2026-10-01土脇
タイムズカーで起きたサイバー攻撃は他人ごとではない！
2026年9月、カーシェアリングサービス「タイムズカー」のWebシステムに対する不正アクセスが公表されました。その後の調査で、約660万件のアカウントについて情報が第三者に取得されたことが確認され、さらに約160万件については、運転免許証画像などの本人確認書類の漏えいも確認されています。
今回の件について調べていくと、私が普段何気なく利用しているWebサイトや、その裏側にあるシステムについて、改めて考えさせられる事例だと感じました。
もちろん、今回の不正アクセスの原因が「古い技術だったから」と決まったわけではありません。
しかし、今回の事例をきっかけに、
「自社のWebサイトやシステムは、本当に現在の環境に合わせて安全に管理されているだろうか？」
という点は、一度確認しておく必要があるのではないでしょうか。
今回は、専門的な話をできるだけ避けながら、皆様にも知っておいていただきたいポイントをまとめました。
■私が気になったこと
気になるのは「古い技術」が残っていたこと今回、Webサイトを確認すると、公開されているHTMLから、古いWeb技術の痕跡が確認された事がわかりました。
＜確認ポイント＞
古いバージョンのjQuery
Seasar / Teeda系の技術
古いInternet Explorer向けの処理
html5shiv
その他、過去のブラウザを想定した処理
などです。
＜重要＞
その中でもjQueryについては、「jQuery 1.2.6」が確認されています。
jQuery 1.2.6が公開されたのは2008年5月です。2026年から見ると、約18年前のバージョンになります。
ただし、「古いjQueryを使っている＝不正アクセスされる」という意味ではありません。
古いライブラリが使われていても、その周辺のシステムやサーバー、アクセス制御などが適切に管理されていれば、運用できるケースはあります。
問題は、「古い技術が残っていること」そのものより、古い技術を含むシステム全体を現在のセキュリティ環境に合わせて管理できているかという点です。
「サポート終了」の技術は特に注意が必要
もう一つ気になるポイントが、「Seasar2」です。
Seasar2は、2000年代に日本で広く利用されたJava系のWebシステム開発技術です。
Seasarプロジェクトでは、対象となる多くのプロダクトについて、2016年9月26日をもってEOL（End of Life）となり、メンテナンス・サポートが終了しています。
サポート終了から約10年が経過しています。
サポート終了後も、システム自体が正常に動作することはあります。
危険なのは、「問題なく動いているから、そのまま使い続けてしまう」ということです。
「自社のWebサイトやシステムは大丈夫だろうか？」と確認するきっかけにすることが重要です。
Webサイト・システムはいつ作られたか？Webサイトを見ただけでは、システムの年齢は分かりません。
「見た目は新しいけれど、裏側のシステムは10年以上前」というケースもあります。
例えば、PHP、WordPress、JavaScript、jQuery、各種CMS、Webフレームワークなどは古くないか？
などが、現在もサポートされているバージョンなのかを確認します。
■サポート終了した技術を使っていないか？
「今も正常に動いているから問題ない」ではなく、
「今後、問題が発生したときに修正できる環境なのか？」
という視点で確認します。
■個人情報を必要以上に保存していないか？
顧客情報、問い合わせ情報、申込情報、本人確認書類など、「何を、どこに、どれくらいの期間保存しているのか」を整理してみることが重要です。
■アクセス権限は適切か？
万が一システムの一部に侵入された場合でも、「すべての個人情報にアクセスできる状態になっていないか？」
を確認します。システムを複数に分けたり、アクセスできる人・システムを制限したりすることで、被害を小さくできる可能性があります。
■セキュリティ診断を実施しているか？
WebサイトやWebシステムについて、
脆弱性診断
不正アクセス対策
ログ監視
アクセス制御
サーバー・OS・ミドルウェアの更新
などが適切に行われているか確認します。
■「システムの管理者」が明確になっているか？
意外と重要なのがここです。
「昔作ったWebシステムだけど、誰が管理しているのか分からない」
「制作会社に任せているが、何の技術を使っているのか分からない」
という状態は、決して珍しくありません。
重要なのは、「何か問題が起きたとき、誰が判断して、誰が対応するのか」が明確になっていることです。
攻撃者から見れば、Webサイトやサーバー、メール、管理画面など、インターネットにつながっているシステムはすべて攻撃対象になり得ます。
会社の規模に関係なく、
古いサーバー
古いCMS
サポート終了したプログラム
更新されていないWordPress
不要になった管理画面
古いアカウント
必要以上に強いアクセス権限
長期間保存された個人情報
などが残っていないか一度確認することが重要です。
今回の問題を、「古いシステムを使っていたから」だけで終わらせるのは少し危険です。
私が感じているのは、古いシステムを使い続けるのであれば、そのリスクを把握・管理できていたのか
ということを感じております。
すべの企業様・機関様にお伝えしたいことは、
システムは適切に更新されているか
サポート終了した技術を使っていないか
個人情報を必要以上に保存していないか
アクセス権限は適切か
セキュリティ診断を行っているか
不正アクセスを検知できる仕組みがあるか
問題が発生したときの対応体制があるか
こうした「管理の仕組み」まで含めて考える必要があります。
一度、自社のWebサイト・Webシステムを確認してみてはいかがでしょうか。
「特に問題はないだろう」と思っている今だからこそ、確認しておくことに意味があります。
今回の事例を、企業のWebサイトやシステムを見直す一つのきっかけとしていただければと思います。