リクルート「カーセンサー」などに不正アクセス、最大370万9,551件の個人情報漏洩の可能性

株式会社リクルートは2026年10月21日、中古車情報サイト「カーセンサーnet」と中古車販売店向け業務支援サービス「C-MATCH」への不正アクセスにより、最大370万9,551件の個人情報が外部に漏洩した可能性があると発表した。

対象には、販売店への問い合わせ利用者、口コミ投稿者、販売店の代表者・担当者などの情報が含まれる。公表件数は漏洩した可能性のある情報の最大値であり、流出が確定した人数を示すものではない。

10月17日に不審なアクセスを検知、関連サービスを一時停止

同社によると、10月17日にカーセンサーnet関連システムへの外部からの不審なアクセスを検知した。安全確保と影響確認のため、カーセンサーnet、アプリ版「カーセンサー」、C-MATCHなどの関連サービスを一時停止した。

その後の調査で、10月20日に漏洩した可能性のある個人情報の項目と最大件数を把握し、翌21日に公表した。

公表された情報の件数は、以下の4区分に分かれる。

対象	件数
カーセンサーnet・アプリ版で中古車販売店に問い合わせた利用者	3,210,421件
カーセンサーnet・アプリ版で口コミを投稿した利用者	5,289件
C-MATCHに登録のある中古車販売店	483,168件
同社の業務関係者やカーセンサー販売代理店の従業員など	10,673件
合計	3,709,551件

上記は情報の件数であり、そのまま被害者の実人数を表すものではない。

最も件数が多いのは、カーセンサーnetやアプリ版を通じて中古車販売店に問い合わせた利用者の情報で、内訳は次のとおり。

漏洩した可能性のある情報項目	件数
氏名、住所	3,176,375件
氏名、住所、問い合わせ内容、年代、性別	33,247件
氏名、住所、問い合わせ内容、電話番号、FAX番号、メールアドレス	799件
合計	3,210,421件

住所は原則として市区町村名までの情報。ただし、町名・番地・建物名・部屋番号などを含む住所が記載されている可能性がある情報は、最大44万7,670件としている。この件数は上記の内数であり、合計に加算するものではない。

口コミ投稿者の情報は、氏名のみが5,285件、氏名とメールアドレスが4件の計5,289件。

C-MATCHに登録された中古車販売店の情報は48万3,168件で、代表者や担当者の氏名・電話番号、古物商許認可番号、許認可保有者氏名、発行都道府県、ログインIDが対象となる。

個人事業主については、これらに加えて事業所・窓口の住所、郵便番号、電話番号、FAX番号、引落口座情報も含まれるとしている。

業務関係者や、現在または過去にカーセンサーの販売代理店契約を締結していた企業の従業員などの情報は1万673件。対象項目は氏名、メールアドレス、ログインIDとなっている。

また、4区分すべてにリクルートが社内で付与する管理用IDが含まれる。

同社は、対象情報にクレジットカードなどの決済情報とログインパスワードは含まれていないと説明している。ただし、前述のとおり、一部の個人事業主の情報には引落口座情報が含まれる。

10月21日時点で同社が把握する範囲では、本件に起因する二次被害は確認されていない。一方、漏洩した可能性のある情報を悪用した不審な連絡には注意が必要となる。

リクルートは原因を第三者からの不正アクセスとし、原因や影響範囲の詳細について調査を進めている。個人情報保護委員会への速報は実施済みとしている。