Uma nova carta não apaga os dados expostos
Um ciberataque ao serviço Times Car, no Japão, expôs documentos de identificação em cerca de 1,6 milhões de registos de membros, levando a pedidos de substituição de cartas de condução, apesar de a polícia alertar que a reemissão dos cartões oferece proteção limitada contra a fraude. Segundo informações da empresa citadas em notícias, a violação de dados mais ampla afetou cerca de 6,6 milhões de contas de membros atuais e antigos.
Índice
- Uma nova carta não apaga os dados expostos
- Qual foi a dimensão da exposição?
- As datas que marcaram a resposta
- Porque estão a aumentar os pedidos de substituição
- O que muda realmente com a reemissão de uma carta
- Porque se pede aos bancos que leiam os chips dos cartões
- Uma vaga mais ampla de ataques, sem um responsável comum identificado
- O que se sabe sobre os métodos de ataque?
- O que devem as pessoas afetadas vigiar
- Pontos principais
O problema imediato é aquilo que uma carta substituta não pode alterar. A reemissão de uma carta de condução japonesa altera a fotografia e apenas o último algarismo do número de 12 algarismos, que regista o número de reemissões. Os nomes, moradas e datas de nascimento já copiados por criminosos continuam expostos, e as empresas que verificam uma imagem roubada não têm forma fiável de determinar se a carta foi entretanto substituída.
A Agência Nacional de Polícia está a instar as instituições financeiras e outras empresas a reforçarem as verificações de identidade e a pedir às pessoas que contactem prontamente a polícia se suspeitarem de uma utilização indevida dos seus dados. Separadamente, a Agência de Serviços Financeiros pediu às instituições, a 9 de outubro, que acelerassem a transição das fotografias de documentos de identificação carregadas para sistemas que leem o chip eletrónico do próprio cartão.
Esta mudança já está prevista na regulamentação alterada que aplica a Lei de Prevenção da Transferência de Produtos do Crime. A partir de 1 de abril de 2027, o envio de fotografias de documentos de identificação deixará de ser um método aceite ao abrigo das regras abrangidas para verificar a identidade sem contacto presencial com o cliente. A leitura do chip passará a ser o método padrão, mantendo-se alternativas para quem não disponha de documentos adequados ou de um smartphone.
Qual foi a dimensão da exposição?
A Times Car é operada por uma empresa afiliada da Park24 Co. O serviço detetou a intrusão a 25 de setembro. As notícias referem cerca de 6,6 milhões de contas afetadas ou registos expostos, incluindo cerca de 1,6 milhões com documentos de identificação, como imagens de cartas de condução.
Estes números dizem respeito a diferentes partes da violação de dados, não a estimativas concorrentes do mesmo total. Com base nos números de contas divulgados, os documentos de identificação estavam presentes em cerca de 24% dos registos afetados, ou quase um em cada quatro. Nenhum dos números determina a quantidade exata de pessoas distintas, e as investigações poderão rever os totais.
As informações expostas poderão incluir nomes, moradas, datas de nascimento, números de telefone, endereços de correio eletrónico e dados das cartas de condução. Um utilizador da Times Car na cidade de Fukuoka recebeu uma notificação que indicava que a sua morada, data de nascimento, número de telefone, endereço de correio eletrónico e imagem da carta de condução estavam entre os dados divulgados.
Os antigos clientes também foram afetados. Segundo foi noticiado, os seus dados tinham sido conservados durante cerca de sete anos, o que chamou a atenção para a continuidade do armazenamento de documentos sensíveis pelas empresas depois de terminado o fim a que se destinavam. A Comissão de Proteção de Informações Pessoais do Japão instou as empresas a eliminar os dados pessoais de que já não necessitam.
As datas que marcaram a resposta
O apelo ao reforço das verificações de identidade decorre de uma alteração regulamentar anterior à intrusão na Times Car. A violação aumentou a pressão para que essa alteração seja aplicada antes da data em que entra legalmente em vigor.
- Junho de 2025: Foram promulgadas alterações à regulamentação relativa à verificação de identidade, estabelecendo o futuro fim dos métodos abrangidos que se baseiam em imagens de documentos carregadas.
- 25 de setembro de 2026: A Times Car detetou a intrusão.
- 29 de setembro: Um cliente afetado em Kanazawa recebeu um correio eletrónico a confirmar que os seus dados pessoais tinham sido expostos.
- 8 de outubro: O comissário da Agência Nacional de Polícia, Yoshinobu Kusunoki, abordou a cibersegurança e a prevenção da fraude numa conferência de imprensa.
- 9 de outubro: A Agência de Serviços Financeiros pediu a adoção antecipada de verificações de identidade através dos chips dos cartões.
- 11 de outubro: Notícias deram conta do aumento de pedidos de informação e de requerimentos para reemissão de cartas em todo o Japão.
- 1 de abril de 2027: Está prevista a entrada em vigor das regras alteradas de verificação de identidade.
O pedido de 9 de outubro é um apelo à aplicação mais rápida, não uma nova proibição imediata dos métodos de verificação existentes. Pede-se às instituições que ainda utilizam fotografias que examinem cuidadosamente as imagens dos documentos e dos rostos enquanto se preparam para a transição.
Porque estão a aumentar os pedidos de substituição
Esquadras de polícia e centros de cartas de condução receberam numerosas perguntas desde que a violação de dados se tornou pública. As pessoas perguntaram como poderiam substituir as cartas e alterar os dados nelas registados, preocupadas com a possibilidade de um documento de identificação exposto ser utilizado para se fazerem passar por elas.
Uma carta é normalmente reemitida durante o seu período de validade por motivos como perda, roubo, danos ou alterações dos dados registados. As comissões de segurança pública das províncias também podem aprovar a substituição por outros motivos relevantes. Após a fuga de dados da Times Car, segundo foi noticiado, quase todos os serviços começaram a aceitar pedidos, considerando o risco de utilização indevida motivo para a reemissão.
Na província de Ishikawa, o centro de cartas de condução recebe várias perguntas por dia. Os pedidos são aceites no centro provincial de cartas de condução em Kanazawa e nas esquadras de Wajima e Suzu. Segundo foi noticiado, a taxa é de 2.600 ienes para uma carta convencional e 1.500 ienes para uma carta My Number, que integra os dados da carta de condução no cartão My Number.
Um homem na casa dos 30 anos, residente em Kanazawa e utilizador da Times Car há dois anos, estava a ponderar pedir a substituição depois de receber a notificação de 29 de setembro. Na altura descrita pela notícia local, disse que ainda não tinha recebido uma explicação detalhada. Uma empresa de Kanazawa com um contrato empresarial com a Times Car avisou todos os funcionários por correio eletrónico, mas continuou a utilizar o serviço.
O que muda realmente com a reemissão de uma carta
Uma carta substituta não repõe a identidade exposta de uma pessoa. Embora a fotografia e o último algarismo do número mudem, os restantes dados de um documento copiado podem continuar a servir para uma tentativa de usurpação de identidade. A reemissão também não recupera nem apaga imagens já extraídas dos sistemas de uma empresa.
Esta distinção é importante porque ter uma fotografia não prova que a pessoa que a apresenta possui o cartão original. Se uma empresa aceitar a imagem sem verificações adicionais suficientes, emitir um cartão novo ao titular legítimo poderá pouco fazer para impedir que alguém apresente a imagem antiga.
A Comissão de Proteção de Informações Pessoais alertou que as imagens de cartas de condução expostas poderão ser utilizadas indevidamente para obter cartões de crédito, abrir contas bancárias ou celebrar contratos de telemóvel. Trata-se de formas potenciais de utilização indevida, não de prova de que todos os documentos expostos já tenham sido utilizados de forma fraudulenta.
As notícias não indicam um total nacional de reemissões concluídas nem de fraudes confirmadas especificamente associadas à violação de dados da Times Car. Os dados disponíveis confirmam preocupação generalizada e atividade local de apresentação de pedidos, mas ainda não quantificam quantas pessoas sofreram perdas financeiras.
Porque se pede aos bancos que leiam os chips dos cartões
A verificação do chip lê os dados eletrónicos de um documento de identificação físico, como uma carta de condução ou um cartão My Number, em vez de depender apenas da fotografia carregada pelo requerente. Assim, uma imagem roubada, por si só, não basta para concluir a leitura do chip.
A ministra dos Serviços Financeiros, Satsuki Katayama, instou as instituições a utilizarem verificações mais robustas para confirmar a identidade dos clientes:
aplicar corretamente os processos de verificação de identidade, incluindo a leitura dos dados do chip de circuito integrado.
O aviso da Agência de Serviços Financeiros de 9 de outubro também pediu às instituições que reavaliassem as medidas de cibersegurança, incluindo a supervisão de prestadores de serviços. O pedido não identificou pelo nome nenhuma violação específica, embora tenha surgido após a divulgação da intrusão na Times Car e de outros incidentes envolvendo documentos de identificação.
A regulamentação alterada mantém alternativas para quem não tenha um documento de identificação com chip ou um smartphone compatível com comunicação de campo próximo, conhecida como NFC. A NFC permite que um telemóvel compatível comunique com um cartão colocado nas proximidades. Entre os métodos que se mantêm está o envio por correio de um documento de identificação original com medidas de proteção contra falsificações.
A leitura dos chips aborda uma das formas de usurpação de identidade. Não torna inutilizáveis as moradas, datas de nascimento ou números de telefone expostos, nem elimina a necessidade de as instituições analisarem pedidos suspeitos.
Uma vaga mais ampla de ataques, sem um responsável comum identificado
A violação de dados da Times Car surgiu em paralelo com a divulgação de incidentes que afetaram serviços de transportes, retalho e restauração. Entre os incidentes noticiados contam-se a cópia de mais de 10 milhões de registos de clientes da aplicação de reservas e recompensas da cadeia de restaurantes Yakiniku King e a exposição de cerca de 1,67 milhões de endereços de correio eletrónico do sistema de reservas Eki-net, da JR East.
As notícias também descrevem incidentes envolvendo a Tokyo Metro, a Lawson e o Nikkei. Em Fukuoka, foram divulgadas violações que envolveram o retalhista MrMax e o serviço de cartões de transporte nimoca, enquanto a JR Kyushu afirmou que poderão ter sido expostos endereços de correio eletrónico de membros do serviço online. Estes incidentes diferem quanto às informações expostas e não devem ser equiparados a uma violação que inclua fotografias de documentos de identificação.
O ministro da Transformação Digital, Masaaki Taira, convocou uma reunião de emergência e descreveu a situação nestes termos:
emergência no ciberespaço
O ministro responsável pela cibersegurança, Toshiharu Furukawa, também se pronunciou sobre a gravidade da situação:
extremamente crítica
O ministério responsável pela indústria pediu a cerca de 1.000 associações do setor que verificassem os equipamentos de comunicação e os sistemas em busca de vulnerabilidades. Nenhum grupo reivindicou a autoria dos ataques descritos nesta vaga mais ampla e os investigadores não identificaram um responsável comum.
O que se sabe sobre os métodos de ataque?
A equipa de resposta a emergências informáticas do Japão, JPCERT/CC, descreveu técnicas observadas em ataques recentes, incluindo a procura de vulnerabilidades de software ainda não corrigidas, a utilização indevida de interfaces internas descobertas através de aplicações móveis e a exploração de uma vulnerabilidade de injeção de SQL conhecida na ferramenta de análise Metabase.
A injeção de SQL consiste em manipular um pedido à base de dados para que uma aplicação vulnerável execute ações não previstas, podendo expor informações armazenadas. As técnicas divulgadas dão contexto à atividade mais ampla de ataques, mas não determinam qual foi utilizada contra a Times Car.
No Instituto de Tecnologia de Fukuoka, o Centro de Infraestruturas de Informação terá registado quase 9.000 tentativas de ataque bloqueadas num período de 30 minutos. Esta observação ilustra o volume de atividade maliciosa a que uma instituição pode estar sujeita. Não corresponde a uma contagem de violações bem-sucedidas nem a uma medida nacional de registos roubados.
Especialistas em segurança sugeriram que a inteligência artificial poderá reduzir o esforço necessário para procurar alvos. Masaki Hiraoka, da empresa de segurança Blackpanda, alertou que os ataques não tinham sido explicitamente associados à IA. Nem essa possibilidade nem a aparente origem geográfica do tráfego de rede permitem determinar quem foi responsável.
O que devem as pessoas afetadas vigiar
A Agência Nacional de Polícia prevê mais chamadas fraudulentas e mensagens de correio eletrónico fraudulentas de pessoas que se fazem passar por empresas afetadas por violações de dados. Os dados de contacto expostos podem tornar estas mensagens mais convincentes, sobretudo quando quem telefona sabe o nome, a morada ou o serviço de que uma pessoa é cliente.
Na conferência de imprensa de 8 de outubro, o comissário Yoshinobu Kusunoki afirmou que a agência iria prosseguir tanto as investigações como a prevenção. Recomendou precauções básicas, incluindo aplicações que bloqueiam chamadas fraudulentas, a atualização de palavras-passe e o cuidado de não abrir mensagens suspeitas.
As autoridades recomendam que as pessoas contactem prontamente a polícia se suspeitarem de fraude ou utilização indevida dos seus dados. Se descobrirem um contrato ou uma conta desconhecidos, a Comissão de Proteção de Informações Pessoais também aconselha que contactem a empresa de cartões de crédito ou o banco em causa. Uma notificação de violação confirma que os dados foram expostos; a descoberta de uma conta, contrato ou transação inesperados exige uma resposta distinta.
O próximo prazo fixo é 1 de abril de 2027. Também se espera para abril do próximo ano uma revisão das orientações em matéria de privacidade, abrangendo medidas como as passkeys, a deteção de intrusões e a eliminação de dados desnecessários. Até lá, a tarefa é partilhada: as empresas devem reforçar a verificação e a proteção de dados, enquanto as pessoas afetadas se mantêm atentas a utilizações indevidas que a substituição de uma carta não consegue impedir.
Pontos principais
- Foram afetadas cerca de 6,6 milhões de contas da Times Car, incluindo aproximadamente 1,6 milhões de registos com documentos de identificação.
- As cartas substitutas alteram a fotografia e o último algarismo do número, mas deixam inalterada grande parte dos dados pessoais expostos.
- Ishikawa está a aceitar pedidos de reemissão, com taxas divulgadas de 2.600 ienes para uma carta convencional e 1.500 ienes para uma carta My Number.
- Foi pedido às instituições financeiras que adotem a verificação através do chip dos cartões antes da entrada em vigor das novas regras, a 1 de abril de 2027.
- As autoridades alertam para usurpação de identidade, contratos fraudulentos, chamadas fraudulentas e mensagens falsas, e recomendam que se procure ajuda prontamente quando houver suspeita de utilização indevida.
- A vaga de ataques noticiada não foi atribuída a um único responsável e não foi estabelecido um total nacional de fraudes causadas pela violação de dados da Times Car.
