カーセンサーnet・C-MATCHの最大370万9,551件。317万6,375件は氏名と住所の組み合わせで、電話番号やメールアドレスまで含むのは799件

2026年10月28日

この記事のポイント

いつ：10月17日に不審なアクセスを検知し、10月21日にリクルートが公表。報道によれば、22日にカーセンサーとC-MATCHは再開された
何が：漏えいの可能性があるのは最大3,709,551件。確定した流出件数ではなく上限値
誰に：問い合わせ利用者3,210,421件、口コミ投稿者5,289件、C-MATCH登録販売店483,168件、従業員・委託先・代理店の関係者10,673件の4区分
なぜ重要：317万6,375件は氏名と住所の組み合わせで、電話番号やメールアドレスなどを含むのは799件。ログインパスワードと決済情報は含まれないと説明されている
読者がすべきこと：利用者はリクルートからの個別連絡か、公表による案内と専用の問い合わせ窓口だけを確認先にする。販売店はログインIDが既知である前提で、パスワードの使い回しを確認する
確認の範囲：リクルートの公表ページの本文は編集部で確認できていないため、項目や件数の細部は報道に基づき、「報道によれば」と書き分ける。侵入経路・原因は調査中

自分がどの区分かで、出たとされる項目が違う。利用者は氏名と住所、販売店と関係者はログインIDまで

リクルートは10月21日、カーセンサーnetとC-MATCHへの不正アクセスに伴う個人情報漏えいについて、お詫びとお知らせを公表しました。漏えいの可能性があるのは最大3,709,551件で、ITmediaやCar Watchなど複数の媒体が同じ数字を伝えています。「最大」は上限値であり、実際に流出した件数が確定したわけではありません。

内訳は次の4区分です。3,210,421＋5,289＋483,168＋10,673の合計は、公表された上限の3,709,551件と一致します。報道の数字は、本記事では「件」で統一します。

区分	件数	含まれるとされる主な項目（報道）
カーセンサーnetで中古車販売店に問い合わせた利用者	3,210,421件	氏名と住所の組み合わせ、問い合わせ内容など（詳細は次節）
カーセンサーnetの口コミ投稿者	5,289件	項目は確認できていない
C-MATCH登録の中古車販売店	483,168件	代表者・担当者の氏名や電話番号、古物商の許認可番号、ログインID
従業員・委託先・代理店の関係者	10,673件	氏名、メールアドレス、ログインID

区分ごとの件数はASCIIの報道を基にしています。まず自分がどの区分に入りうるかを確認してください。

ただし、いつからいつまでの問い合わせ・登録が対象なのかは確認できていません。自分が対象かを自力で確かめる手段も見当たらず、リクルートからの個別連絡と、公表による案内を待つことになります。

問い合わせ利用者は3区分に分かれる。33,247件には問い合わせ内容と年代・性別が含まれるとされる

問い合わせ利用者の3,210,421件は、さらに3つに分かれると報じられています。氏名と住所の組み合わせが3,176,375件、問い合わせ内容・年代・性別を含むものが33,247件、電話番号やメールアドレスなどを含むものが799件です。合計は3,210,421件で一致します。

つまり、氏名と住所が出た側と、連絡先まで出た側では母数が桁違いです。ただし、799件だから安全とは言えません。住所が分かるだけでも、郵送物を装った連絡の材料にはなりえます。

ログインパスワードとクレジットカード等の決済情報は含まれないと説明されています。公表時点の10月21日で、漏えい情報を悪用した二次被害は確認されていないとも報じられています。

事業者側は販売店483,168件と関係者10,673件の計493,841件。どちらにもログインIDが含まれるとされる

C-MATCHは、中古車販売店が登録して使うサービスです。事業者側の件数は、登録販売店の483,168件と、従業員・委託先・代理店の関係者10,673件を足した493,841件で、全体の約13%にあたります。報道によれば、登録販売店の483,168件には、代表者・担当者の氏名や電話番号、古物商の許認可番号（中古品の売買に必要な許可の番号）、ログインIDが含まれます。パスワードは含まれないと説明されています。

個人事業主の場合は事業所の住所や引落口座情報も含まれる、とASCIIは報じています。この点は単一媒体の記述で、公式本文では確認できていません。該当しうる個人事業主は、引落口座の入出金明細に身に覚えのない動きがないかを見ておくのが現実的です。

従業員・委託先・代理店の関係者10,673件は、氏名・メールアドレス・ログインIDです。ただし、これが誰の従業員・代理店で、どのシステムのログインIDなのかは確認できていません。

一般論として、担当者名・電話番号・許認可番号・ログインIDがそろうと、取引先や運営元を装った連絡の材料になりえます。

日産・三菱の公式中古車サイトも10月17日から止まった。使ったのはメーカーのサイトでも、運営はリクルートのシステムに委託されていた

共同通信の報道によれば、リクルートのシステムに運営を委託していた日産自動車と三菱自動車は、公式の中古車検索サイトを10月17日から一時停止しました。メーカーのサイトを使ったつもりでも、裏側は別会社のシステムだったことになります。

マツダも中古車の情報更新を停止し、売約済みの車が掲載されている可能性があるとTBS NEWS DIGが報じていますが、単一媒体の報道です。

確認できているのは、日産と三菱の公式サイトが10月17日から止まったという報道までです。確認できていないのは、各社サイトの再開状況と、各社経由の問い合わせが今回の対象に含まれるかです。原因・侵入経路も未公表のため、委託先の障害が波及したと断定することもできません。メーカーの公式サイト経由で問い合わせた覚えがある人は、各社の公式告知を見てください。

委託先を経由して個人情報が出た別の事例は、ユミルリンクのCuenote FCの件でも扱いました。

検知から再開まで5日、戻っていないのは来店予約など一部機能

確度の高い時系列は次のとおりです。

10月17日：不審なアクセスを検知。報道によれば、同日17時頃から関連サービスを一時停止
10月21日：リクルートが公表
10月22日：報道によれば、安全性を確認できたとしてカーセンサーとC-MATCHを再開。来店予約など一部機能の休止は続き、完全復旧の時期は未定

公式の対応方針として、個人情報保護委員会（個人情報保護法を所管する国の機関）へ速報済みとされています。対象者には順次個別に連絡し、連絡できない場合は公表による案内と専用の問い合わせ窓口で対応する方針です。実施状況は未確認です。

10月27日時点で分かっていない点は、次のように性質が分かれます。

公表されていない：侵入経路・原因（調査中とされている）
未定と報じられている：完全復旧の時期
編集部が確認できていない：対象となる問い合わせ・登録の期間、個別通知の開始時期と進み具合

項目の正確な名称と件数の単位は、リクルートの公表ページで確認してください。

届いた連絡は、差出人の名前ではなく案内の出どころで判断する

一般利用者が確認先にするのは、リクルートからの個別連絡と、公表による案内および専用の問い合わせ窓口の2つです。窓口の具体的な名称や入口は確認できていません。それ以外の経路で届いた案内は、差出人の見た目が本物らしくても、そのまま開かないでください。漏えい公表後は、防災メールと同じドメインから偽メールが届いたアルカディアの事例のように、送信元の見た目が手がかりにならない例もあります。

窓口を名乗る電話やメールが届いても、リクルートの公表ページに載っていない連絡先は使わないでください。氏名と住所が出たとされる区分に当てはまる人は、郵送物や電話で来る案内も同じように扱うのが安全です。

C-MATCHに登録のある販売店は、ログインIDが既知であるとの前提で動くことを勧めます。一般論として、ログインIDが知られると、別のサービスで同じIDと推測したパスワードを試されやすくなるためです。同じIDとパスワードの組み合わせを他のサービスで使っていないかを確認してください。使い回しがあれば、そちらのパスワードを見直し、不審なログイン通知にも注意します。メールアドレスが含まれるとされる関係者も、取引先や運営元を名乗る連絡には同じ注意が要ります。

メールに貼られたリンクから設定やパスワードを変えるような、公式の案内にない操作はしないでください。続報が出たら、リクルートの公表ページを基準に確認してください。