チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「レンタカーのアプリに免許証を登録しているけど、大丈夫なんでしゅか？」
「人数が少ないなら、気にしなくていいんでしゅか？」
チップスボス！ニッポンレンタカーのアプリにも不正アクセスがあったって聞いたでしゅ！
ボス2026年9月26日に会員41人分の情報が閲覧されたおそれがあると公表した。さらに10月1日に、別の手法による不正アクセスで55人分が見つかった。
チップス41人と55人でしゅか。数は少ないでしゅね
ボス数だけ見て安心するのは早い。免許証番号や住所、生年月日まで見られたおそれがある。しかも手口の違う攻撃が2つ重なっていた。
カーシェアやレンタカーのアプリには、本人確認のために免許証の情報が登録されています。
この記事では、2回の公表で分かったことと、利用者と事業者が気をつけたい点を整理します。
免許証の情報が狙われる理由と、利用者が今すぐできる対策がわかります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
同じアプリに対して、手口の異なる2つの不正アクセスが確認されました。
ニッポンレンタカーサービスは2026年9月26日、アプリのシステムが第三者の不正アクセスを受けたと公表しました。
その後の調査で、最初の件とは異なる手法による別の不正アクセスが見つかり、10月1日に追加で公表しています。
2回の公表の内容は以下の通りです。
| 項目 | 第1報（9月26日） | 第2報（10月1日） |
|---|---|---|
| 対象の会員 | 41人 | 55人 |
| 攻撃の時期 | 公表されていない | 9月19日から21日 |
| 判明の経緯 | 公表されていない | 9月29日、第1報の調査の中で確認 |
| 手口 | 公表されていない | 第1報とは異なる手法 |
対象の会員について閲覧されたおそれがあるのは、氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報です。
運転免許証やクレジットカードを登録していた会員は、免許証番号、住所、生年月日、カード番号の下4桁、名義人名も対象になります。
同社は対象の会員にメールで個別に連絡し、個人情報保護委員会への報告と警察への相談を行いました。
第2報の時点で、二次被害は確認されていません。
チップスメールが来ていない人は、大丈夫なんでしゅか？
ボス同社は、案内メールが届いていない会員について、現時点で閲覧のおそれは確認していないと説明している。ただ、調査は続いているから続報には注意だ。
侵入の手口は公表されていませんが、免許証の情報を扱うサービスに共通する課題が見えます。
運転免許証の番号と住所、生年月日がそろうと、なりすましに使われるおそれがあります。
9月下旬には、カーシェアサービス「タイムズカー」でも大規模な不正アクセスが公表されたばかりです。
本人確認の情報を預かるサービスは、攻撃者にとって狙う価値の高い場所です。
情報が悪用されたときに考えられる被害は以下の通りです。
ニッポンレンタカーは、メールやSMS、電話でパスワードやクレジットカード情報を尋ねることはないとしています。
不審な連絡に記載されたURLは開かず、個人情報も入力しないよう呼びかけています。
利用者と事業者が取り組みたい対策は以下の通りです。
チップス最初の件を調べていたら、別の攻撃が見つかったんでしゅね
ボスそこは評価できる点だ。ひとつ見つけて終わりにせず、周りまで調べたから気づけたんだ。
ニッポンレンタカーアプリでは、手口の異なる2つの不正アクセスにより、第1報で41人、第2報で55人の会員の情報が閲覧されたおそれがあります。
登録内容によっては、運転免許証の番号や住所、生年月日、カード番号の下4桁も対象です。
利用者はパスワードを見直し、予約内容を知っているような連絡でも公式の窓口で確かめるようにしましょう。
ボス本人確認の情報は、一度漏れたら取り替えがきかない。預かる側も預ける側も、そのつもりで扱うことだ。
チップスアプリのパスワードをすぐ変えましゅ！
（出典：ニッポンレンタカー「NRアプリへの不正アクセスによる会員情報漏えいに関するお詫びとお知らせ」／ニッポンレンタカー「NRアプリへの不正アクセスによる会員情報漏えいに関するお詫びとお知らせ（第2報）」／Impress Watch）
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
