ニュース｜社会・くらし
カーセンサー不正アクセスで何が漏れた？370万件の内訳と自分は対象か
中古車情報サイト「カーセンサーnet」と、中古車販売店向けの業務支援サービス「C-MATCH」が不正アクセスを受け、運営するリクルートは10月21日、最大3,709,551件の個人情報が漏えいした可能性があると発表しました。10月17日夕方から全サービスが止まり、リクルートのシステムを使う日産自動車と三菱自動車の中古車検索サイトも停止しています。公式発表の件数を区分ごとに表にし、2026年9〜10月に相次いだ大型の漏えいと比べたうえで、利用者がやるべきことを整理しました。
この記事の結論
- 漏えいした可能性があるのは最大3,709,551件。そのうち86.5%（3,210,421件）はカーセンサーnetで販売店に問い合わせた利用者、13.0%（483,168件）はC-MATCHに登録する販売店の情報です。
- 問い合わせ客の情報の98.9%は「氏名と住所」だけで、住所は原則として市区町村名まで。ただし番地や建物名まで含む可能性があるものが最大447,670件あります。クレジットカードなどの決済情報とログインパスワードは含まれていません。
- 2026年9〜10月に件数が公表された主な漏えい14件と比べると、件数では13番目です。件数より気をつけたいのは本物の氏名・住所を使った郵便物や電話で、リクルートも郵送物を含めて「開封しない・応答しない」よう呼びかけています。
- 日産と三菱自動車の中古車検索サイトは、リクルートのシステムを使っていたため10月17日17時ごろから停止。これらのサイトの利用者の情報が発表の件数に含まれるかは、10月22日朝時点で公式には示されていません。
カーセンサーの不正アクセスとは？いつ何が起きたのか
カーセンサーnetは、リクルートが運営する中古車の情報サイトです。利用者はサイトやアプリで車を探し、気になった車について中古車販売店に問い合わせができます。一方のC-MATCHは、販売店が在庫の掲載や問い合わせへの対応に使う業務用のサービスです。今回は、この両方の情報が漏えいした可能性があると発表されました。
| 項目 | 内容（10月22日時点） |
|---|---|
| 運営会社 | 株式会社リクルート |
| 対象サービス | 中古車情報サイト「カーセンサーnet」（アプリ版を含む）と、中古車販売店向け業務支援サービス「C-MATCH」 |
| 検知 | 2026年10月17日（土）、カーセンサーnet関連システムへの外部からの不審なアクセスを検知 |
| サービス停止 | 同日17時ごろから、カーセンサーnet・アプリ・C-MATCHなど関連する全サービスを一時停止 |
| 件数の把握 | 10月20日（火）、漏えいした可能性のある個人情報の項目と件数（最大値）を把握 |
| 公表 | 10月21日（水）。漏えいした可能性があるのは最大3,709,551件 |
| 原因 | 「第三者からの不正なアクセス」。詳しい原因と影響範囲は調査中 |
| 国への報告 | 個人情報保護委員会へ速報済み |
| 二次被害 | 10月21日時点で、本件が原因の二次被害は確認されていない |
| 本人への連絡 | 対象者へ順次個別に連絡。連絡がつかない人向けに問い合わせ窓口を設置 |
出典：リクルート「『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月21日）
10月17日から今日までの流れ
- 10月17日（土）不審なアクセスを検知、17時ごろ全サービス停止カーセンサーnet、アプリ版カーセンサー、C-MATCHなどを一時停止。日産「日産公式中古車検索サイト」、三菱自動車「M・Cネット」も同じ時刻から止まっています（各社の告知）。
- 10月20日（火）漏えいした可能性のある項目と件数を把握日刊自動車新聞によると、日産と三菱自動車はこの日までに中古車検索サイトの一時停止を発表。マツダは車両情報の更新を止めました。
- 10月21日（水）リクルートが最大3,709,551件と公表個人情報保護委員会へ速報済み。問い合わせ窓口のページは同日10時付けで更新されています。
- 10月22日（木）朝カーセンサーnetは停止したまま当サイトが確認した時点でも停止の告知が表示されており、再開の見込みは示されていません。
- 12月16日ごろ国への最終的な報告の期限（目安）不正な目的によるおそれがある漏えいは、発覚した日から60日以内に報告する決まり。10月17日から数えた場合の日付です。
出典：リクルートの発表、日産自動車・三菱自動車の各サイトの告知（10月22日朝に確認）、日刊自動車新聞（10月21日）、個人情報保護委員会「漏えい等の対応とお役立ち資料」。12月16日は当サイトの計算です。
何が漏れた？最大370万9551件の内訳を表にした【独自集計】
リクルートの発表は、漏えいした可能性のある人を4つに分けて件数と項目を示しています。区分ごとの割合を当サイトで計算し、件数の多い順に並べました。
| だれの情報か | 件数（最大） | 割合 | 主な項目 |
|---|---|---|---|
| 販売店に問い合わせた利用者 | 3,210,421件 | 86.5% | 氏名、住所（原則市区町村まで）。一部は問い合わせ内容・年代・性別、電話番号・メールアドレス |
| C-MATCHに登録する中古車販売店 | 483,168件 | 13.0% | 代表者・担当者の氏名と電話番号、古物商の許認可番号など、ログインID。個人事業主は事業所の住所・電話番号・引落口座情報も |
| リクルート従業員・委託先・販売代理店の従業員など | 10,673件 | 0.3% | 氏名、メールアドレス、ログインID |
| 口コミを投稿した利用者 | 5,289件 | 0.1% | 氏名（4件はメールアドレスも） |
| 合計 | 3,709,551件 | 100% | 4区分すべてに社内の管理用IDを含む。決済情報・ログインパスワードは含まない |
出典：リクルートの発表の件数をもとに当サイトが割合を計算。口コミ投稿（0.1%）と従業員など（0.3%）は、棒が見えるよう最小幅で表示しています。
問い合わせ客321万件の98.9%は「氏名＋市区町村」
いちばん多い3,210,421件は、カーセンサーnetで中古車販売店に問い合わせをした人の情報です。中身をさらに分けると、ほとんどが「氏名と住所」だけでした。
| 含まれる項目 | 件数 | 割合 | ポイント |
|---|---|---|---|
| 氏名、住所 | 3,176,375件 | 98.9% | 住所は原則として市区町村名まで |
| 氏名、住所、問い合わせ内容、年代、性別 | 33,247件 | 1.0% | どの車を問い合わせたかが分かる可能性 |
| 氏名、住所、問い合わせ内容、電話番号、FAX番号、メールアドレス | 799件 | 0.025% | 連絡先まで含むのは799件だけ |
2026年秋に相次いだ漏えいでは、メールアドレスや電話番号を含むものが目立ちました。これに対し今回の問い合わせ客の情報は、メールアドレスを含むものが口コミ投稿と合わせても803件（0.02%）と、ごくわずかです。その代わりに住所が入っています。
住所は原則として市区町村名までですが、リクルートは町名・番地・建物名・部屋番号まで含む可能性があるものが最大447,670件（問い合わせ客の情報の13.9%）あると説明しています。番地まで分かれば郵便物が届けられるため、リクルートがお願いの中に「郵送物の開封をしない」を入れているのは、このためとみられます。
販売店48万件には「引落口座情報」も
2番目に多い483,168件は、C-MATCHに登録している中古車販売店の情報です。代表者や担当者の氏名・電話番号、古物商の許認可番号、ログインIDなどが含まれ、個人事業主の販売店では事業所の住所や引落口座の情報まで対象になっています。日刊自動車新聞は、業務委託を結んでいる個人事業者などにも影響が及ぶ懸念があると伝えています。
ログインIDは漏れても、パスワードは含まれていない
C-MATCHや社内の管理画面のログインIDは対象ですが、リクルートはログインパスワードは含まれていないとしています。IDだけでログインされることは考えにくいものの、IDを知った相手が「パスワードの再設定」「確認のお願い」を装ってパスワードを聞き出そうとするおそれはあります。販売店や関係者は、メールのリンクから入らず、いつもの画面から確かめるのが安全です。
報道で「370万件」「371万件」「320万件」と分かれる理由
同じ発表でも、報道によって見出しの数字が違います。Car Watchや日刊自動車新聞は「最大370万9551件」、ITmedia NEWSやTBS NEWS DIGは四捨五入して「最大371万件」、時事通信は利用者の分（3,210,421件）だけを取り上げて「最大320万件」としました。どれも誤りではなく、全体の合計か、利用者だけかの違いです。この記事では公式発表どおり、全体を「最大3,709,551件」と書いています。
9〜10月の大型漏えいと比べると？14件を件数順に並べた【独自集計】
2026年の9月から10月にかけて、身近なサービスで不正アクセスの発表が続いています。2026年9月1日〜10月21日に件数が公表された主な漏えいのうち、当サイトが各社の公式発表で件数を確かめられたものを、件数の多い順に並べました。
| 順 | 会社（サービス） | 件数 | 公表日 |
|---|---|---|---|
| 1 | Helpfeel（画像共有「Gyazo」）ユーザーのデータ件数。約76％はメール未登録の匿名ユーザー | 約2,362万件 | 9月16日・25日 |
| 2 | Eストアー（ショップサーブ）重複を除いた人数 | 約2,336万人 | 10月16日（最終報） |
| 3 | アドベンチャー（skyticket）登録・入力された客の件数 | 約1,464万件 | 10月9日 |
| 4 | 物語コーポレーション（焼肉きんぐアプリ）アプリ登録の件数 | 10,788,963件 | 10月5日 |
| 5 | ユミルリンク（メール配信Cuenote）メールアドレスを含む情報の延べ件数（試算） | 延べ約900万件 | 10月19日 |
| 6 | 第一興商（ビッグエコーなど・委託先）客と従業員。重複を除いた件数 | 約872万4,000件 | 10月8日 |
| 7 | ムラウチドットコム漏えいした対象者の件数 | 7,716,811件 | 9月15日（第二報） |
| 8 | パーク24（タイムズカー）アカウント数 | 約660万件 | 9月28日（第2報） |
| 9 | ブックオフグループ会員番号の件数 | 最大約643万件 | 10月9日 |
| 10 | ヤマト運輸（クロネコ代金後払い）約526万件＋届け先約5万件＋加盟店約4,100件 | 約531万件 | 10月16日（第4報） |
| 11 | トラストバンク（ふるさとチョイス）会員の件数（今後変わる可能性あり） | 4,454,097件 | 10月20日 |
| 12 | 手間いらず（宿泊予約管理システム）予約者の人数 | 最大約445万人 | 10月9日 |
| 13 | リクルート（カーセンサーnet・C-MATCH）利用者・販売店・従業員などの合計 | 最大3,709,551件 | 10月21日 |
| 14 | H2Oリテイリング（阪急阪神百貨店の共通ID）会員の件数 | 約126万件 | 10月19日 |
各社の公式発表から当サイトが作成（10月22日朝に確認）。「漏えいした」と確認されたものと「可能性がある」ものが混ざっています。件数・人数・アカウント数など数え方が会社ごとに違い、同じ人が複数のサービスで数えられている場合もあるため、単純に足したり比べたりはできません。この期間のすべての事案を網羅したものではありません。
並べてみると、400万件を超える発表が12件もありました。カーセンサーの最大370万件は、この中では13番目です。「370万件」は大きな数字ですが、9〜10月はそれを上回る発表が続いていたことになります。
ただし、件数の多さと危険の大きさは一致しません。焼肉きんぐのアプリはメールアドレスと電話番号、ヤマト運輸の後払いサービスは住所と購入した商品の明細、タイムズカーは運転免許証の画像まで含んでいました。カーセンサーは「どこの市区町村に住む誰が、中古車を探していたか」が中心で、一部には問い合わせた内容も含まれます。車の購入を考えている人だと分かる情報なので、「ローン」「下取り」「買い取り」をかたる勧誘や詐欺に使われないか、注意しておきたいところです。
国の統計では「5万人超」の漏えい報告は年121件
個人情報保護法では、不正アクセスのように不正な目的で行われたおそれがある漏えいや、1,000人を超える漏えいなどが起きると、会社は個人情報保護委員会に報告しなければなりません。委員会の令和7年度の年次報告（2025年4月〜2026年3月）によると、民間事業者からの報告は17,139件。そのうち不正な目的によるおそれがあるものが3,822件（22.3%）、漏えいした人数が5万1人以上だったのは121件（0.7%）でした。
出典：個人情報保護委員会「令和7年度 個人情報保護委員会年次報告」の付表（個人情報取扱事業者等の分）。「5万1人以上」は人数で区切った件数で、上限はありません。1件の報告が複数の理由に当てはまる場合があります。
報告の大半（93.6%）は1,000人以下の小さな事案で、数百万件規模はごく一部です。それが2026年の秋には、上の表のように9月半ばから数百万件単位の発表が毎週のように続いています。報告の期限は、不正な目的によるおそれがある場合、発覚から60日以内。リクルートは速報を済ませており、今後の調査結果は続報で示されるとみられます。
日産・三菱自・マツダにも影響 中古車サイトが止まった理由
今回の停止は、カーセンサーnetだけにとどまりませんでした。自動車メーカーの公式中古車サイトの中には、リクルートのシステムを使って動いているものがあったためです。
| メーカー | 影響 | 確認先 |
|---|---|---|
| 日産自動車 | 「日産公式中古車検索サイト」。リクルートのシステムを運営に使っており、10月17日17時ごろから一時停止 | 日産の告知（10月22日朝に確認） |
| 三菱自動車 | 中古車サイト「M・Cネット」。運営をリクルートに委託しており、10月17日17時ごろから一時停止 | 三菱自動車の告知（10月22日朝に確認） |
| マツダ | サイトは自社運営で見られるが、カーセンサーと在庫情報を共有しているため、車両情報の更新が止まっている。売約済みの車が載っている可能性も | 日刊自動車新聞・TBS NEWS DIG |
日産と三菱自動車の告知は、どちらも「リクルートの（関連）システムに外部からの不審なアクセスが検知された」ため、安全確保と影響の確認のためにサービスを止めたと説明しています。再開は「見込みが立ち次第」知らせるとしています。
TBS NEWS DIGによると、3社は個人情報の流出について確認中で、サービスを完全に再開する時期も明らかにしていません。リクルートの発表は「カーセンサーnet（アプリ版を含む）」と「C-MATCH」を対象サービスとしており、メーカーの中古車サイトの利用者が今回の件数に含まれるかどうかは書かれていません。メーカーのサイトから問い合わせをした覚えがある人は、各社の続報を確認してください。
「委託先が止まると、自社のサービスも止まる」
メーカーが自社の名前で出しているサイトでも、裏側の仕組みは専門の会社に任せていることがあります。今回は、委託先のシステムが止まったことで、複数のメーカーの中古車サイトが同じ時刻に止まりました。日刊自動車新聞は、リクルートの措置の影響が自動車メーカーのサービスにも広がってきたと伝えています。
二次被害を防ぐには？利用者と販売店がやること
リクルートは10月21日時点で二次被害は確認されていないとしたうえで、漏えいした可能性のある情報を悪用した不審な連絡が届くおそれがあると注意を呼びかけています。発表で示された3つのお願いは次のとおりです。
- メール・SMS・郵送物の開封や電話への応答をしない（本件を悪用した不審な連絡への注意として）
- 本文に記載されたリンクを開かない
- 添付されたファイルを開封しない
カーセンサーで問い合わせをしたことがある人
- 1. 個別の連絡を待つ：リクルートは対象者に順次個別に連絡するとしています。連絡が来たら、メールのリンクではなくリクルートの公式サイトのお知らせと照らし合わせてください。
- 2. 名前と住所を知っている相手でも信用しない：漏えいした情報の中心は氏名と住所です。「カーセンサーの件で補償があります」「お問い合わせの車の件で」といった電話や郵便物が届いても、その場で個人情報や口座番号を伝えないようにしましょう。
- 3. ローン・下取り・買い取りの勧誘に注意：中古車を探していたことが知られている前提で近づいてくる勧誘は、相手を確かめてから対応します。
- 4. 問い合わせは専用窓口から：リクルートは本件の問い合わせ窓口を設けています。10月22日朝に確認した時点では、ページからメールで問い合わせる形でした。
C-MATCHを使っている販売店・関係者
- ログインIDを使った誘導に注意：パスワードは含まれていませんが、IDを添えて「再設定」を求めるメールなどには反応せず、いつもの方法でログインして確かめます。
- 口座・支払いをかたる連絡に注意：個人事業主は引落口座の情報も対象です。「引き落としができなかった」「口座を確認したい」といった連絡は、取引先に直接確かめてから対応しましょう。
- 社内の担当者にも共有：担当者の氏名と電話番号も対象のため、会社あての電話やFAXにも注意が必要です。
リクルートを名乗る「なりすましメール」は別に出ている
リクルートは今回の発表とは別に、10月15日に「当社を騙るドメインを使用したなりすましメールにご注意ください」というお知らせを出しています。10月13日に「recruit.co.jp」のドメインを使ったなりすましメールが送られていたというものです。このお知らせとカーセンサーの件との関係は、発表には書かれていません。ただ、送信元が本物らしく見えても安心できないことは覚えておきたいところです。
2026年9〜10月に公表されたほかの不正アクセスと、漏れた情報の種類ごとの対策は「最近の不正アクセスまとめ2026」で整理しています。
カーセンサーの情報漏えいのよくある質問
Q. カーセンサーの不正アクセスで何が漏れたのですか？
A. リクルートの10月21日の発表では、最大3,709,551件の個人情報が漏えいした可能性があります。内訳は、カーセンサーnetで販売店に問い合わせた利用者3,210,421件、口コミ投稿者5,289件、C-MATCHに登録する販売店483,168件、従業員や委託先などの関係者10,673件です。問い合わせ客の情報の大半は氏名と市区町村までの住所です。
Q. 自分が対象かどうか、どうすれば分かりますか？
A. リクルートは対象者に順次個別に連絡するとしています。連絡がつかない人向けに専用の問い合わせ窓口も設けています。カーセンサーnetやアプリで販売店に問い合わせたり、口コミを投稿したりしたことがある人は、連絡やリクルートの公式サイトのお知らせを確認してください。
Q. クレジットカードやパスワードは漏れましたか？
A. リクルートは、4つの区分のいずれにもクレジットカードなどの決済情報とログインパスワードは含まれていないと発表しています。ただし、C-MATCHに登録する個人事業主の販売店については、引落口座の情報が対象に含まれています。
Q. 「370万件」と「320万件」はどちらが正しいのですか？
A. どちらも同じ発表にもとづく数字です。合計は最大3,709,551件で、時事通信の「320万件」は、そのうち利用者の分（3,210,421件）だけを取り上げたものです。ITmedia NEWSなどの「371万件」は合計を四捨五入した数字です。
Q. カーセンサーはいつ再開しますか？
A. 10月22日朝の時点で、再開の時期は発表されていません。カーセンサーnetの告知は、再開の見込みが立ち次第、ウェブサイトなどで知らせるとしています。日産と三菱自動車の中古車サイトも同じ状況です。
Q. 日産や三菱自動車の中古車サイトを使った人も対象ですか？
A. 10月22日朝時点では、公式には示されていません。リクルートの発表の対象サービスはカーセンサーnet（アプリ版を含む）とC-MATCHで、メーカーの中古車サイトの利用者が件数に含まれるかは書かれていません。TBS NEWS DIGによると、日産・三菱自動車・マツダの3社は個人情報の流出について確認中です。
あわせて読みたい
出典・参考資料
- リクルート：『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（2026年10月21日）、本件の問い合わせ窓口、なりすましメールのお知らせ（10月15日）
- カーセンサーnet・日産「日産公式中古車検索サイト」・三菱自動車「M・Cネット」の各サイトに表示されている一時停止の告知（10月22日朝に確認）
- 個人情報保護委員会：令和7年度 個人情報保護委員会年次報告（年次報告の一覧）、漏えい等の対応とお役立ち資料
- 比較した各社の公式発表は、本文の表の会社名からリンクしています。
- 報道：ITmedia NEWS（10月21日）、Car Watch（10月21日）、日刊自動車新聞（10月21日）、日刊自動車新聞（10月21日、carview!掲載）、TBS NEWS DIG（10月21日）、時事通信（10月21日）
区分ごとの割合、9〜10月の漏えいの件数比較、国の統計の割合は、各資料をもとに当サイトが集計・計算したものです。内容は2026年10月22日朝時点の情報で、今後の調査で件数や項目が変わる可能性があります。アイキャッチ写真：dave_7（Wikimedia Commons、CC BY-SA 2.0）をトリミングし文字を加えたもので、カーセンサーや記事中の販売店とは関係ありません。
コメント