タイムズカー漏えいに学ぶ：古いフレームワークを使い続けるリスク
こんにちは！システムデザインワークスの渡辺です。
2026年9月、カーシェアリング「タイムズカー」を運営するパーク24株式会社から、不正アクセスにより約660万件のアカウント情報が漏えいしたと発表されました。
運転免許証などの本人確認書類画像も約160万件が含まれ、しかも対象は現会員だけでなく退会済みの方や、入会手続きを完了しなかった方まで含まれています。「10年前に一度登録しただけ」という人の免許証画像が、今回の対象になり得るということです。
かくいう私も、対象者でした。
※本メールは、タイムズカー法人会員様のうち、本人確認書類情報の漏えいが確認された方へお送りしております。
平素よりタイムズカーをご利用いただき、誠にありがとうございます。
このメール、私のところにも届きました。法人会員として登録していた私の本人確認書類も、漏えいが確認された約160万件のなかに含まれていた、ということです。
ですからこの連載は、他人事として書いているわけではありません。当事者の一人として、今回の事件の背景にあると考えられる構造が、多くの企業のシステムにも同じように潜んでいる、ということをお伝えしたいと思います。
先に結論を書きます。侵入経路や原因は、2026年10月2日時点で公表されていません。ただ、公開HTMLには 2016年にサポートが終了した国産フレームワークの痕跡 が残っていました。それが原因かどうかは分かりません。しかし「サポート終了したフレームワークの上で、個人情報を扱うWebサービスを動かし続ける」という状態そのものが、現在の攻撃環境では見過ごせないリスクです。第1回では、その「状態」を事実と推測に分けて整理します。
なお、本連載は2026年10月2日時点の公開情報に基づいています。被害に遭われた方には心よりお見舞い申し上げます。本連載はパーク24社を批判する目的ではなく、同じ構造を持つ多くの企業システムが明日の当事者になり得る、という問題意識で書いています。
この連載はこんな方に向けて書いています
会員情報や顧客情報を扱うWebサービス・業務システムを運営している経営者、情報システム担当の方
「うちのシステム、何で動いているか正直分からない」と感じている方
自社サイトやシステムのセキュリティを、何から点検すればよいか知りたい方
技術用語は本文で一言ずつ補足します。エンジニアでない方にも読めるように書いています。
タイムズカー漏えいに学ぶ（全3回）
第1回：古いフレームワークを使い続けるリスク（本記事）
タイムズカー不正アクセス事件で何が起きたのか（2026年10月2日時点）
パーク24社の公式発表（第1報〜第3報）から、確認されている事実を時系列で整理します。
日時 | 出来事 |
|---|---|
2026年9月25日 9時07分 | タイムズカーWebシステムへの外部からの不正アクセスを検知 |
2026年9月26日 7時25分 | 不正アクセス経路の遮断と、攻撃元との通信遮断を確認（検知から約22時間後） |
2026年9月28日 | 第2報。約660万アカウントの情報漏えいを公表 |
2026年9月29日 | 第3報。本人確認書類画像の漏えいが約160万件と公表。対象者への個別通知を開始 |
2026年10月2日時点 | 侵入経路・原因・いつから侵入されていたか・再発防止策は未公表。「2週間程度を目処に改めて案内」とされている |
漏えいした情報は、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報・本人確認書類画像（運転免許証、現住所確認書類、学生証など）・パスワード（復元できない形式）・連携サービスのIDなどです。クレジットカード情報は含まれていないと発表されています。
注目すべきは対象範囲です。第2報には「入会を申し込まれたものの、何らかの事由により入会完了されていない方も含みます」と明記されており、退会済み会員も対象です。退会者のデータが残っていた理由について、パーク24広報は報道各社に対し「法人税法に基づく保管期間として保有している」と説明しています（保管期間は約7年と報じられています）。
社会的な影響も大きく、集団訴訟への参加意向の登録は10月1日夜時点で3,000人弱に達したと報じられ、免許証の再交付や信用情報機関の本人申告の申し込みが集中しました。
ここまでが「事実」です。ここから先は、推測を含みます。
原因は未公表。公開HTMLに残っていた「2016年にサポートが終了したフレームワーク」の痕跡
繰り返しになりますが、侵入経路や原因はパーク24社から公表されていません。 以下はエンジニアコミュニティで広がった観察と推測であり、「これが原因だ」と断定できる根拠はありません。
2026年9月29日、複数のエンジニアがX（旧Twitter）で、タイムズカーのマイページ画面のHTMLソースに次のような記述が残っていたことを指摘しました。
1<script src="/view/teedaExtension/org/seasar/teeda/ajax/js/ajax.js?20201217"></script>
Teeda（ティーダ）とは、国産のJavaフレームワーク「Seasar2」の上で動く、JSF（JavaServer Faces）ベースのWebアプリケーションフレームワークです。 そして Seasar2 とは、2000年代後半に日本の業務システムや大規模会員サイトで広く採用された、国産のオープンソースJavaフレームワークです。
問題は、その保守状況です。
Seasar プロジェクトは、公式サイトで 2016年9月26日をもって大半のプロダクトのメンテナンス・サポートを終了（EOL） したと告知しています
Teeda の最終リリースは バージョン 1.0.13-sp11、2011年9月19日 です
EOL（End of Life）とは、ソフトウェアの開発元がバグ修正やセキュリティ修正の提供を終了した状態のことです。 EOL 後に見つかった脆弱性は、誰も直してくれません。利用者側で自力でパッチを当てるか、乗り換えるしかなくなります。
一方で、「10年間放置されていた」と単純化するのは正確ではありません。スクリプトの末尾にある ?20201217 という文字列は、キャッシュ更新用に付けられた日付と考えられ、少なくとも2020年12月までフロントエンドは更新・デプロイされていたことがうかがえます。つまり正確には「EOLを迎えたフレームワークの上で、運用と改修は継続されていた」という状況だったと推測されます。これは、日本中の業務システムで珍しくない姿です。
なお、HTMLの痕跡を最初に報告したQiitaの記事の筆者自身も「確実にタイムズの実装上の欠陥である、というものではない」と明記しています。専門家の間では、(1) 非同期リクエストの認可不備、(2) SQLインジェクション、(3) サーバーや基盤そのものの奪取・認証情報の窃取、といったシナリオが挙げられていますが、いずれも検証はできません。退会者や入会未完了者といった「画面に表示されないはずのデータ」まで、画像を含めて大量に流出していることを考えると、弊社としてはアプリケーションの画面経由ではなく、より低いレイヤーで広範にデータが読み出された可能性も十分あると見ています。ただし、これも推測です。
「サポート終了したフレームワークで動いている」とはどういう状態か
ここで一度、タイムズカーから離れて一般論にします。「EOLフレームワークの上でWebサービスが動いている」とは、具体的には次のような状態です。
新しく見つかった脆弱性が、永久に直らない。 開発元が修正を出さないので、自分で直すしかない。しかし自分で直せる人は、たいていもういない
周辺もまとめて古くなる。 古いフレームワークは古い Java や古いライブラリでしか動かないことが多く、「フレームワークだけ古い」では済まず、OS・ミドルウェアまで更新できなくなる
「触ると壊れる」ので誰も触らなくなる。 改修は表面的な機能追加に限られ、土台の更新は後回しになり続ける
外からは丸見え。 HTMLソースやHTTPレスポンスに、フレームワーク固有のパスや文字列が残る。何で動いているかは、ブラウザの「ソースを表示」で誰でも分かる
最後の点が、次回のテーマにつながります。「古いフレームワークは危ない」は昔から言われてきたことですが、2024年以降、攻撃側の事情が大きく変わりました。 AIによって、公開されたコードの脆弱性を見つける作業と、そのフレームワークを使っているサイトを探す作業の両方が自動化されたのです。「うちは小さい会社だから狙われない」が成立しなくなった理由を、第2回で説明します。
まとめ
タイムズカーの事件は、2026年10月2日時点で原因が公表されていません。公開HTMLに2016年にサポート終了した Seasar2/Teeda の痕跡が残っていたことは事実ですが、それが原因だと断定はできません
対象は退会済み会員・入会未完了者を含む約660万件で、本人確認書類画像も約160万件。退会者のデータは約7年保持されていました
EOL（サポート終了）とは、見つかった脆弱性を誰も直してくれない状態です。 その上で運用と改修を続けるシステムは、日本中に珍しくありません
次回は、AIが攻撃側の何を変えたのか、なぜ「小さい会社だから狙われない」が成立しなくなったのかを整理します
よくある質問
- タイムズカーの漏えいの原因は Seasar2 や Teeda の脆弱性なのですか？
- 2026年10月2日時点で、パーク24社は侵入経路や原因を公表していません。公開HTMLに Teeda の痕跡が残っていたことは複数のエンジニアが確認していますが、それが侵入に使われた証拠はなく、あくまで推測の域を出ません。本連載でも「EOL フレームワークを使い続けるリスク」は一般論として述べており、今回の原因と断定しているわけではありません。
- 何年も前に退会したのに、なぜ自分の情報が漏えい対象に含まれるのですか？
- パーク24社は退会者のデータを「法人税法に基づく保管期間として保有している」と説明しており、保管期間は約7年と報じられています。法令上の保管義務があるために、退会後もデータが本番システムに残っていたと見られます。ただし、保管義務があることと、オンラインの本番システムに置き続けることは別の問題です。この点は第2回で設計上の論点として扱います。
- 自社のシステムが「サポート終了したフレームワーク」で動いているか、どうすれば分かりますか？
- 開発ベンダーに「使用しているフレームワーク・ライブラリの一覧と、それぞれのサポート状況」を書面で出してもらうのが確実です。あわせて、ブラウザでサイトのHTMLソースを見て、フレームワーク名やバージョンが露出していないかを確認します。一覧が出てこない場合は、それ自体がリスクのサインです。具体的な点検項目は第3回でまとめます。
ご相談お待ちしております。
「うちのシステム、何のフレームワークで動いているのか正直分からない」「作ったベンダーがもういない」——今回の事件をきっかけに、そんな不安を感じた方も多いのではないでしょうか。それは珍しいことではなく、多くの企業に共通する状態です。
栃木県でシステム開発・アプリ開発・Web サイト制作の会社をお探しの方、既存のWebサービスや業務システムの現状把握、サポート終了したフレームワークからの移行をご検討中の方へ。 システムデザインワークスでは、使用技術の棚卸しから設計の見直し、移行・運用まで一貫してサポートしております。「まず何から点検すればいいか」というご相談からで構いません。お気軽にお問い合わせフォームよりご連絡ください。
参考（一次情報・2026年10月2日時点）: