リクルートの「カーセンサーnet」関連システムへの不正アクセス（最大370万9551件の情報漏えい懸念）
公表日
リクルートの「カーセンサーnet」関連システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、利用者や取引先の情報が最大370万9551件漏えいしたおそれがあります（流出が確定した件数は公表されていません）。
対象者は？
漏えいのおそれがあるのは最大370万9551件です。内訳は、カーセンサーnetやアプリで販売店に問い合わせた方（最大321万421件、氏名・住所が中心）、口コミ投稿者（最大5289件、氏名など）、C-MATCH登録の中古車販売店（最大48万3168件、担当者氏名・電話・許認可情報など。個人事業主は住所や引落口座情報も含む）、従業員や委託先関係者など（最大1万673件）です。クレジットカード情報とログインパスワードは含まれていないとされています。
リクルートは対象の方へ個別に連絡するとしています。詳しくは公式のお知らせを確認してください。
いますぐできること
- リクルートやカーセンサー、利用した販売店を名乗る不審なメール・電話・SMSに注意し、身に覚えのないリンクは開かないでください。
- 個人事業主として販売店に登録している方は、引落口座の明細に身に覚えのない取引がないか確認してください。
- リクルートからの個別連絡や公式のお知らせを確認してください。
何が起きたのか
2026年10月17日、リクルートは「カーセンサーnet」関連システムで外部からの不審なアクセスを見つけました。同日17時ごろから、Web、アプリ、販売店向けのC-MATCHなど関連する全サービスを止め、同じ日に告知しました。その後の調査で、10月20日までに漏えいのおそれがある情報と最大件数が分かり、21日に公表しました。同日時点で、この件による二次被害は確認されていないとのことです。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とされていますが、侵入の方法や弱点は発表されていません。被害の範囲が大きくなった理由も、まだ発表されていません。なお、利用者の問い合わせ情報や販売店向けシステムの情報など、複数の種類の情報が対象に含まれています。
いまの状況2026-10-21 時点続報待ち
リクルートは個人情報保護委員会へ速報を行い、原因や影響範囲の調査を続けています。サービスの再開時期は、まだ発表されていません。日産自動車や三菱自動車の中古車サイトの一時停止や、マツダの情報更新停止など、提携先にも影響が出ています。
企業として考えたいこと
自社の基盤システムに不審なアクセスがあったとき、取引先や顧客への影響を踏まえて、全面停止を判断し実行する手順がありますか。
技術的な要約
株式会社リクルートは2026年10月17日、中古車情報サイト「カーセンサーnet」の関連システムにおいて外部からの不審なアクセスを検知した。同社は顧客および取引先の安全確保と影響確認のため、同日17時頃よりWeb版およびアプリ版の「カーセンサー」、販売店向け業務支援システム「C-MATCH」など関連する全サービスを一時停止した。調査の結果、10月20日時点で「カーセンサーnet」や「C-MATCH」などから最大370万9551件の個人情報や取引先情報が漏えいした可能性があることが判明し、翌21日に公表された。漏えい対象には利用者の氏名や住所、取引先販売店の事業者情報や個人事業主の引落口座情報、従業員や委託先等の情報が含まれるが、クレジットカード決済情報やパスワードの漏えいは確認されていない。同社は個人情報保護委員会へ速報を行うとともに、詳細な原因や影響範囲の調査を継続している。
攻撃の分類
- 侵入口
- 不明公表で確認公表上は「第三者からの不正なアクセス」「外部からの不審なアクセス」とされており、具体的な侵入手口は調査中である。
- 脆弱性
- CVE 非公表不明具体的な脆弱性や悪用手法については公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり Web版「カーセンサーnet」、アプリ版「カーセンサー」、中古車販売店向け業務支援サービス「C-MATCH」が一時停止され、利用者の検索や問い合わせ、販売店の在庫管理や問い合わせ返信などの業務が停止した。さらに提携先である日産自動車や三菱自動車の中古車サイト一時停止、マツダの情報更新不可など外部へ影響が波及した。期間：2026-10-17〜継続中
- データ
- おそれ上限 3,709,551確定 —件氏名住所電話メール会員ID口座取引先情報従業員情報業務データその他最大3,709,551件の内訳: (1)『カーセンサーnet』（アプリ版含む）で中古車販売店へ問い合わせをした利用者 3,210,421件（氏名・住所3,176,375件、氏名・住所・問い合わせ内容・年代・性別33,247件、氏名・住所・問い合わせ内容・電話・FAX・メール799件。住所は原則市区町村名までだが町名番地等まで含む可能性最大447,670件）、(2)口コミ投稿者 5,289件（氏名5,285件、氏名・メール4件）、(3)『C-MATCH』登録中古車販売店 483,168件（代表者/担当者氏名・電話、古物商許認可番号・許認可保有者氏名・発行都道府県、ログインID。個人事業主は住所、郵便番号、電話、FAX、引落口座情報も含む）、(4)従業員（退職者含む）、業務委託企業従業員・個人事業主、販売代理店企業従業員 10,673件（氏名、メール、ログインID）。全対象に社内管理用IDを含む。クレジットカード情報やログインパスワードは含まれていない。
- 波及先
- —
- 日産自動車の中古車サイト一時停止
- 三菱自動車の中古車サイト一時停止
- マツダの中古車サイトで情報更新が不可
- スズキアリーナ大隅等の契約販売店で車両閲覧や問い合わせの受信・返信が不能
- 金銭影響
- —
- サプライチェーン
- リクルートのシステム停止に伴い、中古車情報の連携先である自動車メーカー（日産、三菱自動車、マツダ）のWebサイトや、業務支援システムを利用する全国の加盟中古車販売店に業務影響が波及した。
時系列
技術解説
検知からサービス停止・公表までの経緯 事実
リクルートは2026年10月17日、「カーセンサーnet」関連システムで外部からの不審なアクセスを検知した。同日17時頃から、Web版「カーセンサーnet」、アプリ版「カーセンサー」、販売店向け業務支援サービス「C-MATCH」など関連する全サービスを一時停止し、同日中に第1報として告知した。10月20日までの調査で、漏えいした可能性のある情報の項目と最大件数が判明した。同社は10月21日に最大370万9551件の漏えい可能性を公表して謝罪し、個人情報保護委員会へ速報を行った。同日時点で、本件に起因する二次被害は確認されていないとしている。侵入日は公表されておらず、記録上の発生日は検知日と同じ10月17日である。
漏えいの可能性がある情報の内訳 事実
最大370万9551件は4区分に分かれる。(1)カーセンサーnet（アプリ版含む）で販売店へ問い合わせた利用者3,210,421件で、氏名・住所が中心。一部は問い合わせ内容、年代、性別、電話、FAX、メールを含み、町名番地等まで含む可能性があるのは最大447,670件。(2)口コミ投稿者5,289件（氏名等）。(3)C-MATCH登録の中古車販売店483,168件で、担当者氏名・電話、古物商許認可情報、ログインIDなど。個人事業主は住所、電話、引落口座情報も含む。(4)従業員（退職者含む）や委託先、販売代理店の従業員等10,673件（氏名、メール、ログインID）。全区分に社内管理用IDが含まれる。クレジットカード情報とログインパスワードは含まれていないとされる。流出が確定した件数は公表されていない。
停止が取引先・加盟店へ広げた業務影響 事実
サービス停止により、提携先や加盟店にも影響が出た。日産自動車と三菱自動車の中古車サイトが一時停止し、マツダの中古車サイトでは情報更新ができなくなった。契約販売店では車両の閲覧や問い合わせの受信・返信ができなくなった例が報じられている。一部の販売店は、自社サイトや電話、プロトコーポレーション運営の「グーネット」の利用を呼びかけた。再開時期は公表されておらず、停止は継続中である。
仲介基盤への依存が影響を連鎖させた構造 解釈
上記の事実からは、複数のメーカーや多数の販売店が一つの情報仲介基盤に集客や在庫連携を委ねていたことがうかがえる。基盤そのものを止める判断が、依存先の業務にも直ちに及んだと考えられる。また、利用者向けの問い合わせ情報と、販売店向けC-MATCHの事業者情報が、同じ一連の不正アクセスで漏えい可能性の対象になった。ただし、両者がどのように接続されていたか、どの経路で情報に到達されたかは公表されていない。そのためこの構造の見方は、公表情報からの推測にとどまる。
全関連サービス停止の判断について 解釈
原因が特定できていない段階で、一般向けのWeb・アプリだけでなくC-MATCHを含む関連サービスを同日中にまとめて止めた対応は、被害拡大を抑える狙いがあったと読める。一方で、その後の報道や提携先の状況から、停止が取引先に与えた影響は大きかった。ただし、停止の時点で既に情報が持ち出されていたかどうか、停止が拡大防止にどれだけ効果があったかは、公表情報からは判断できない。侵入経路や攻撃者の情報が示されておらず、公表内容の評価は今後の続報に左右される。
対応
- 封じ込め
- 2026年10月17日17時頃より、Web版「カーセンサーnet」、アプリ版「カーセンサー」、販売店向け業務支援システム「C-MATCH」を含むすべての関連サービスを一時停止する遮断措置を実施した。
- 公表の仕方
- 2026年10月17日に不審アクセスの検知とサービス一時停止を第1報として告知。2026年10月21日に不正アクセスおよび最大370万9551件の情報漏えい可能性の内訳を公表し、公式サイト上で謝罪した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 提携先・加盟店が依存する基盤を止める場合の影響を把握しておく | API連携やデータ同期の依存先を一覧化し、有事に連携を個別に切り離せるようスイッチ（フィーチャーフラグ等）を用意する。連携先向けの縮退運転手順と、停止時の連絡テンプレートを事前に整備し、年1回は切り離し訓練を行う。 |
| 公開システムの不審アクセスを検知して素早く隔離できる体制 | WAF、公開APIのアクセスログ、EDRのアラートをSIEMに集約し、大量取得や通常と異なるアクセスを検知するルールを設ける。サービス単位で遮断できるプレイブックを作り、遮断の判断者と権限を明文化して机上訓練で確認する。 |
| 事業者の口座情報や許認可情報など機微データの分離と保護 | 口座情報などは検索・問い合わせ用DBと別の閉域DBに置き、列単位の暗号化と鍵管理を分ける。参照できるサービスアカウントを最小限にし、参照ログを取って一定回数を超える取得にアラートを出す。 |
| 過去の問い合わせ情報の保持期間を定めて漏えい対象を減らす | 問い合わせ履歴や口コミ投稿者情報に保持期間を設け、期間後は匿名化または削除するバッチを運用する。住所を市区町村までに留める設計を徹底し、例外的に詳細住所を持つデータは定期的に棚卸しする。 |
| 全体件数と区分別の内訳を早く出せる資産台帳 | システムごとに保有する個人情報の項目・件数・利用者区分を台帳化し、ログ解析と突き合わせて影響範囲を区分別に算出できる手順を用意する。従業員・委託先IDや社内管理IDの棚卸しも同じ台帳で管理する。 |
自組織などでの確認項目
- 自社の主要サービスを不正アクセスの疑いで全面停止した場合、提携先や加盟店のどの業務が止まるか、一覧で説明できますか。
- 問い合わせ履歴や取引先の口座情報、管理用IDは、公開Web基盤から分離され、参照ログが取られていますか。
- 原因が分からない段階でも、誰が・どの条件で・どの範囲まで遮断するかを決めた手順があり、訓練で確認されていますか。
- 漏えいの可能性が見つかった場合、利用者、取引先、従業員など区分別に件数と項目を数日以内に出せますか。
未解明点
- 第三者がどのような手口で侵入したのか（Webアプリ、公開サーバ、認証情報など）。公表では「不正なアクセス」とされ、具体的な侵入経路と脆弱性は示されていない。
- 漏えいが確定した件数。公表されているのは「可能性のある最大件数」で、実際に持ち出された件数や、侵入日・侵入期間は示されていない。
- 全関連サービスの再開時期と、再発防止のための具体的な改修内容。
- 業務委託先や加盟店など取引先への影響の範囲。報道では業務委託先への影響を懸念する指摘があるが、詳細は公表されていない。
出典
- 1株式会社アクト2026-10-19研究者本文確認済
- 2日刊自動車新聞2026-10-21報道本文確認済
- 3ライブドアニュース2026-10-21報道本文確認済
- 4NHK2026-10-21報道本文確認済
- 5セキュリティ対策Lab2026-10-19報道本文確認済
- 6satimo-blog2026-10-21報道本文確認済
- 7ITmedia NEWS2026-10-19報道本文確認済
- 8日本経済新聞2026-10-19報道本文確認済
- 9株式会社リクルート2026-10-21公式本文確認済