Uma nova carteira não apaga os dados vazados
Um ataque cibernético ao serviço Times Car, do Japão, expôs documentos de identidade em cerca de 1,6 milhão de registros de membros e levou a pedidos de segunda via de carteiras de motorista, embora a polícia alerte que a emissão de novos documentos oferece proteção limitada contra fraudes. A violação mais ampla afetou cerca de 6,6 milhões de contas de membros atuais e antigos, segundo informações da empresa citadas em reportagens.
Conteúdo
- Uma nova carteira não apaga os dados vazados
- Qual foi a dimensão da exposição?
- As datas por trás da resposta
- Por que aumentam os pedidos de segunda via
- O que muda de fato com a reemissão da carteira
- Por que pedem aos bancos que leiam os chips dos cartões
- Uma onda mais ampla de ataques, sem um responsável comum comprovado
- O que se sabe sobre os métodos de ataque?
- O que as pessoas afetadas devem observar
- Principais pontos
O problema imediato é o que uma segunda via não pode mudar. A emissão de uma nova carteira de motorista japonesa altera a foto e apenas o último dígito do número de 12 dígitos, que registra quantas vezes o documento foi reemitido. Nomes, endereços e datas de nascimento já copiados por criminosos continuam expostos, e empresas que verificam uma imagem roubada não têm meios confiáveis de saber se a carteira foi substituída.
A Agência Nacional de Polícia pede que instituições financeiras e outras empresas reforcem as verificações de identidade e orienta as pessoas a procurar a polícia prontamente caso suspeitem de uso indevido de seus dados. Separadamente, a Agência de Serviços Financeiros pediu às instituições, em 9 de outubro, que acelerem a substituição da verificação baseada em fotos de documentos de identidade enviadas pela internet pela leitura do chip eletrônico do próprio cartão.
Essa mudança já está prevista em regulamentos revisados que implementam a Lei de Prevenção à Transferência de Produtos de Crimes. A partir de 1º de abril de 2027, o envio de fotos de documentos de identidade deixará de ser um método aceito, conforme as regras aplicáveis à verificação de identidade sem contato presencial com o cliente. A leitura do chip passará a ser o padrão, com alternativas para quem não tiver documentos adequados ou smartphones.
Qual foi a dimensão da exposição?
A Times Car é operada por uma subsidiária da Park24 Co. O serviço detectou a invasão em 25 de setembro. As reportagens mencionam cerca de 6,6 milhões de contas afetadas ou registros vazados, incluindo aproximadamente 1,6 milhão que continham documentos de identidade, como imagens de carteiras de motorista.
Esses números descrevem partes diferentes da violação, não estimativas concorrentes do mesmo total. Com base nas quantidades de contas divulgadas, documentos de identidade estavam presentes em cerca de 24% dos registros afetados, ou quase um em cada quatro. Nenhum dos números representa uma contagem exata de pessoas distintas, e as investigações podem alterar os totais.
As informações expostas podem incluir nomes, endereços residenciais, datas de nascimento, números de telefone, endereços de e-mail e dados da carteira de motorista. Um usuário da Times Car na cidade de Fukuoka recebeu uma notificação que listava seu endereço, data de nascimento, número de telefone, endereço de e-mail e imagem da carteira entre os dados divulgados.
Ex-clientes também foram afetados. Segundo informações, seus dados haviam sido mantidos por cerca de sete anos, o que chamou a atenção para a continuidade do armazenamento de documentos confidenciais por empresas depois que sua finalidade original deixa de existir. A Comissão de Proteção de Informações Pessoais do Japão pediu às empresas que eliminem os dados pessoais de que não precisam mais.
As datas por trás da resposta
O esforço para reforçar as verificações de identidade decorre de uma mudança regulatória anterior à invasão da Times Car. A violação aumentou a pressão para que essa mudança seja implementada antes da data em que entrará em vigor.
- Junho de 2025: Foram promulgadas alterações nos regulamentos de verificação de identidade, que estabelecem o fim futuro dos métodos afetados baseados em imagens de documentos enviadas pela internet.
- 25 de setembro de 2026: A Times Car detectou a invasão.
- 29 de setembro: Um cliente afetado em Kanazawa recebeu um e-mail confirmando o vazamento de seus dados pessoais.
- 8 de outubro: O comissário da Agência Nacional de Polícia, Yoshinobu Kusunoki, falou sobre cibersegurança e prevenção a fraudes em uma coletiva de imprensa.
- 9 de outubro: A Agência de Serviços Financeiros pediu a adoção antecipada de verificações de identidade com leitura de chips dos cartões.
- 11 de outubro: Reportagens descreveram o aumento de consultas e pedidos de segunda via de carteiras de motorista em todo o Japão.
- 1º de abril de 2027: Está prevista a entrada em vigor das regras revisadas de verificação de identidade.
O pedido de 9 de outubro é um apelo para acelerar a implementação, não uma nova proibição imediata dos métodos de verificação existentes. As instituições que ainda usam fotografias estão sendo orientadas a examinar cuidadosamente as imagens dos documentos e dos rostos enquanto se preparam para a transição.
Por que aumentam os pedidos de segunda via
Delegacias e centros de habilitação receberam muitas consultas desde que a violação veio a público. As pessoas perguntaram sobre a substituição de suas carteiras e a alteração de informações registradas, preocupadas com a possibilidade de um documento de identidade exposto ser usado para se passar por elas.
Uma carteira costuma ser reemitida durante o período de validade em casos de perda, roubo, dano ou alteração de dados registrados. As comissões provinciais de segurança pública também podem aprovar a substituição por outros motivos relevantes. Após o vazamento da Times Car, segundo informações, quase todos os postos passaram a aceitar pedidos, considerando o risco de uso indevido como motivo para a reemissão.
Na província de Ishikawa, o centro de habilitação tem recebido várias consultas por dia. Os pedidos são aceitos no centro provincial de habilitação, em Kanazawa, e nas delegacias de Wajima e Suzu. A taxa informada é de 2.600 ienes para uma carteira convencional e 1.500 ienes para uma carteira My Number, que integra as informações da carteira de motorista ao cartão My Number.
Um homem de cerca de 30 anos de Kanazawa, que usava a Times Car havia dois anos, estava pensando em pedir uma segunda via após receber a notificação de 29 de setembro. Na ocasião descrita pela reportagem local, ele disse que ainda não havia recebido uma explicação detalhada. Uma empresa de Kanazawa com contrato corporativo com a Times Car alertou todos os funcionários por e-mail, mas continuou usando o serviço.
O que muda de fato com a reemissão da carteira
Uma carteira substituta não redefine a identidade exposta de uma pessoa. Embora a foto e o último dígito do número mudem, os demais dados de um documento copiado ainda podem ser usados em uma tentativa de falsidade ideológica. A reemissão também não recupera nem apaga imagens já obtidas dos sistemas de uma empresa.
Essa diferença importa porque ter uma fotografia não prova que a pessoa que a apresenta possui o cartão original. Se uma empresa aceitar a imagem sem verificações adicionais suficientes, emitir um novo cartão para o titular legítimo pode pouco contribuir para impedir que alguém apresente a imagem antiga.
A Comissão de Proteção de Informações Pessoais alertou que imagens vazadas de carteiras de motorista podem ser usadas indevidamente para obter cartões de crédito, abrir contas bancárias ou contratar serviços de telefonia móvel. Esses são possíveis tipos de uso indevido, não evidências de que todos os documentos expostos já tenham sido usados em fraudes.
As reportagens não informam um total nacional de segundas vias efetivamente emitidas nem de fraudes confirmadas especificamente ligadas à violação da Times Car. As informações apontam preocupação generalizada e pedidos em diferentes localidades, mas ainda não indicam quantas pessoas tiveram prejuízos financeiros.
Por que pedem aos bancos que leiam os chips dos cartões
A verificação por chip lê informações eletrônicas de um documento de identidade físico, como uma carteira de motorista ou um cartão My Number, em vez de depender apenas de uma foto enviada pelo solicitante. Assim, uma imagem roubada, por si só, não basta para concluir a etapa de leitura do chip.
A ministra dos Serviços Financeiros, Satsuki Katayama, pediu às instituições que usem verificações mais rigorosas ao confirmar a identidade dos clientes:
implementar adequadamente os processos de verificação de identidade, incluindo a leitura dos dados do chip de circuito integrado.
O comunicado de 9 de outubro da Agência de Serviços Financeiros também pediu às instituições que revisem suas medidas de cibersegurança, incluindo a supervisão de prestadores de serviços terceirizados. O pedido não identificou uma violação específica, embora tenha sido feito após a divulgação da invasão da Times Car e de outros incidentes envolvendo documentos de identidade.
Os regulamentos revisados mantêm alternativas para pessoas que não tenham um documento de identidade com chip ou um smartphone compatível com comunicação por campo de proximidade, conhecida como NFC. A NFC permite que um celular compatível se comunique com um cartão mantido perto dele. Entre os métodos restantes está o envio pelo correio de um documento de identidade original com medidas de proteção contra falsificação.
A leitura de chips trata de uma das formas de falsidade ideológica. Ela não torna inutilizáveis endereços, datas de nascimento ou números de telefone vazados, nem elimina a necessidade de as instituições examinarem solicitações suspeitas.
Uma onda mais ampla de ataques, sem um responsável comum comprovado
A violação da Times Car veio à tona junto com divulgações de incidentes que afetaram serviços de transporte, varejo e restaurantes. Entre os casos noticiados estão mais de 10 milhões de registros de clientes copiados do aplicativo de reservas e recompensas da rede de restaurantes Yakiniku King e cerca de 1,67 milhão de endereços de e-mail expostos no sistema de reservas Eki-net da JR East.
As reportagens também descrevem incidentes envolvendo a Tokyo Metro, a Lawson e o jornal Nikkei. Em Fukuoka, as divulgações envolveram o varejista MrMax e o serviço de transporte por cartão nimoca, enquanto a JR Kyushu informou que endereços de e-mail de membros do site podem ter vazado. Os incidentes variam quanto às informações expostas e não devem ser tratados como equivalentes a uma violação que envolva documentos de identidade fotografados.
O ministro da Transformação Digital, Masaaki Taira, convocou uma reunião de crise e descreveu a situação nos seguintes termos:
emergência no ciberespaço
O ministro responsável pela cibersegurança, Toshiharu Furukawa, também comentou a gravidade da situação:
extremamente crítica
O Ministério da Indústria pediu a cerca de mil grupos setoriais que verifiquem equipamentos de comunicação e sistemas em busca de vulnerabilidades. Nenhum grupo reivindicou a autoria dos ataques descritos nessa onda mais ampla, e os investigadores não identificaram um único responsável comum.
O que se sabe sobre os métodos de ataque?
A equipe japonesa de resposta a emergências cibernéticas, JPCERT/CC, descreveu técnicas observadas em ataques recentes, incluindo a busca por falhas de software ainda não corrigidas, o uso indevido de interfaces internas descobertas por meio de aplicativos móveis e a exploração de uma vulnerabilidade conhecida de injeção de SQL na ferramenta de análise Metabase.
Injeção de SQL é a manipulação de uma solicitação a um banco de dados para fazer com que um aplicativo vulnerável execute ações não previstas, podendo expor informações armazenadas. As técnicas relatadas ajudam a contextualizar a atividade de ataque mais ampla, mas não determinam qual método foi usado contra a Times Car.
No Instituto de Tecnologia de Fukuoka, o Centro de Infraestrutura de Informação teria registrado quase 9 mil tentativas de ataque bloqueadas em um período de 30 minutos. Essa observação ilustra o volume de atividades hostis enfrentado por uma instituição. Não representa o número de invasões bem-sucedidas nem uma medida nacional de registros roubados.
Especialistas em segurança sugeriram que a inteligência artificial pode reduzir o esforço necessário para procurar alvos. Masaki Hiraoka, da empresa de segurança Blackpanda, alertou que os ataques não haviam sido explicitamente vinculados à IA. Essa possibilidade e a aparente origem geográfica do tráfego de rede não identificam os responsáveis.
O que as pessoas afetadas devem observar
A Agência Nacional de Polícia espera novos golpes por telefone e e-mails fraudulentos que se passam por empresas afetadas por violações. Os dados de contato expostos podem tornar essas mensagens mais convincentes, sobretudo quando quem liga sabe o nome, o endereço ou o serviço usado pela pessoa.
Na coletiva de imprensa de 8 de outubro, o comissário Yoshinobu Kusunoki disse que a agência atuaria tanto na investigação quanto na prevenção. Ele recomendou precauções básicas, como aplicativos que bloqueiam chamadas fraudulentas, atualização de senhas e atenção a e-mails suspeitos.
As autoridades orientam as pessoas a procurar a polícia prontamente quando suspeitarem de fraude ou uso indevido. Caso descubram um contrato ou uma conta desconhecida, a Comissão de Proteção de Informações Pessoais também recomenda que consultem a operadora do cartão de crédito ou o banco correspondente. Uma notificação de violação confirma a exposição dos dados; uma conta, um contrato ou uma transação inesperados exigem uma resposta específica.
O próximo prazo definido é 1º de abril de 2027. Também se espera para abril do próximo ano uma revisão das diretrizes de privacidade que incluirá medidas como chaves de acesso, detecção de invasões e exclusão de dados desnecessários. Até lá, a tarefa é compartilhada: as empresas precisam reforçar a verificação e a proteção de dados, enquanto as pessoas afetadas devem permanecer atentas a usos indevidos que a substituição da carteira não pode impedir.
Principais pontos
- Cerca de 6,6 milhões de contas da Times Car foram afetadas, incluindo aproximadamente 1,6 milhão de registros com documentos de identidade.
- As carteiras substitutas alteram a foto e o último dígito do número, mas mantêm inalterados muitos dos dados pessoais expostos.
- Ishikawa está aceitando pedidos de segunda via, com taxas informadas de 2.600 ienes para a carteira convencional e 1.500 ienes para a carteira My Number.
- As instituições financeiras foram orientadas a adotar a verificação por chip dos cartões antes da entrada em vigor das novas regras, em 1º de abril de 2027.
- As autoridades alertam para falsidade ideológica, contratos fraudulentos, golpes por telefone e e-mails falsos, e recomendam procurar ajuda prontamente quando houver suspeita de uso indevido.
- A onda de ataques noticiada não foi atribuída a um único responsável, e ainda não foi estabelecido um total nacional de fraudes causadas pela violação da Times Car.
