名鉄協商は2026年8月4日、同社が運営するカーシェアリングサービス「カリテコ」の顧客情報について、外部に漏えいしたおそれを否定できない状況であることを公表した。6月に発覚したサーバーへの不正アクセスの調査過程で判明したもので、対象には運転免許証情報が含まれ、一部の顧客についてはクレジットカード情報が含まれる可能性がある。さらに現会員だけでなく、すでに退会した会員の情報も対象に含まれるという。同社の発表は8月12日時点でカーシェア以外の複数サービスにも広がっている。
6月19日の痕跡、検知は6月23日
一連の事案の起点は6月だった。報道によると、名鉄協商は2026年6月23日午前8時頃に自社サーバーへの不審なアクセスを検知し、一部サーバーが停止したためシステムの切り離しとネットワークの遮断を実施。外部専門機関の支援を受けて調査した結果、6月19日にランサムウェア（データを暗号化して使えなくし、復旧と引き換えに身代金を要求する不正プログラム）による不正アクセスの痕跡が確認されたとされている。検知の4日前に、すでに侵入が起きていたとみられる。
同社は7月28日、外部専門機関と連携した影響範囲の特定調査の結果として、複数サーバーに対する攻撃が確認され、顧客情報について外部漏えいのおそれがあることが否定できない状況であると公表した。この時点でも、情報が外部に流出したことを示す事実は確認されていないとしている。
漏えいのおそれがある情報に運転免許証情報
8月4日のカリテコ向けの発表によると、漏えいのおそれがある情報は入会申込書に記載された情報で、氏名、住所、生年月日、電話番号、メールアドレス、運転免許証情報が挙げられている。加えて一部の顧客についてはクレジットカード情報が含まれる可能性があるとされ、対象は現会員に限らず退会済み会員の情報も含む。
カーシェアリングは運転資格の確認が事業の前提にあるため、入会時に運転免許証の情報を取得する。つまり、このサービスの顧客データベースは構造的に、氏名・住所・生年月日という本人特定情報と、本人確認書類の情報がそろって保管されている。攻撃者にとっては、なりすましや不正な口座・回線契約に転用しやすい組み合わせであり、単なる連絡先の漏えいとは危険度が違う。
同社は顧客に対し、不審な電話やメール、郵便物に注意し、身に覚えのない連絡で個人情報や認証情報、クレジットカード情報の入力・回答を求められても安易に応じないよう呼びかけている。
カーシェア以外にも広がる通知対象
名鉄協商が8月12日に公表した個別案内の実施状況では、漏えいのおそれについて案内を送付した対象がカーシェア以外にも並んでいる。カリテコ会員（7月10日、23日）に続き、名鉄協商パーキングのオーナー（8月3日）、MKPポイントカード会員（8月4日）、名鉄協商パーキング月ぎめ駐車場の利用者（8月6日）、名鉄カナエルショップの利用者（8月10日）、そして「WEBナビ名鉄のハイキング」賞品引き換えの申込者と「名鉄ミューズポイントからmanacaチャージ券への交換サービス」の申込者（いずれも8月12日）である。
同社は現時点で顧客情報が外部に流出したことを示す事実は確認されていないとしており、調査を継続しながら、漏えいのおそれがある顧客へ順次個別に案内する方針を示している。案内対象が発覚から2か月弱かけて段階的に増えていることは、複数サーバーが攻撃を受けた事案で影響範囲の確定に時間がかかる実情を示している。
「通知が届かない顧客」という見落としがちな課題
今回の発表には、事故対応（インシデント対応）の実務として注目すべき点がある。カリテコの8月4日のお知らせは、対象となる可能性のある顧客へ個別案内を送ったところ、宛先不明などで届けられなかった顧客がいたため、個別案内を補完する目的でWebサイトにも掲載したと明記している。
退会済み会員を含むデータが漏えい対象になった場合、この問題は避けられない。退会後に転居していれば郵送は届かず、解約と同時に連絡手段そのものが失われていることもある。それでも情報は事業者側に残っており、漏えいすれば当人にリスクが及ぶ。連絡が取れない相手にどう周知するかは、事前に手順として決めておかないと発覚後の対応で行き詰まる。
もう一点は、保有し続けるデータの範囲である。本人確認書類の情報は、取得する必要があるからこそ保持されるが、退会後も残していれば侵害時の被害はそのまま拡大する。自社が「いつまで、何のために」保持しているのかを、退会・解約後のデータまで含めて説明できるかどうか。今回のように免許証情報を扱う事業では、その説明可能性が漏えい時の影響範囲を直接左右する。
そして侵入検知から4日遡って痕跡が見つかったという経緯は、サーバーが目に見えて停止するまで気づけなかった可能性を示している。攻撃が動き出してから業務影響が出るまでの時間に検知できるかどうかが、被害範囲を分ける分岐点になる。
同じ手口に、自社は備えられていますか？