表、サービス停止は継続

株式会社ゲオは、10月19日に公開した案内で、10月15日に発生した第三者による不正アクセスについて、外部のセキュリティ専門機関と調査した結果、個人情報および機密情報の外部漏洩は確認されなかったと発表しました。そのうえで、セキュリティ対策強化のため、ゲオオンラインの各サービスを10月17日21時から停止しています(終了時期は未定)。

宅配レンタルとゲオあれこれレンタルは、新規注文の受付を停止していて、返却は通常どおり受け付けています。店舗のレンタルサービスは通常どおり利用でき、会員証としてPontaカード(またはデジタルPonta)の提示が必要です。

Renta!:サービスを一時停止、不正アクセスの詳細は調査中

電子書籍のレンタルサイトRenta!を運営するパピレスは、10月19日の適時開示で、10月18日に「Renta!」のサーバーへの外部からの不正なアクセスの可能性を把握したため、サービスを一時停止して緊急メンテナンスを行っていると発表しました。不正アクセスの詳細は調査中で、再開時期は未定です。個人情報の漏えいの有無は、この発表には書かれていません。

Renta!の公式サイトは、10月21日の確認時点で、臨時のサーバーメンテナンスによる停止中と表示されていました。メンテナンス中に閲覧できなかったレンタル作品の扱いは、別途検討するとされています。

さくらインターネット:レンタルサーバと販売管理システムの2つの不正アクセス

さくらインターネットは、8月9日に「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知し、8月17日に公表しました。9月10日の第三報では、調査の完了と最終的な影響範囲が報告されています。

• レンタルサーバ:第三者に閲覧または取得された可能性のあるアカウントは、当初の583アカウントに368アカウントが加わり、合計951アカウントです。追加分は、583アカウントへの不正アクセスと関連する明確な根拠は確認されていません。
• 販売管理システム(契約情報などを管理する別のシステム):2023年4月から2026年3月までの不正アクセスが確認され、会員情報が閲覧または取得された可能性のある会員情報は合計1,360,563アカウントです。このうち30アカウントは、ハッシュ化された会員IDのパスワード情報が閲覧された可能性があります。

販売管理システムには、さくらのレンタルサーバの一部の初期サーバーパスワードと、さくらのVPSの一部の管理者初期パスワードが保存されていました。これらはハッシュ化されておらず、対象のお客様には個別に案内して、パスワードの変更をお願いしています。クレジットカード情報は保持していません。

データの外部持ち出しを裏付ける明確な事実は確認されておらず、二次被害も確認されていません。再発防止策として、さくらのレンタルサーバの全サーバーの再構築を行う計画です。1,360,563アカウントは、可能性がある総数で、漏えいが確認された人数ではありません。

ConoHa WING:一部の収容ホストで不正プログラムを設置

GMOインターネットは、9月20日に、ConoHa WINGの一部のお客様のWebサーバー領域で第三者による不正アクセスがあり、不正なプログラムが設置されたことを確認したと発表しました。9月3日に不正アクセスが始まり、9月16日に検知、9月18日に原因と影響範囲を特定して不正プログラムを排除しています。

該当するのは、収容ホストの一部のお客様の426アカウントで、情報はWebサーバー領域に保存されたデータです。会員情報・契約情報・支払い情報などは別の環境で管理していて、これらの漏えいはないとしています。該当のお客様には個別にメールで連絡していて、個別の連絡がないお客様は影響の対象ではないとされています。Webサーバー領域のデータが外部に取得されたかどうかは、この発表には書かれていません。