株式会社リクルートは2026年10月21日、中古車情報サイト「カーセンサーnet」と中古車販売店向け業務支援サービス「C-MATCH」への不正アクセスにより、利用者や取引先の個人情報が最大3,709,551件漏えいした可能性があると発表した。10月17日に外部からの不審なアクセスを検知して関連サービスを止めていた事案の続報で、漏えいした可能性のある情報の項目と件数が明らかになった。クレジットカードなどの決済情報とログインパスワードは含まれていないとしている。
10月17日に検知、20日に件数を把握
同社の発表によると、10月17日（土）にカーセンサーnet関連システムへの外部からの不審なアクセスを検知し、同日17時ごろから、カーセンサーnet、アプリ版「カーセンサー」、C-MATCHなど関連するすべてのサービスを一時停止した。その後の調査で、10月20日（火）に漏えいした可能性のある個人情報の項目と件数（最大値）を把握したという。
原因は「第三者からの不正なアクセス」としており、侵入の経路や手口、詳しい原因、影響範囲については調査中である。個人情報保護委員会へは速報済みで、対象者には順次個別に連絡するとしている。
対象は利用者・販売店・委託先の従業員まで
漏えいした可能性があるのは、大きく4つのグループの情報である。
- カーセンサーnet（アプリ版を含む）で中古車販売店に問い合わせた利用者：3,210,421件。大半は氏名と住所で、一部は問い合わせ内容、年代、性別、電話番号、FAX番号、メールアドレスを含む
- カーセンサーnet（アプリ版を含む）で口コミを投稿した利用者：5,289件（氏名、一部はメールアドレス）
- C-MATCHに登録している中古車販売店：483,168件（代表者や担当者の氏名・電話番号、古物商の許可番号、ログインIDなど）
- リクルートの従業員（退職者を含む）、業務委託先や販売代理店の従業員など：10,673件（氏名、メールアドレス、ログインID）
利用者の「住所」は原則として市区町村名までだが、番地や建物名まで含まれている可能性があるものが最大447,670件あるという。また、販売店のうち個人事業主については、事業所の住所や電話番号に加えて引き落とし口座の情報も含まれる。
同社は、10月21日時点で本件に起因する二次被害は確認していないとしたうえで、漏えいした可能性のある情報を悪用した不審なメールやSMS、郵送物、電話に注意するよう呼びかけている。
利用者だけでなく取引先の情報も漏えいの対象に
今回の事案では、消費者向けサイトの利用者だけでなく、業務支援サービスを使う販売店や、委託先・代理店の従業員の情報まで対象になった。消費者向けと事業者向けの両方のサービスを持つ事業では、1つの関連システムへの侵入が、顧客、取引先、自社の関係者という立場の異なる人々に一度に影響しうる。
販売店側から見れば、取引先のサービスに登録した担当者の氏名や電話番号、口座情報が、自社の管理の外で漏えいする可能性がある。業務で外部のプラットフォームを使う企業は、そこに預けている情報の範囲を把握し、漏えいが起きたときに取引先や従業員へどう知らせるかを決めておく必要がある。なりすましの連絡が届いたときの確認手順を社内で共有しておくことも、二次被害を防ぐうえで欠かせない。
同じ手口に、自社は備えられていますか？