パーク２４、情報漏えいで特損55億円計上へ　純利益予想12.5％減

パーク２４（4666）は2026年10月31日までの四半期に55億円の特別損失を計上する見込みとし、親会社株主に帰属する当期純利益予想を440億円から12.5％減の385億円に引き下げた。業績予想の修正発表によると、特別損失にはタイムズカーの情報漏えいを受けた顧客へのお見舞金やその他の対応費用を含む。これまでの経緯についてはTokyo Briefの過去記事を参照。

業績予想の修正内容

修正は最終利益にとどまる。売上高（4110億円）、営業利益（425億円）、経常利益（395億円）の予想は6月15日時点の発表から据え置き、1株あたり65円の年間配当予想も維持した。1株あたり当期純利益の予想は257円76銭から225円54銭に低下する。参考値として示された2025年10月期の純利益実績は159億円だった。

同社は特別損失をお見舞金と「諸対応費用」のためとしているが、発表文では55億円の内訳は示されていない。営業利益予想の据え置きは現時点の見通しであり、今後の費用の上限を示すものではない。同社は利用動向と業績への影響を引き続き注視するとしている。

フォレンジック調査の結果

パーク２４は同日公表した別の開示資料で、外部専門機関によるフォレンジック調査が完了したと発表した。調査の結果、タイムズカーのWebシステムにあった脆弱性が悪用されたと判断した。攻撃者はシステムに侵入して内部を検索し、取得した情報を利用してデータベースやファイル領域に到達していた。同社は二次被害防止のため技術的な詳細の公表を控えた。

発表ではアクセスと外部送信を区別している。本人確認書類の画像データのうち、暗号化された146万4800件でアクセスと外部送信の双方の痕跡が確認された。さらに89万1602件で外部送信の痕跡はないもののアクセスが確認され、合計は235万6402件となった。同社はこれまで約160万件の画像データに漏えいのおそれがあると説明していた。これとは別に、662万8007件のアカウントで氏名、住所、生年月日、運転免許情報などのデータがアクセスされ、外部に送信された。

画像データは暗号化されていたため、外部送信が確認されても直ちに内容を閲覧できるわけではない。ただパーク２４は、将来的に復号される可能性を完全には否定できないとしている。同社が把握する限り、漏えいした情報が売買・公開された事実は確認されておらず、ダークウェブを含む情報流通の監視を続けている。

お見舞金と利用動向

暗号化された本人確認書類画像データへのアクセスと外部送信の双方が確認された顧客には、お見舞いとして3000円相当の現金または金券を支払う。パーク２４によると、支給の内容と方法は現在検討中という。

同社は本人確認書類の取り扱いも変更した。従来は会員期間中および退会後7年間、画像を保有していたが、今後は登録確認の完了後に削除し、現在保有する画像データもすべて2026年10月末までに削除する。社外取締役を中心とし外部専門家を加えた調査委員会が、グループの内部統制とガバナンスを検証する。パーク２４は年末ごろに情報セキュリティとガバナンスの強化策を公表する予定だ。

営業面での焦点はモビリティ事業だ。パーク２４によると、事案の公表直後は会員数の推移に一定の影響がみられたものの、1日あたりの売上高は発生前の水準を維持している。同社は会員数の具体的な数値を公表しておらず、引き続き利用動向や業績への影響を注視するとしている。