【速報】ニッポンレンタカーに不正アクセス 会員41名、免許証情報も閲覧のおそれ

ニッポンレンタカーは9月26日、「ニッポンレンタカーアプリ」のシステムに第三者による不正アクセスがあり、会員41名の情報が不正に閲覧されたおそれがあると公表しました^[1]。運転免許証の情報を登録していた会員は、免許証番号・住所・生年月日も対象です。前日の9月25日には、カーシェアのタイムズカーが不正アクセスの第1報を出し、9月28日の第2報で約660万件の漏えいを公表しています^[2][3]。

タイムズカーに続いてレンタカー会社でも、と知り、免許証の情報がどうなったのか気になった人も多いはずです。

公表の中身と、タイムズカーとの違い、レンタカー会社が免許証の情報を持つわけ、不正アクセスによる漏えいなら小さくても報告が要る決まりを順に見ていきます。

何が起きたか#

ニッポンレンタカーのアプリで、会員の情報が第三者に見られたおそれがあります。ニッポンレンタカーは9月26日、同社が運営する「ニッポンレンタカーアプリ」のシステムに第三者による不正アクセスがあり、会員の情報が不正に閲覧されたおそれがあることを確認したと公表しました。確認のあと、すぐに必要な措置をとったとしています。

対象の会員41名には、登録のメールアドレスあてに個別に連絡し、パスワードの再設定を求めています。案内のメールが届いていない会員は、今のところ情報が閲覧されたおそれは確認されていません^[1]。問い合わせは、お客様サポート窓口がメールで受け付けています。心当たりのある人は、ニッポンレンタカーのお知らせで窓口を確かめてください。

閲覧されたおそれのある情報#

閲覧されたおそれのある情報は、会員が何を登録していたかで違います。9月26日の公表では、次のとおりです^[1]。

クレジットカードは番号の下4桁と名義人名で、番号の全部ではありません。41名のうち、何名が免許証情報やカードを登録していたかは公表されていません。また、パスワードは閲覧されたおそれのある情報の一覧に入っていません。

運転免許証の番号は、個人情報保護法の施行令で「個人識別符号」の1つに挙げられています^[10]。本人申告など、心配な人ができることはタイムズカーの記事にまとめています。

原因と、今後の公表#

原因は、まだ公表されていません。ニッポンレンタカーは原因の究明と再発防止に取り組み、調査を続けて、新たな事実がわかったら速やかに知らせる予定です^[1]。9月26日の公表でわかっていることと、まだ公表されていないことを並べると、次のようになります。

続報が出たら、この記事に追記します。

同じ週のタイムズカーとどう違うか#

2つの事件の関連は公表されていません。どちらもレンタカー・カーシェアの会員サービスへの不正アクセスで、同じ週に公表されましたが、規模も漏れた中身も違います。ニッポンレンタカーの9月26日の公表と、タイムズカーの9月28日の第2報を並べると、次のとおりです^[1][2]。

どちらも免許証の情報を預かるサービスで、漏れた中身はどちらも人によって違います。ニッポンレンタカーは、会員が何を登録していたかで分かれます。規模の差は大きく、タイムズカーでは免許証の画像などの本人確認書類の情報も含まれました。タイムズカーで漏えいした情報の詳しい中身は、タイムズカーの記事で説明しています。

9月29日には、セイコーマートも、アプリのサーバーを経由した不正アクセスで会員情報が漏えいした可能性があると公表しました。不正アクセスを受けた可能性のあるアカウントは約57万です^[6]。この数日に続いた会員サービスへの不正アクセスは、セイコーマートの記事で一覧にしています。

レンタカー会社が免許証の情報を預かるわけ#

レンタカー会社が免許証の情報を持つ理由の1つは、国の通達が、許可に付ける条件の例として、貸した記録に運転者の免許証の番号を書くことを挙げているためです。アプリで非対面で借りるときにも、免許証を登録します。

道路運送法第80条により、自家用の自動車を業として有償で貸すには、国土交通大臣の許可が要ります^[8]。国土交通省の通達(レンタカーの許可の取り扱い)では、許可に付ける条件の例として、貸渡簿(貸した記録)を備え、貸渡しの終了日から2年間保存することを挙げています。貸渡簿と、借りる人に渡す貸渡証に書く事項には、「運転者の氏名、住所、運転免許の種類及び運転免許証の番号」が入っています^[7]。これは法律の条文ではなく、国が許可の扱いを示した通達です。

ニッポンレンタカーの貸渡約款も、この通達にもとづいて、契約のときに運転者の免許証の提示を求めるほか、写しの提出を求めることがあると定めています^[9]。

アプリには、店のカウンターを通らずに借りる「セルフレンタカー」を使うための本人認証の手続きがあります。オンラインの本人確認サービスで顔写真と運転免許証を撮影し、アプリに免許証を登録する流れです^[11]。

過去のレンタカー・カーシェアの漏えい#

レンタカーやカーシェアの漏えいは、過去にもあります。各社の公式の発表で確かめた事案は、次のとおりです^{[12][13][14][15][16]}。なお、ニッポンレンタカーの2026年4月と2019年11月の件は、今回とは別の事案です。

並べてわかること#

1つ目は、件数が小さくても、悪用が起きた例があることです。Anycaでは、持ち出された8名分のうち6名分で、カードローンの不正な申し込みが確認されました。ただし最終的な登録には至らず、金銭的な被害は2021年1月21日の時点で確認されていません^[14]。元従業員による持ち出しで、今回の不正アクセスとは起き方が違います。

2つ目は、漏れる中身は、攻撃されたシステムに何を置いていたかで変わることです。駅レンタカーの件では、メールアドレスは流出しましたが、免許証番号の流出はありませんでした^[13]。ニッポンレンタカーの2026年4月の件は、再委託先のシステムに免許証情報を保存できない仕組みだったため、漏えいした可能性はないと報告を受けています^[15]。e-シェアモビも、不正ログインされた運用システムにカード情報やパスワードを置いていませんでした^[12]。今回のアプリの件では、免許証情報を登録していた会員は、番号・住所・生年月日も対象になりました。

41名でも、報告の対象になる#

漏えいの報告の多くは、1,000人以下の事案です。個人情報保護委員会が2025年4月〜2026年3月に処理した、民間の事業者などからの漏えいの報告は17,139件で、そのうち1件あたりの人数が1,000人以下のものが16,043件(93.6%)でした。報告のうち22.3%は、不正アクセスなど、不正の目的をもって行われたおそれのある漏えいです^[4]。

個人情報保護委員会は、不正アクセスなど不正の目的をもって行われたおそれがある漏えい(そのおそれを含む)を、報告が必要な場合の1つに挙げています。本人の数が1,000人を超える漏えいは、これとは別の項目です。報告の期限は、発覚したらまず速やかに、不正の目的で行われたおそれがある場合は発覚日から60日以内です^[5]。ニッポンレンタカーも、41名の件を法令にもとづいて個人情報保護委員会に報告しています^[1]。

自社に置き換えると、会員サイトやアプリへの不正アクセスで数十人分の情報が見られたおそれがあるだけでも、報告の対象になりえます。気づいてから慌てないように、誰がどこに報告するか、本人にどう連絡するかを先に決めておきましょう。経営者が決めておくことは、中小企業の情報セキュリティ対策ガイドラインの解説にまとめています。