Una nueva licencia no puede borrar los datos filtrados
Un ciberataque contra el servicio de alquiler de automóviles Times Car, de Japón, expuso documentos de identidad incluidos en unos 1,6 millones de registros de miembros. Esto provocó solicitudes para renovar licencias de conducir, aunque la policía advierte que la reexpedición de las tarjetas ofrece una protección limitada contra el fraude. Según información de la empresa citada en reportes, la filtración más amplia afectó a unos 6,6 millones de cuentas de miembros actuales y antiguos.
Contenido
- Una nueva licencia no puede borrar los datos filtrados
- ¿Cuál fue el alcance de la filtración?
- Las fechas clave de la respuesta
- Por qué aumentan las solicitudes de reemplazo
- Qué cambia realmente al reexpedir una licencia
- Por qué se insta a los bancos a leer los chips de las tarjetas
- Una ola más amplia de ataques, sin un responsable común confirmado
- ¿Qué se sabe de los métodos de ataque?
- A qué deben prestar atención las personas afectadas
- Puntos clave
El problema inmediato es lo que una licencia de reemplazo no puede cambiar. La reexpedición de una licencia de conducir japonesa modifica la fotografía y solo el último dígito de su número de 12 dígitos, que registra cuántas veces se ha reexpedido. Los nombres, las direcciones y las fechas de nacimiento que los delincuentes ya copiaron siguen expuestos, y las empresas que revisan una imagen robada no tienen una forma fiable de determinar si la licencia fue reemplazada.
La Agencia Nacional de Policía insta a las instituciones financieras y otras empresas a reforzar los controles de identidad, y pide a las personas que consulten pronto con la policía si sospechan que alguien ha usado indebidamente su información. Por otra parte, el 9 de octubre la Agencia de Servicios Financieros pidió a las instituciones que aceleren el cambio de las fotografías de documentos de identidad cargadas por los usuarios a controles que leen el chip electrónico de la tarjeta física.
Ese cambio ya está previsto en las normas modificadas para aplicar la Ley de Prevención de la Transferencia del Producto del Delito. A partir del 1 de abril de 2027, las normas correspondientes dejarán de aceptar el envío de fotografías de documentos de identidad como método de verificación de identidad sin que el cliente esté presente. La lectura del chip será el método estándar, aunque se mantendrán alternativas para quienes no tengan documentos adecuados o teléfonos inteligentes.
¿Cuál fue el alcance de la filtración?
Times Car es operado por una filial de Park24 Co. El servicio detectó la intrusión el 25 de septiembre. Según los reportes, se vieron afectadas unas 6,6 millones de cuentas o registros filtrados, incluidos unos 1,6 millones que contenían documentos de identidad, como imágenes de licencias de conducir.
Esas cifras describen distintas partes de la filtración, no estimaciones contrapuestas del mismo total. Según el número de cuentas mencionado en los reportes, los documentos de identidad estaban presentes en aproximadamente el 24% de los registros afectados, es decir, casi uno de cada cuatro. Ninguna de las cifras establece el número exacto de personas distintas, y las investigaciones podrían modificar los totales.
La información expuesta puede incluir nombres, domicilios, fechas de nacimiento, números de teléfono, direcciones de correo electrónico y datos de licencias. Un usuario de Times Car en la ciudad de Fukuoka recibió una notificación que indicaba que se habían divulgado su domicilio, fecha de nacimiento, número de teléfono, dirección de correo electrónico e imagen de la licencia.
También se vieron afectados antiguos clientes. Según los reportes, sus datos se habían conservado durante unos siete años, lo que ha centrado la atención en si las empresas siguen almacenando documentos sensibles una vez que dejan de ser necesarios para su propósito original. La Comisión de Protección de la Información Personal de Japón ha instado a las empresas a eliminar la información personal que ya no necesiten.
Las fechas clave de la respuesta
El impulso para reforzar los controles de identidad responde a un cambio normativo anterior a la intrusión de Times Car. La filtración ha aumentado la presión para aplicar ese cambio antes de la fecha en que entrará en vigor.
- Junio de 2025: Se promulgaron modificaciones de las normas de verificación de identidad, que fijan una fecha futura para dejar de aceptar los métodos afectados basados en imágenes de documentos cargadas por los usuarios.
- 25 de septiembre de 2026: Times Car detectó la intrusión.
- 29 de septiembre: Un cliente afectado de Kanazawa recibió un correo electrónico que confirmaba la filtración de su información personal.
- 8 de octubre: El comisionado de la Agencia Nacional de Policía, Yoshinobu Kusunoki, habló sobre ciberseguridad y prevención del fraude en una rueda de prensa.
- 9 de octubre: La Agencia de Servicios Financieros pidió que se empezaran a adoptar cuanto antes controles de identidad que usen los chips de las tarjetas.
- 11 de octubre: Los reportes describieron un aumento de las consultas y solicitudes para reexpedir licencias en todo Japón.
- 1 de abril de 2027: Está previsto que entren en vigor las normas modificadas de verificación de identidad.
La solicitud del 9 de octubre es un llamado a acelerar la aplicación, no una nueva prohibición inmediata de los métodos de verificación actuales. Se pide a las instituciones que aún utilizan fotografías que revisen cuidadosamente las imágenes de los documentos y de los rostros mientras se preparan para la transición.
Por qué aumentan las solicitudes de reemplazo
Desde que se hizo pública la filtración, las comisarías y los centros de licencias de conducir han recibido numerosas consultas. Las personas han preguntado cómo reemplazar sus licencias y modificar los datos registrados, preocupadas por que alguien pueda usar un documento de identidad expuesto para suplantarlas.
Por lo general, una licencia se reexpide durante su período de validez por motivos como pérdida, robo, daño o cambios en los datos registrados. Las comisiones prefecturales de seguridad pública también pueden aprobar un reemplazo por otros motivos importantes. Tras la filtración de Times Car, según los reportes, casi todas las oficinas han estado aceptando solicitudes y han considerado el riesgo de uso indebido como motivo para reexpedir la licencia.
En la prefectura de Ishikawa, el centro de licencias de conducir recibe varias consultas al día. Las solicitudes se aceptan en el centro prefectural de licencias de Kanazawa y en las comisarías de Wajima y Suzu. Según los reportes, la tarifa es de 2.600 yenes para una licencia convencional y de 1.500 yenes para una licencia My Number, que integra los datos de la licencia de conducir en la tarjeta My Number.
Un hombre de unos 30 años de Kanazawa, que había usado Times Car durante dos años, estaba considerando reemplazar su licencia tras recibir la notificación del 29 de septiembre. En el momento descrito en el reporte local, dijo que aún no había recibido una explicación detallada. Una empresa de Kanazawa con un contrato corporativo de Times Car advirtió a todos sus empleados por correo electrónico, pero siguió utilizando el servicio.
Qué cambia realmente al reexpedir una licencia
Una licencia de reemplazo no restablece la identidad expuesta de una persona. Aunque cambian la fotografía y el último dígito del número, los demás datos de un documento copiado aún pueden servir para intentar una suplantación. La reexpedición tampoco permite recuperar ni eliminar las imágenes que ya se extrajeron de los sistemas de una empresa.
Esta distinción es importante porque tener una fotografía no demuestra que la persona que la presenta tenga la tarjeta original. Si una empresa acepta la imagen sin suficientes controles adicionales, expedir una nueva tarjeta a su titular legítimo puede servir de poco para impedir que alguien presente la imagen anterior.
La Comisión de Protección de la Información Personal ha advertido que las imágenes filtradas de licencias podrían utilizarse indebidamente para obtener tarjetas de crédito, abrir cuentas bancarias o contratar servicios de telefonía móvil. Se trata de posibles formas de uso indebido, no de pruebas de que todos los documentos expuestos ya se hayan utilizado para cometer fraude.
Los reportes no ofrecen un total nacional de licencias reexpedidas ni de fraudes confirmados vinculados específicamente con la filtración de Times Car. La información disponible confirma una preocupación generalizada y actividad local de solicitudes, pero aún no mide cuántas personas han sufrido pérdidas económicas.
Por qué se insta a los bancos a leer los chips de las tarjetas
La verificación mediante chip lee la información electrónica de un documento de identidad físico, como una licencia de conducir o una tarjeta My Number, en lugar de depender únicamente de una fotografía cargada por el solicitante. Así, una imagen robada por sí sola no basta para completar el paso de lectura del chip.
La ministra de Servicios Financieros, Satsuki Katayama, instó a las instituciones a utilizar controles más rigurosos para confirmar la identidad de sus clientes:
«aplicar correctamente los procesos de verificación de identidad, incluida la lectura de los datos del chip de circuito integrado».
El aviso de la Agencia de Servicios Financieros del 9 de octubre también pidió a las instituciones que revisaran sus medidas de ciberseguridad, incluida la supervisión de los contratistas. La solicitud no identificó por su nombre ninguna filtración en particular, aunque se produjo después de que se divulgara la intrusión de Times Car y otros incidentes relacionados con documentos de identidad.
Las normas modificadas mantienen alternativas para quienes no tienen un documento de identidad con chip o un teléfono inteligente compatible con la comunicación de campo cercano, conocida como NFC. La NFC permite que un teléfono compatible se comunique con una tarjeta situada cerca. Entre los métodos disponibles se mantiene el envío por correo de un documento de identidad original con medidas contra la falsificación.
La lectura de chips permite abordar una de las vías de suplantación. No vuelve inutilizables las direcciones, fechas de nacimiento o números de teléfono filtrados, ni elimina la necesidad de que las instituciones revisen las solicitudes sospechosas.
Una ola más amplia de ataques, sin un responsable común confirmado
La filtración de Times Car se produjo junto con la divulgación de incidentes que afectaron a servicios de transporte, comercios y restaurantes. Entre los casos reportados figuran la copia de más de 10 millones de registros de clientes de la aplicación de reservas y recompensas de la cadena de restaurantes Yakiniku King, y la exposición de unos 1,67 millones de direcciones de correo electrónico del sistema de reservas Eki-net de JR East.
Los reportes también describen incidentes que afectaron a Tokyo Metro, Lawson y Nikkei. En Fukuoka, las divulgaciones involucraron al comercio minorista MrMax y al servicio de tarjetas de transporte nimoca, mientras que JR Kyushu informó que podrían haberse filtrado direcciones de correo electrónico de sus miembros en línea. La información expuesta varía según el incidente, por lo que no deben considerarse equivalentes a una filtración que incluya fotografías de documentos de identidad.
El ministro de Transformación Digital, Masaaki Taira, convocó una reunión de emergencia y describió la situación así:
emergencia en el ciberespacio
El ministro de Ciberseguridad, Toshiharu Furukawa, también se refirió a la gravedad de la situación:
extremadamente crítica
El Ministerio de Industria ha pedido a unas 1.000 asociaciones sectoriales que revisen sus equipos y sistemas de comunicación para detectar vulnerabilidades. Ningún grupo ha reivindicado los ataques descritos en esta ola más amplia y los investigadores no han establecido que tengan un único responsable común.
¿Qué se sabe de los métodos de ataque?
El equipo japonés de respuesta a emergencias informáticas, JPCERT/CC, ha descrito técnicas observadas en ataques recientes, como la búsqueda de fallos de software sin corregir, el uso indebido de interfaces internas descubiertas a través de aplicaciones móviles y la explotación de una vulnerabilidad conocida de inyección SQL en la herramienta de análisis Metabase.
La inyección SQL consiste en manipular una consulta a una base de datos para que una aplicación vulnerable realice acciones no previstas y pueda exponer información almacenada. Las técnicas reportadas aportan contexto sobre la actividad de ataque más amplia, pero no permiten establecer qué método se utilizó contra Times Car.
Según los reportes, el Centro de Infraestructura de Información del Instituto Tecnológico de Fukuoka registró casi 9.000 intentos de ataque bloqueados en un período de 30 minutos. Esa observación ilustra el volumen de actividad maliciosa que puede enfrentar una institución. No es un recuento de filtraciones exitosas ni una medida nacional de los registros robados.
Especialistas en seguridad han planteado que la inteligencia artificial podría reducir el esfuerzo necesario para buscar objetivos. Masaki Hiraoka, de la empresa de seguridad Blackpanda, advirtió que los ataques no se habían vinculado explícitamente con la inteligencia artificial. Ni esa posibilidad ni el aparente origen geográfico del tráfico de red permiten establecer quién fue responsable.
A qué deben prestar atención las personas afectadas
La Agencia Nacional de Policía prevé más llamadas fraudulentas y correos electrónicos engañosos de personas que se hacen pasar por empresas que han sufrido filtraciones. Los datos de contacto expuestos pueden hacer que esos mensajes parezcan más convincentes, sobre todo si quien llama conoce el nombre, el domicilio o la afiliación de una persona a un servicio.
En la rueda de prensa del 8 de octubre, el comisionado Yoshinobu Kusunoki dijo que la agencia trabajaría tanto en la investigación como en la prevención. Recomendó tomar precauciones básicas, como utilizar aplicaciones que bloquean llamadas fraudulentas, actualizar las contraseñas y evitar los correos electrónicos sospechosos.
Las autoridades instan a las personas a contactar pronto con la policía si sospechan que se ha cometido un fraude o se ha hecho un uso indebido de sus datos. Si descubren un contrato o una cuenta que no reconocen, la Comisión de Protección de la Información Personal también recomienda consultar a la compañía de tarjetas de crédito o al banco correspondiente. Una notificación de filtración confirma que la información quedó expuesta; una cuenta, un contrato o una transacción inesperados requieren una respuesta aparte.
La próxima fecha límite fijada es el 1 de abril de 2027. También se espera para el próximo abril una versión revisada de las directrices de privacidad que incluirá medidas como las claves de acceso, la detección de intrusiones y la eliminación de datos innecesarios. Hasta entonces, la tarea principal es compartida: las empresas deben reforzar la verificación y la protección de datos, mientras que las personas afectadas deben estar atentas a usos indebidos que no se pueden evitar reemplazando una licencia.
Puntos clave
- Se vieron afectadas unas 6,6 millones de cuentas de Times Car, incluidos aproximadamente 1,6 millones de registros que contenían documentos de identidad.
- Las licencias de reemplazo modifican la fotografía y el último dígito del número, pero dejan sin cambios gran parte de la información personal expuesta.
- Ishikawa acepta solicitudes de reexpedición, con tarifas reportadas de 2.600 yenes para una licencia convencional y 1.500 yenes para una licencia My Number.
- Se ha pedido a las instituciones financieras que adopten la verificación mediante el chip de las tarjetas antes de que las nuevas normas entren en vigor el 1 de abril de 2027.
- Las autoridades advierten sobre suplantaciones, contratos fraudulentos, llamadas engañosas y correos electrónicos falsos, e instan a consultar pronto si se sospecha que alguien ha hecho un uso indebido de la información.
- La ola de ataques descrita no se ha atribuido a un único responsable, y no se ha establecido un total nacional de fraudes causados por la filtración de Times Car.
