リクルートの「カーセンサー」に不正アクセス、最大約371万件が漏えいの可能性

2026/10/22 07:43 情報収集中深刻情報通信・IT #不正アクセス

項目	内容
発生・公表日	検知: 2026年10月17日 / 件数把握: 2026年10月20日 / 公表: 2026年10月21日
対象組織・業界	株式会社リクルート（東京都千代田区） / 情報サービス
対象サービス	中古車情報サイト「カーセンサーnet」（アプリ版を含む） / 販売店向け業務支援サービス「C-MATCH」
影響件数	最大3,709,551件（漏えいした可能性）
攻撃手法	第三者による不正アクセス（詳細は調査中）
情報源	リクルート公式（2026年10月21日）

概要

リクルートは2026年10月21日、2つのサービスへの不正アクセスを公表しました。対象は中古車情報サイト「カーセンサーnet」と、販売店向けの「C-MATCH」です。個人情報が最大3,709,551件漏えいした可能性があります。

対象者と主な項目は次のとおりです。

販売店に問い合わせた利用者 3,210,421件: 氏名・住所など
口コミを投稿した利用者 5,289件: 氏名など
C-MATCHに登録する販売店 483,168件: 担当者の氏名・電話番号・ログインIDなど
従業員や業務委託先などの関係者 10,673件: 氏名・メールアドレス・ログインID

利用者の住所は、原則として市区町村名までです。番地などまで含む可能性があるものは、最大447,670件です。販売店が個人事業主の場合は、住所や引落口座情報も含まれます。

クレジットカードなどの決済情報とログインパスワードは含まれていません。同社は、10月21日時点で二次被害は確認されていないと説明しています。侵入経路と不正アクセスの期間は公表されていません。

経緯

2026年10月17日（土）: 関連システムへの外部からの不審なアクセスを検知
同日17時ごろ: 関連する全サービスを一時停止
2026年10月20日: 漏えいした可能性のある項目と件数の最大値を把握
2026年10月21日: 公表。個人情報保護委員会へは速報済み。対象者へ順次個別に連絡し、問い合わせ窓口を設置

対策

本件の侵入経路は公表されていないため、以下は漏えいした情報への対策です。販売店と関係者の分では、ログインIDが氏名やメールアドレスと組で漏えいした可能性があります。パスワードの再設定を装ってログイン画面に誘導されても、正規のIDが書かれていれば見分けにくくなります。

そこで、C-MATCHや社内向けのシステムには、メールやSMSのリンクからログインしない運用を販売店と委託先に周知します。ブックマークか公式サイトから入る手順に限れば、偽の画面でパスワードを入力する事態を避けられます。

ヤグラの視点 — 止める判断を誰が下すか

本件では、検知が土曜日で、全サービスの停止は同日の夕方でした。C-MATCHは販売店の業務を支えるサービスで、止める判断は取引先の業務にも及びます。休日に検知したとき、その判断を誰が下せるかは、平常時に決めておく必要があります。

そこで、どの異常なら止めるかを担当者と経営者の間で書き出しておきます。判断する人と連絡の順番も併せて決めます。判断に要る材料は、どのシステムで何が起きているかを示すログです。ログを横断して一次調査を進め、判断材料をそろえるまでの時間を縮める道具の一つが、ヤグラ AI SOCです。（→ ヤグラ AI SOC）

今後の対応

侵入経路と不正アクセスの期間
漏えいの確定件数
各サービスの再開時期
同社を装うメール・SMS・電話の発生有無

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-10-22	第一報を公開