漏えいの後始末55億円、データを持つコスト

2026年10月24日

当ページのリンクには広告が含まれています。

情報漏えいの対応費用55億円を特別損失に計上し、最終利益の見通しを下方修正する──。2026年10月に毎日新聞が報じた、カーシェアリング「タイムズカー」を運営するパーク24の対応です。漏えいの「後始末」が、決算の数字としてはっきり見えた事例だと感じます。コーポレート実務に携わってきた立場から、その意味を読み解きます。

何が起きたのか──662万件の漏えいと、146万件の画像

パーク24は9月25日に不正アクセスの可能性を確認し、影響を受けたシステムの隔離とあわせて、外部の専門機関に調査を委託していました。10月23日に公表された調査結果によれば、タイムズカーでは氏名や住所、メールアドレス、運転免許情報など662万8007件の情報漏えいが確認されました。ポイントサービス「タイムズクラブ」でも15万4991件の漏えいが新たに確認されています。

このうち、運転免許証などの本人確認書類の画像データの漏えいが確認されたのは約146万件です。会社は、該当する利用者に3000円相当の見舞金を支払うとしました。現時点で、漏えいした情報が売買・公表された事実は確認されていないと説明しています。

パーク24の公表内容（10月23日）

タイムズカーの漏えい：662万8007件（氏名・住所・メールアドレス・運転免許情報など）
うち本人確認書類の画像：約146万件 → 1人3000円相当の見舞金
対応費用：見舞金約44億円を含む55億円を、2026年10月期の特別損失に計上
最終利益の見通し：440億円 → 385億円
今後：社外取締役を中心とする調査委員会を設置、年内をめどに強化策を公表
＝漏えいの対応費用が、最終利益の1割強を押し下げた。

約1か月で費用を見積もり、決算に織り込んだ

コーポレート実務の立場から見ると、不正アクセスの確認から約1か月で費用を見積もり、特別損失と業績予想の修正として開示した点は、市場への説明として筋の通った対応だと思います。パーク24は10月決算なので、期末を目前にした判断でもあります。

見舞金は「約146万件×3000円」でおよそ44億円になります。残る約11億円の内訳は報道では示されていませんが、外部の専門機関による調査や問い合わせへの対応など、漏えいが起きたときにかかる費用は見舞金だけではありません。事故の直後は対応に追われるなか、経理・IRは「いくらかかるのか」「いつ、どう開示するのか」を並行して詰めることになります。

しかも、漏えい時にやるべきことは開示だけではありません。2022年4月に施行された改正個人情報保護法では、不正アクセスによる漏えいなど一定の事態が起きた場合、個人情報保護委員会への報告と本人への通知が義務になりました。報告は、事態を知ってから速やかに出す「速報」と、原則30日以内（不正の目的によるおそれがある場合は60日以内）に出す「確報」の二段構えです。調査、当局への報告、本人への通知、市場への開示、そして費用の見積もり。これらを同時に回す体制を、事故が起きる前に決めておけるかが問われます。

見舞金は「補償」ではない──集団訴訟という次の論点

ただ、見舞金は被害額の補償ではなく、会社が一律に決めた金額です。同じ日の毎日新聞によれば、被害者側の弁護士は見舞金が「低額過ぎる」として集団訴訟を起こす意向を示し、9月末に開設した専用サイトには約9万人が登録したといいます。

訴訟になれば、今回の55億円とは別の論点が出てきます。会計では、将来の損失の発生が見込まれ、その金額を合理的に見積もれる段階になれば引当金を計上し、そこまで至らない段階では偶発債務として注記で開示するかを検討することになります。見舞金は早く出せる一方、その金額の妥当性は後から問われ続けます。「払って終わり」にはならないことを、経営として織り込んでおく必要があります。

データは「持つこと」自体がコストになる

もう一つ、実務者として気になるのは「持つこと」のコストです。本人確認のために集めた画像を、確認が済んだ後どこまで、いつまで保管するのか。本人確認が欠かせないサービスでも、「確認した記録」と「画像そのもの」は分けて持てるはずです。

データは持っているだけで、漏えいしたときの見舞金、調査費用、訴訟リスクという形で、将来の負債になり得ます。集める時には「念のため」で済んでも、消す判断は誰もしたがらない。だからこそ、保管期間と削除のルールを決め、実際に消えているかを確かめる仕組みが要ります。情報漏えいについては、退職者による持ち出しを扱った「旭化成の事例」や、委託先の管理を扱った「大和証券の事例」でも取り上げました。入口の守りと同じくらい、「持たない」設計が重要だと感じます。