相次ぐ情報漏えいのあと、顧客リストを持つマーケティング担当が今週見直すこと — 次に届くのは「本物らしい」偽の連絡です

2026年9月25日、カーシェア「タイムズカー」のWebシステムへの不正アクセスが公表されました。続報で、約660万件のアカウントの情報が第三者に取得され、そのうち約160万件では運転免許証の画像などの本人確認書類まで含まれていたことが分かっています。前後して、焼肉きんぐの運営会社、大和証券、第一生命、日本経済新聞社などからも、漏えいや不正アクセスの発表が続きました。

一次情報はこちらです。

• タイムズカー公式（第2報）: 不正アクセスに関する調査結果および今後の対応について
• タイムズカー公式（第3報）: 同・本人確認書類の漏えいについて

この記事の結論を先に書きます。 侵入の経路は、まだ多くの会社で調査中です。だから「どの穴をふさげばいいか」は、今は言えません。 いま、マーケティングの現場で先に手を打てるのは2つです。自社の名前で届く偽の連絡への備えと、持ちすぎているデータを減らすこと。 どちらも、セキュリティの製品を買わずに今週から始められます。

※この記事は、2026年10月7日時点で各社が公表している情報をもとにしています。私たちはセキュリティの専門会社ではありません。個別の会社を責める意図はなく、顧客の情報を預かってマーケティングをしている立場から、自社に当てはめて考えた内容です。

先に、言葉を揃えます

言葉	この記事での意味
不正アクセス	本来入れない人が、他人のアカウントやシステムの弱いところを使って入り込むこと
フィッシング	本物の会社を装った連絡で偽のサイトに誘い、カード番号やパスワードを入力させる手口
二次被害	漏れた情報を使って、あとから顧客がだまされたり、なりすましに使われたりすること
管理画面	メール配信・顧客管理・広告などのツールで、担当者がログインして操作する画面
連携の鍵（APIキー）	ツール同士をつなぐときに渡す合言葉のようなもの。持っている側は人がログインしなくてもデータを読み書きできる
送信ドメイン認証	「このメールは本当にこの会社から送られたものか」を受け取る側が確かめられるようにする設定。SPF・DKIM・DMARCという3つの仕組みがある
多要素認証	パスワードに加えて、スマートフォンの確認コードなどもう一つの手段でログインする方式

公表で確認できたこと

公式の発表と報道で、確認できた範囲だけを書きます。

タイムズカーの件は、現会員だけの話ではありません。 対象には、退会済みの人と、入会を申し込んだものの手続きを終えていない人も含まれています。漏えいした項目は、氏名・住所・生年月日・電話番号・メールアドレス・運転免許の情報・本人確認書類の画像・復元できない形式で保管していたパスワード、そして連携している外部サービスのIDです。クレジットカード情報は漏えいしていないこと、公表時点で不正利用は確認されていないことも発表されています。

連携先にも波及しています。 連携サービスのひとつであるJR西日本は、自社への不正アクセスはなく、パスワードも流出していないと説明したうえで、ほかのサービスと同じパスワードを使っている利用者に変更を検討するよう呼びかけています。

漏れたあとには「本物らしい連絡」が届いています。 宿泊予約の管理システム「TEMAIRAZU」では、9月21日深夜ごろから、利用している複数の宿泊施設の予約者に、予約の内容を知っているとみられる不審なメッセージがメール・SMS・チャットアプリで届いていました。予約の確認やカード情報の再入力を求めて、偽のサイトへ誘導する内容です。運営会社は9月28日に不正アクセスを公表しています（トラベルボイスの報道）。

確認できていないこと

ここは正直に書きます。

• 侵入の経路と原因。 タイムズカーは外部の専門機関による調査中としており、詳細は続報を待つ段階です
• AIが攻撃に使われたのか。 ラックの倉持浩明氏は、今回の各事案でAIが実際に使われたことを示す公表情報は確認できないとしつつ、中長期的には攻撃に必要な時間や専門性が下がる影響は無視できないと述べています（ITmedia NEWS）。一方で、AIが悪用されている可能性が高いと指摘するセキュリティ会社もあります（NHK）
• なぜ同じ時期に重なったのか。 同じくITmediaの記事では、攻撃が急増したというより、各社の調査と公表の時期が9月末に重なった面が大きいという見方が示されています

で、マーケティングの現場にどう効くのか

ここから先が、この記事で書きたかったところです。顧客の連絡先を預かって、メールを送り、広告を出し、フォームで登録を取っている会社なら、業種を問わず当てはまります。

1. 次に狙われるのは「自社の名前」です

漏えいの直後に増えるのは、漏れた会社や関係する会社を名乗る偽の連絡です。しかも、本物の情報が入っています。名前も、予約の日付も、購入した商品も合っている。受け取った人には見分けがつきません。文面はAIで自然な日本語にできます。

これは、自社が漏えいしていなくても起こりえます。同じ顧客の情報が、どこか別の会社から漏れていればいいからです。

マーケティング担当にできることは2つあります。

• 送信ドメイン認証を設定する。 自社のドメインを名乗る偽のメールを、受け取る側のメールサービスが弾けるようにする設定です。メール配信ツールを複数使っていると、どれか1つだけ設定が漏れていることがよくあります。私たち自身もメールの送り口を複数使い分けているので、ここは他人事ではありません
• 「当社はこういう連絡をしません」を先に伝えておく。 メールのフッターやサイトのよくある質問に、「メールやSMSでカード情報の再入力をお願いすることはありません」と一文置く。問い合わせ窓口の場所も添える。何も起きていないうちに書いておくから、意味があります

2. 顧客リストは「持っているだけ」でリスクになります

タイムズカーの件で目を引くのは、退会した人や、申し込みを途中でやめた人まで対象になっていたことです。取引の記録には法令で一定期間の保存が求められるものもあり、残していたこと自体を外から責めることはできません。ただ、マーケティングの現場には、法令とは関係なく残っているデータがたくさんあります。

• 過去のキャンペーンで書き出して、誰かのパソコンや共有フォルダに置いたままの顧客一覧のファイル
• 登録フォームで「念のため」取っている、使っていない項目（生年月日・住所・勤務先など）
• 解約した人や配信停止した人の情報が、別のツールに写したまま残っているもの

持っていないデータは、漏れようがありません。 フォームの項目を減らすのは、登録のしやすさのためにもなります。

3. 鍵は「管理画面」と「つなぎ目」にあります

メール配信・顧客管理・広告・アクセス解析。マーケティングは、管理画面の多い仕事です。そして最近は、自動化ツールやAIエージェントで、それらをつないでいる会社も増えました（つなぎ方の選び方はZapier・Make・n8nの違いに書きました）。

つなぐたびに、連携の鍵が1本ずつ増えます。その鍵を持っている仕組みは、人がログインしなくても顧客リストを読み書きできます。AIにCRMを読ませる話は、Geminiから自社のCRMを直接読めるようになった件でも触れました。便利さの裏側で、データが動く経路が増えているということです。

私たちは自社のマーケティングをAIエージェントで回していますが、連携の鍵は置き場所を決めて、外に出る直前には必ず人が確認する形にしています（全体の構成はマーケティングを4工程に分け、AIエージェントを配置するにあります）。それでも、連携の鍵の期限が切れて、仕組みが止まったことがあります。どの鍵がどこにあり、いつ切れるのか。一覧にしておかないと、止まったときに直せず、止めたいときに止められません。

今週、確かめておくこと

確かめること	見るポイント
送信ドメイン認証	メールの送り口ごとに、SPF・DKIM・DMARCが設定されているか
「こういう連絡はしない」の告知	メールのフッターやよくある質問に書いてあるか。問い合わせ窓口が分かるか
管理画面のアカウント	共有のIDを使い回していないか。辞めた人・外注先のアカウントが残っていないか。多要素認証が有効か
書き出した顧客一覧	誰のパソコン・どのフォルダに残っているか。使い終わったら消しているか
フォームの項目	使っていない項目を取っていないか
連携の鍵	どのツールが、どのデータに、読むだけでなく書き込みまでできる状態でつながっているか

どれも1日で終わる量ではありませんが、上から順に見ていけば、自社のどこが手薄かは見えてきます。

私たちが自社のマーケティングをAIで運用する中で、何をAIに任せ、どこに人の確認を置いているかは、無料のレポートにまとめています。データの扱いを含めて、AIを入れる前に決めておくことの参考にしてください。無料レポートを受け取る