ニッポンレンタカー「NRアプリ」への不正アクセス（2つの手法で会員計96名分、免許証番号・カード下4桁等が閲覧されたおそれ）
公表日
ニッポンレンタカーのアプリ「NRアプリ」が2つの別の方法で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員 最大96名の情報が見られたおそれがあります。運転免許証の番号やクレジットカード番号の下4桁が含まれる人もいます。
対象者は？
NRアプリの会員のうち、9月26日に公表された41名と、10月1日に公表された55名の、合わせて最大96名です（2つの重複の有無は公表されていません）。対象は氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報です。登録状況によって、運転免許証番号・住所・生年月日、クレジットカード番号の下4桁と名義人名も含まれます。カード番号の全体が含まれるとは書かれていません。
対象の方には、登録したメールアドレスに会社から個別に連絡が届いています。連絡が届いていない会員は、閲覧のおそれは確認されていないと会社は説明しています。
いますぐできること
- 会社から連絡が届いた方は、案内に従ってNRアプリのパスワードを再設定する。同じパスワードを他のサービスでも使っていれば、そちらも変更する
- ニッポンレンタカーを名乗るメールやSMSで、予約内容や利用履歴を示されても、リンクは開かず公式アプリから確認する
- 身に覚えのない契約やローンの申し込みの連絡がないか注意する。免許証番号や住所・生年月日が見られたおそれがあるため
何が起きたのか
2026年9月26日、ニッポンレンタカーは、NRアプリへの第三者の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で、会員41名の情報が見られたおそれがあると公表しました。その調査を進める中で9月29日、9月19日〜21日に別の方法で行われた不正アクセスで、会員55名の会員情報ページが見られていたことが分かりました。会社は10月1日にこれを公表しました。
なぜ起きたのか・なぜ広がったのか
2件とも、どのような方法で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。されたかは、まだ公表されていません。2件目は、1件目の調査がきっかけで見つかりました。レンタカーを貸し出す手続きのために、アプリには運転免許証の番号などが登録されていたため、それも対象に含まれていました。
いまの状況2026-10-01 時点続報待ち
会社は必要な対策をとって不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を封じ込めたとし、10月1日時点で二次被害は確認されていません。個人情報保護委員会に報告し、警察とも連携しています。不正アクセスの方法や原因の詳しい説明は、まだ発表されていません。
企業として考えたいこと
自社のサービスで、少人数の情報だけが不正に見られた場合でも、それに気づける仕組みはあるでしょうか。
技術的な要約
ニッポンレンタカーサービスは2026年9月26日、「ニッポンレンタカーアプリ」のシステムへの第三者の不正アクセスにより、会員41名の情報が閲覧されたおそれがあると公表した。その調査の過程で9月29日、9月19日〜21日に別の手法で行われた不正アクセスにより会員55名の会員情報ページが閲覧されたことが判明し、10月1日に公表した。対象は氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報で、登録状況により運転免許証番号・住所・生年月日、クレジットカード番号下4桁・名義人名を含む。侵入手法は2件とも非公表で、二次被害は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。第1報（9/26、41名）は『第三者による不正アクセス』とのみ説明し、手法・発生日時は非公表。続報（10/1、55名）は第1報とは『別の手法』による不正アクセスで、9/19〜21に外部から『NRアプリ』のシステムに攻撃が行われ、会員情報ページへの不正なアクセスが確認されたとするが、手法の中身は非公表。第1報で対象者にパスワード再設定を依頼している点から認証情報の悪用も考えられるが、公式は言及しておらず推測にとどまる。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし アプリやサービスの停止は公表されていない。
- データ
- おそれ上限 96確定 —人氏名電話メール会員ID購入履歴住所生年月日本人確認書類クレカその他（予約情報）第1報41名＋続報55名の単純合算（重複の有無は非公表）。続報分は『会員情報ページにアクセスされた』とされ、いずれも『閲覧されたおそれ』。全員：氏名・電話番号・メールアドレス・ログインID・利用履歴（購入履歴に分類）・予約情報。運転免許証情報を登録した会員：免許証番号・住所・生年月日（画像の言及なし。本人確認書類に分類）。クレジットカードを登録した会員：カード番号下4桁・名義人名（CRITERIA上クレカに分類）。各項目の該当人数は非公表。パスワードの漏えいは明記されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及は公表されていない。アプリの開発・運用委託先への言及もない。
時系列
- 2026-09-19
- 2026-09-26
- 2026-09-29
- 2026-10-01
技術解説
少数・異手法の連続被害と登録情報の機微度 解釈
件数は2件合わせて100名弱と小さいが、同じアプリが近い時期に2つの異なる手法で攻撃され、2件目は1件目の調査で初めて見つかった（9/19〜21の攻撃が9/29判明）。1件目を受けた調査がなければ見逃されていた可能性があり、少数の不正閲覧はシステム側の監視で拾いにくいことを示す。一方、レンタカーアプリは貸渡しのために運転免許証番号・住所・生年月日やカード下4桁・名義を保持しており、件数が少なくても一人あたりの情報の機微度は高い。手法はいずれも非公表で、アプリのAPI認可不備か、アカウントへの不正ログインかは判断できない。
対応
- 封じ込め
- 直ちに必要な措置・封じ込めを実施したとし、続報時点で新たな被害は未確認。第1報の対象者にパスワード再設定を依頼。セキュリティ体制の強化を進めるとする。
- 公表の仕方
- 9/26第1報（41名）、10/1続報（9/29判明分55名）。対象者には登録メールアドレス宛に個別連絡し、案内が届いていない会員は閲覧のおそれは確認されていないと説明。手法・原因は非公表。
- 当局対応
- 個人情報保護委員会：第1報・続報とも法令に基づき報告済み
- 警察：相談し連携
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 1件目の調査で別手法の攻撃が見つかるまで、少数の会員情報ページへの不正アクセスに気づけなかった | 会員情報ページ・APIのアクセスログを会員ID×アクセス元（IP/端末）で集計し、他会員のIDに対するアクセスや、1端末からの複数アカウントログインを検知するルールを置く。インシデント時は単一手法に絞らず過去30日分のログを横断調査する |
| 免許証番号・カード下4桁などの機微情報をアプリの会員情報ページで表示していた | 会員情報ページでは免許証番号・カード情報をマスク表示（末尾数桁のみ）にし、全文表示・変更には再認証（パスワード＋ワンタイムコード）を要求する |
自組織などでの確認項目
- 自社アプリで、1件のインシデント調査中に別の手口の攻撃が見つかった場合、調査範囲と公表の判断を誰がどう切り替えるか。少数件の不正閲覧を日常の監視で検知できているか。
未解明点
- 2件の不正アクセスそれぞれの手法（認可不備・不正ログイン等）と第1報分の発生日時
- 免許証情報・カード情報を登録していた対象者の人数
出典
- 1ニッポンレンタカーサービス2026-09-26公式本文確認済
- 2ニッポンレンタカーサービス2026-10-01公式本文確認済
- 3Impress Watch2026-09-29報道本文確認済
- 4ScanNetSecurity2026-10-07報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2026-09-29報道本文確認済