S個人情報流出のおそれ暫定評価

リクルート／カーセンサーnet・C-MATCH事案の概要と評価

記事更新 2026/10/21

カーセンサーnetとC-MATCHへの不正アクセスにより、問い合わせ・販売店等の個人情報最大3,709,551件が漏えいした可能性があります。ログインパスワードは対象外です。

事案の概要

リクルートは2026年10月21日、「カーセンサーnet」と販売店向け業務支援サービス「C-MATCH」への不正アクセスと、個人情報が漏えいした可能性を公表しました。10月17日に検知し、同日17時に関連サービスを停止、20日に対象範囲を特定したとしています。

共同通信の10月21日の報道によると、同サービスを利用する日産自動車と三菱自動車も中古車検索サイトを停止し、マツダは車両情報の更新を停止しています。

対象は最大3,709,551件です。内訳は問い合わせ情報3,210,421件、口コミ投稿情報5,289件、販売店情報483,168件、従業者・元従業者・契約社員・代理店等の情報10,673件です。件数は個人の実人数を示すものではありません。

問い合わせ情報には氏名・住所が含まれます。うち33,247件では問い合わせ内容・年代・性別、799件では問い合わせ内容・電話番号・FAX番号・メールアドレスも対象です。住所は原則として市区町村までですが、最大447,670件は番地や建物名等を含むとしています。

販売店情報には担当者名・連絡先・古物商許可に関する情報・ログインID等があり、個人事業主では事業所所在地や電話・FAX、口座振替に関する銀行口座情報等も含まれます。口コミと従業者等の情報は、それぞれ氏名や一部のメールアドレス等が対象です。

クレジットカード情報等の決済情報やログインパスワードは含まれないとしています。ただし、販売店情報の口座振替情報は別途対象に挙げられています。10月21日時点で二次被害は確認されておらず、対象者への連絡を進め、不審な連絡への注意を呼びかけています。

S3：氏名と住所を含む問い合わせ情報3,210,421件の流出可能性を条件付きで規模下限に適用。全体3,709,551件は延べ情報件数で人数に換算しない。停止は関連する車情報サービスで、複数社の主要業務全体の停止や共通管理権限は未確認。H1・H2・O-H・X1の根拠はなくS暫定。

Sの評価基準
深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。