Permohonan Penggantian Lesen di Jepun Meningkat Selepas Pencerobohan Times Car Mendedahkan 1.6 Juta Rekod Identiti

Lesen baharu tidak dapat memadamkan butiran yang telah bocor

Serangan siber terhadap perkhidmatan Times Car di Jepun mendedahkan dokumen pengenalan dalam kira-kira 1.6 juta rekod ahli, sekali gus mendorong permohonan untuk mendapatkan lesen memandu gantian, walaupun polis memberi amaran bahawa pengeluaran semula kad hanya memberi perlindungan terhad daripada penipuan. Menurut pendedahan syarikat yang dilaporkan media, kebocoran lebih luas itu menjejaskan kira-kira 6.6 juta akaun ahli semasa dan bekas ahli.

Masalah serta-merta ialah perkara yang tidak dapat diubah oleh lesen gantian. Pengeluaran semula lesen memandu Jepun mengubah gambarnya dan hanya digit terakhir nombor 12 digitnya, yang mencatatkan jumlah pengeluaran semula. Nama, alamat dan tarikh lahir yang telah disalin penjenayah kekal terdedah, manakala perniagaan yang menyemak imej curi tiada cara yang boleh dipercayai untuk memastikan lesen itu telah diganti.

Agensi Polis Kebangsaan menggesa institusi kewangan dan perniagaan lain memperkukuh pemeriksaan identiti, serta meminta orang ramai segera merujuk kepada polis jika mengesyaki maklumat mereka disalahgunakan. Secara berasingan, Agensi Perkhidmatan Kewangan pada 9 Oktober meminta institusi mempercepat peralihan daripada memuat naik gambar dokumen pengenalan kepada pemeriksaan yang membaca cip elektronik di dalam kad fizikal.

Perubahan itu telah pun dijadualkan di bawah peraturan yang dipinda bagi melaksanakan Akta Pencegahan Pemindahan Hasil Jenayah. Mulai 1 April 2027, penghantaran gambar dokumen pengenalan tidak lagi diterima di bawah peraturan berkaitan bagi pengesahan identiti tanpa bersemuka dengan pelanggan. Pembacaan cip akan menjadi kaedah standard, dengan kaedah alternatif dikekalkan bagi mereka yang tiada dokumen atau telefon pintar yang sesuai.

Sejauh mana besar pendedahan itu?

Times Car dikendalikan oleh sekutu Park24 Co. Perkhidmatan itu mengesan pencerobohan pada 25 September. Laporan menyebut kira-kira 6.6 juta akaun atau rekod terjejas, termasuk kira-kira 1.6 juta yang mengandungi dokumen pengenalan seperti imej lesen memandu.

Angka itu merujuk bahagian berlainan dalam kebocoran tersebut, bukannya anggaran yang bercanggah bagi jumlah yang sama. Berdasarkan jumlah akaun yang dilaporkan, dokumen pengenalan terdapat dalam kira-kira 24% rekod terjejas, atau hampir satu daripada empat. Kedua-dua angka itu tidak menentukan jumlah tepat individu berbeza yang terlibat, dan siasatan mungkin mengubah jumlah tersebut.

Maklumat yang terdedah mungkin merangkumi nama, alamat rumah, tarikh lahir, nombor telefon, alamat e-mel dan butiran lesen. Seorang pengguna Times Car di Bandar Fukuoka menerima pemberitahuan yang menyenaraikan alamat, tarikh lahir, nombor telefon, alamat e-mel dan imej lesennya sebagai maklumat yang didedahkan.

Pelanggan lama turut terjejas. Data mereka dilaporkan disimpan selama kira-kira tujuh tahun, sekali gus menimbulkan perhatian terhadap sama ada syarikat terus menyimpan dokumen sensitif selepas tujuan asalnya tamat. Suruhanjaya Perlindungan Maklumat Peribadi Jepun menggesa perniagaan memadamkan maklumat peribadi yang tidak lagi diperlukan.

Tarikh penting di sebalik tindakan susulan

Usaha memperkukuh pemeriksaan identiti menyusuli perubahan peraturan yang mendahului pencerobohan Times Car. Kebocoran itu meningkatkan tekanan untuk melaksanakan perubahan tersebut sebelum tarikh kuat kuasa undang-undangnya.

• Jun 2025: Pindaan peraturan pengesahan identiti diwartakan, menetapkan tarikh tamat bagi kaedah berkaitan yang menggunakan imej dokumen yang dimuat naik.
• 25 September 2026: Times Car mengesan pencerobohan.
• 29 September: Seorang pelanggan terjejas di Kanazawa menerima e-mel yang mengesahkan maklumat peribadinya telah bocor.
• 8 Oktober: Pesuruhjaya Agensi Polis Kebangsaan Yoshinobu Kusunoki membincangkan keselamatan siber dan pencegahan penipuan dalam sidang media.
• 9 Oktober: Agensi Perkhidmatan Kewangan meminta institusi mempercepat penggunaan pemeriksaan identiti menggunakan cip kad.
• 11 Oktober: Laporan menyebut peningkatan pertanyaan dan permohonan pengeluaran semula lesen di seluruh Jepun.
• 1 April 2027: Peraturan pengesahan identiti yang dipinda dijadualkan berkuat kuasa.

Permintaan pada 9 Oktober itu ialah gesaan supaya pelaksanaan dipercepat, bukannya larangan baharu serta-merta terhadap kaedah pengesahan sedia ada. Institusi yang masih menggunakan gambar diminta meneliti imej dokumen dan wajah dengan cermat sementara bersiap sedia untuk peralihan tersebut.

Mengapa permohonan penggantian meningkat

Balai polis dan pusat lesen memandu menerima banyak pertanyaan sejak kebocoran itu diketahui umum. Orang ramai bertanya tentang penggantian lesen dan perubahan maklumat yang direkodkan, mencerminkan kebimbangan bahawa dokumen pengenalan yang terdedah boleh digunakan untuk menyamar sebagai mereka.

Lesen biasanya dikeluarkan semula dalam tempoh sahnya atas sebab seperti kehilangan, kecurian, kerosakan atau perubahan butiran yang direkodkan. Suruhanjaya keselamatan awam wilayah juga boleh meluluskan penggantian atas sebab penting yang lain. Susulan kebocoran Times Car, hampir semua pejabat dilaporkan menerima permohonan, dengan risiko penyalahgunaan dianggap sebagai alasan untuk pengeluaran semula.

Di Wilayah Ishikawa, pusat lesen memandu menerima beberapa pertanyaan sehari. Permohonan diterima di pusat lesen wilayah di Kanazawa serta balai polis Wajima dan Suzu. Yuran yang dilaporkan ialah 2,600 yen bagi lesen konvensional dan 1,500 yen bagi lesen My Number, yang menggabungkan maklumat lesen memandu dengan kad My Number.

Seorang lelaki Kanazawa berusia 30-an, yang telah menggunakan Times Car selama dua tahun, sedang mempertimbangkan untuk menggantikan lesen selepas menerima pemberitahuan pada 29 September. Ketika laporan tempatan itu disediakan, beliau berkata belum menerima penjelasan susulan yang terperinci. Sebuah syarikat lain di Kanazawa yang mempunyai kontrak korporat dengan Times Car memberi amaran kepada semua pekerja melalui e-mel, tetapi terus menggunakan perkhidmatan itu.

Perubahan sebenar apabila lesen dikeluarkan semula

Lesen gantian tidak menetapkan semula identiti seseorang yang telah terdedah. Walaupun gambar dan digit nombor terakhirnya berubah, butiran lain pada dokumen yang telah disalin masih boleh digunakan untuk cubaan menyamar. Pengeluaran semula juga tidak mendapatkan semula atau memadamkan imej yang telah diambil daripada sistem syarikat.

Perbezaan ini penting kerana pemilikan gambar bukan bukti bahawa orang yang mengemukakannya memiliki kad asal. Jika perniagaan menerima imej itu tanpa pemeriksaan lanjut yang mencukupi, pengeluaran kad baharu kepada pemegang yang sah mungkin tidak banyak menghalang seseorang daripada mengemukakan imej lama.

Suruhanjaya Perlindungan Maklumat Peribadi memberi amaran bahawa imej lesen yang bocor boleh disalahgunakan untuk mendapatkan kad kredit, membuka akaun bank atau membuat kontrak telefon mudah alih. Ini ialah kemungkinan bentuk penyalahgunaan, bukannya bukti bahawa setiap dokumen yang terdedah telah digunakan untuk penipuan.

Laporan tidak menyatakan jumlah keseluruhan pengeluaran semula yang selesai di seluruh negara atau penipuan yang disahkan berkaitan khusus dengan kebocoran Times Car. Bukti menunjukkan kebimbangan meluas dan kegiatan permohonan di peringkat tempatan, tetapi belum mengukur jumlah orang yang mengalami kerugian kewangan.

Mengapa bank digesa membaca cip kad

Pengesahan cip membaca maklumat elektronik daripada dokumen pengenalan fizikal, seperti lesen memandu atau kad My Number, dan bukan hanya bergantung pada gambar yang dimuat naik pemohon. Ini bermakna imej curi sahaja tidak mencukupi untuk melengkapkan langkah pembacaan cip.

Menteri Perkhidmatan Kewangan Satsuki Katayama menggesa institusi menggunakan pemeriksaan yang lebih kukuh ketika mengesahkan identiti pelanggan:

melaksanakan proses pengesahan identiti dengan sewajarnya, termasuk membaca data cip litar bersepadu.

Notis Agensi Perkhidmatan Kewangan pada 9 Oktober turut meminta institusi menyemak langkah keselamatan siber, termasuk pengawasan terhadap kontraktor. Permintaan itu tidak menyebut nama mana-mana pencerobohan tertentu, meskipun dikeluarkan selepas pendedahan pencerobohan Times Car dan insiden lain yang melibatkan dokumen pengenalan.

Peraturan yang dipinda mengekalkan kaedah alternatif bagi mereka yang tiada dokumen pengenalan bercip atau telefon pintar yang menyokong komunikasi medan dekat, atau NFC. NFC membolehkan telefon yang serasi berkomunikasi dengan kad yang diletakkan berdekatan dengannya. Kaedah yang dikekalkan termasuk penghantaran dokumen pengenalan asal melalui pos dengan perlindungan daripada pemalsuan.

Pembacaan cip menangani satu cara penyamaran. Namun, ia tidak menjadikan alamat, tarikh lahir atau nombor telefon yang bocor tidak boleh digunakan, dan tidak menghapuskan keperluan institusi meneliti permohonan yang mencurigakan.

Gelombang serangan lebih meluas, tanpa pihak yang terbukti bertanggungjawab bersama

Kebocoran Times Car berlaku serentak dengan pendedahan yang menjejaskan perkhidmatan pengangkutan, peruncitan dan restoran. Insiden yang dilaporkan termasuk lebih 10 juta rekod pelanggan yang disalin daripada aplikasi tempahan dan ganjaran rangkaian restoran Yakiniku King, serta kira-kira 1.67 juta alamat e-mel yang terdedah daripada sistem tempahan Eki-net JR East.

Laporan turut menyebut insiden yang melibatkan Tokyo Metro, Lawson dan Nikkei. Di Fukuoka, pendedahan melibatkan peruncit MrMax dan perkhidmatan kad pengangkutan nimoca, manakala JR Kyushu berkata alamat e-mel ahli web mungkin telah bocor. Maklumat yang terdedah dalam insiden-insiden ini berbeza-beza dan tidak sepatutnya disamakan dengan kebocoran yang mengandungi gambar dokumen pengenalan.

Menteri Digital Masaaki Taira mengadakan mesyuarat krisis dan menggambarkan keadaan itu dengan kata-kata berikut:

kecemasan di alam siber

Menteri Keselamatan Siber Toshiharu Furukawa turut mengulas tentang keseriusan keadaan itu:

amat kritikal

Kementerian Perindustrian telah meminta kira-kira 1,000 kumpulan industri memeriksa peralatan komunikasi dan sistem bagi mengesan kelemahan. Tiada kumpulan yang mengaku bertanggungjawab terhadap serangan dalam gelombang lebih luas itu, dan penyiasat belum mengenal pasti satu pihak yang bertanggungjawab bersama.

Apa yang diketahui tentang kaedah serangan?

Pasukan tindak balas kecemasan komputer Jepun, JPCERT/CC, telah menjelaskan teknik yang dilihat dalam serangan baru-baru ini, termasuk mencari kelemahan perisian yang belum ditampal, menyalahgunakan antara muka dalaman yang ditemukan melalui aplikasi mudah alih, dan mengeksploitasi kelemahan suntikan SQL yang diketahui dalam alat analitik Metabase.

Suntikan SQL bermaksud memanipulasi permintaan pangkalan data supaya aplikasi yang terdedah melakukan tindakan yang tidak sepatutnya, sekali gus berpotensi mendedahkan maklumat tersimpan. Teknik yang dilaporkan memberikan konteks tentang kegiatan serangan lebih luas, tetapi tidak menentukan kaedah yang digunakan terhadap Times Car.

Di Institut Teknologi Fukuoka, Pusat Infrastruktur Maklumat dilaporkan merekodkan hampir 9,000 cubaan serangan yang disekat dalam tempoh 30 minit. Pemerhatian itu menggambarkan jumlah kegiatan berniat jahat yang dihadapi sebuah institusi. Ia bukan jumlah pencerobohan yang berjaya atau ukuran nasional rekod yang dicuri.

Pakar keselamatan mencadangkan bahawa kecerdasan buatan mungkin mengurangkan usaha yang diperlukan untuk mencari sasaran. Masaki Hiraoka daripada syarikat keselamatan Blackpanda mengingatkan bahawa serangan itu belum dikaitkan secara jelas dengan AI. Kemungkinan itu mahupun asal geografi trafik rangkaian yang kelihatan tidak menentukan siapa yang bertanggungjawab.

Perkara yang perlu diperhatikan oleh mereka yang terjejas

Agensi Polis Kebangsaan menjangkakan lebih banyak panggilan penipuan dan e-mel palsu yang menyamar sebagai perniagaan yang mengalami kebocoran. Maklumat perhubungan yang terdedah boleh menjadikan mesej sedemikian lebih meyakinkan, khususnya apabila pemanggil mengetahui nama, alamat atau keahlian seseorang dalam sesuatu perkhidmatan.

Dalam sidang media pada 8 Oktober, Pesuruhjaya Yoshinobu Kusunoki berkata agensi itu akan menjalankan siasatan serta langkah pencegahan. Beliau menggalakkan langkah berjaga-jaga asas, termasuk menggunakan aplikasi yang menyekat panggilan penipuan, mengemas kini kata laluan dan mengelakkan e-mel yang mencurigakan.

Pihak berkuasa menggesa orang ramai menghubungi polis dengan segera jika mengesyaki penipuan atau penyalahgunaan. Jika kontrak atau akaun yang tidak dikenali ditemui, Suruhanjaya Perlindungan Maklumat Peribadi turut menasihatkan orang ramai supaya merujuk kepada syarikat kad kredit atau bank berkaitan. Pemberitahuan kebocoran mengesahkan pendedahan maklumat; akaun, kontrak atau transaksi yang tidak dijangka memerlukan tindakan susulan yang berasingan.

Tarikh akhir tetap yang seterusnya ialah 1 April 2027. Panduan privasi yang disemak semula, meliputi langkah seperti kunci laluan, pengesanan pencerobohan dan pemadaman data yang tidak diperlukan, juga dijangka dikeluarkan pada April depan. Sehingga itu, tugas utama dikongsi bersama: perniagaan perlu memperkukuh pengesahan dan perlindungan data, sementara mereka yang terjejas perlu terus berwaspada terhadap penyalahgunaan yang tidak dapat dicegah dengan menggantikan lesen.

Perkara Utama

• Kira-kira 6.6 juta akaun Times Car terjejas, termasuk lebih kurang 1.6 juta rekod yang mengandungi dokumen pengenalan.
• Lesen gantian mengubah gambar dan digit nombor terakhir, tetapi kebanyakan maklumat peribadi yang terdedah kekal tidak berubah.
• Ishikawa menerima permohonan pengeluaran semula, dengan yuran yang dilaporkan sebanyak 2,600 yen bagi lesen konvensional dan 1,500 yen bagi lesen My Number.
• Institusi kewangan telah diminta menggunakan pengesahan cip kad sebelum peraturan baharu berkuat kuasa pada 1 April 2027.
• Pihak berkuasa memberi amaran tentang penyamaran, kontrak palsu, panggilan penipuan dan e-mel palsu, serta menggesa orang ramai segera mendapatkan nasihat jika mengesyaki penyalahgunaan.
• Gelombang serangan yang dilaporkan belum dikaitkan dengan satu pihak yang bertanggungjawab, dan jumlah nasional penipuan akibat kebocoran Times Car belum dipastikan.