El robo de imágenes de licencias acelera un cambio en la banca
Los bancos japoneses están adelantando cambios en la apertura de cuentas por internet después de que un ciberataque al servicio de autos compartidos Times Car expusiera imágenes de documentos de identidad asociadas a cerca de 1,6 millones de cuentas. Mizuho Bank dejó de verificar la identidad mediante fotografías de documentos el 19 de octubre de 2026 y se sumó a las entidades que ya están adoptando controles que leen los chips electrónicos de las tarjetas de identidad.
Contenido
- El robo de imágenes de licencias acelera un cambio en la banca
- ¿Qué ocurrió en Times Car?
- ¿Qué grandes bancos ya han hecho el cambio?
- Los próximos plazos para los solicitantes
- ¿Cómo funciona la verificación del chip?
- ¿Qué cambia exactamente en abril de 2027?
- ¿Se podrá seguir usando la licencia?
- Los bancos regionales ofrecen varias vías para alcanzar el mismo objetivo
- Los riesgos van más allá de las cuentas bancarias
- Puntos clave
El plazo legal vence el 1 de abril de 2027. La Agencia Nacional de Policía establece esa fecha en sus preguntas frecuentes sobre las normas revisadas que aplican la Ley de Prevención de la Transferencia de Productos del Delito. Los bancos están acelerando sus preparativos después de que la Agencia de Servicios Financieros instara a adelantar la transición el 9 de octubre.
Para los clientes, el cambio inmediato depende del banco y del canal de solicitud. Algunos servicios exigirán la tarjeta My Number, la tarjeta nacional de identidad de Japón. Otros seguirán aceptando la licencia de conducir, siempre que el solicitante lea el chip en lugar de enviar simplemente una fotografía del documento.
Los bancos están abordando dos problemas relacionados: el robo de copias de documentos de identidad a empresas y el intento de los delincuentes de usar esas copias para abrir cuentas a nombre de otras personas. Una cuenta obtenida mediante suplantación puede dar a un estafador acceso a servicios financieros con la identidad de otra persona.
La transición también afecta a entidades que van más allá de los grandes bancos. Prestamistas regionales, bancos en línea y la plataforma de intercambio de criptomonedas Zaif han anunciado cambios. Varios plazos vencen a finales de octubre y principios de noviembre, meses antes de que entren en vigor las normas nacionales.
¿Qué ocurrió en Times Car?
Times Car, operado por una filial de Park24, sufrió un acceso no autorizado que fue uno de los principales motivos por los que los bancos aceleraron sus planes. Se obtuvo información asociada a aproximadamente 6,6 millones de cuentas, incluidas imágenes de documentos de identidad asociadas a cerca de 1,6 millones de cuentas.
Según las descripciones de la filtración, quedaron expuestas imágenes de licencias de conducir de más de un millón de usuarios actuales y anteriores. La cifra más amplia de 1,6 millones de cuentas incluye imágenes de documentos de identidad, entre ellos otros documentos además de las licencias. Según las cifras de cuentas, cerca del 24 % de las 6,6 millones de cuentas afectadas tenía imágenes de documentos de identidad expuestas.
Times Car prevé eliminar las imágenes de documentos de identidad una vez completadas las comprobaciones de registro y borrar las imágenes almacenadas que ya tiene antes de que termine octubre. Esto cambia el tiempo durante el cual el servicio conserva una categoría de información particularmente sensible de sus clientes.
Los bancos están respondiendo en el punto donde podrían usarse después los documentos robados. Sus nuevos controles exigen información del chip de una tarjeta o un certificado electrónico, lo que añade un paso de verificación a los datos visibles —nombre, dirección, fecha de nacimiento y fotografía— de un documento copiado.
¿Qué grandes bancos ya han hecho el cambio?
El cambio de Mizuho del 19 de octubre sustituyó la fotografía de licencias y otros documentos de identidad para abrir cuentas a distancia por la verificación mediante los datos del chip de las tarjetas My Number u otras tarjetas admitidas. La entidad adoptó esta medida después de cambios anteriores en Sumitomo Mitsui Trust Bank y Mitsubishi UFJ Bank.
Sumitomo Mitsui Trust Bank dejó de verificar documentos mediante fotografías en marzo. Mitsubishi UFJ Bank incorporó la lectura obligatoria del chip a su aplicación Smart Account Opening con una actualización del 29 de mayo. Los solicitantes que tengan una licencia de conducir compatible pueden seguir usándola mediante el proceso de lectura del chip.
Sumitomo Mitsui Banking Corporation prevé dejar de usar el método de fotografía de documentos. Resona Holdings anunció el 16 de octubre que dejará de verificar fotografías de licencias para abrir cuentas por internet y está considerando adelantar la transición en sus cuatro bancos subsidiarios. Mitsubishi UFJ Trust and Banking Corporation también está considerando cambios. No se han anunciado fechas de implementación para estas transiciones pendientes.
Las distintas etapas son importantes para quienes soliciten una cuenta ahora: algunos bancos ya han dejado de ofrecer el método anterior, otros han programado su cierre y otros aún se preparan para hacerlo. Cada cambio se aplica al servicio de apertura de cuentas o al canal de solicitud que haya identificado el banco.
Los próximos plazos para los solicitantes
SBI Shinsei Bank dejará de verificar la identidad mediante fotografías de los documentos y del rostro de los solicitantes el 27 de octubre. A partir del 28 de octubre, por lo general canalizará las solicitudes de apertura de cuentas a través de su aplicación y exigirá leer el chip de una tarjeta My Number o de una licencia de conducir.
Aozora Bank cambiará su servicio web de apertura de cuentas de depósito BANK para que use la autenticación con la tarjeta My Number el 29 de octubre. Kyoto Bank exigirá una tarjeta My Number para abrir cuentas nuevas mediante la aplicación Kyogin a partir del 2 de noviembre, según anunció el 15 de octubre.
Los principales cambios y plazos se distribuyen a lo largo de varios meses:
- Marzo de 2026: Sumitomo Mitsui Trust Bank dejó de verificar documentos mediante fotografías.
- 29 de mayo de 2026: Mitsubishi UFJ Bank hizo obligatoria la lectura del chip en su aplicación Smart Account Opening.
- 28 de septiembre de 2026: Docomo SMTB Net Bank dejó de usar el método de fotografía para abrir cuentas personales; las sucursales asociadas adoptarán el cambio por etapas.
- 9 de octubre de 2026: La Agencia de Servicios Financieros instó a las entidades financieras a acelerar la transición.
- Del 13 al 19 de octubre de 2026: Zaif dejó de aceptar licencias para abrir nuevas cuentas personales, Iwate Bank cambió el proceso de su sucursal Sora y Mizuho dejó de verificar documentos mediante fotografías.
- Del 22 al 29 de octubre de 2026: Hyakugo Bank, SBI Shinsei Bank y Aozora Bank tienen previsto introducir cambios en los servicios correspondientes.
- 2 de noviembre de 2026: Kyoto Bank prevé exigir la autenticación con la tarjeta My Number para abrir cuentas mediante su aplicación.
- 1 de abril de 2027: Entran en vigor las normas nacionales revisadas.
El cambio de Hyakugo Bank del 22 de octubre va más allá de la apertura de cuentas nuevas. También abarca la autenticación mediante fotografías de documentos para trámites como cambiar la dirección y los números de teléfono registrados. La lectura del chip y la autenticación personal pública siguen disponibles.
¿Cómo funciona la verificación del chip?
La guía general sobre verificación en línea de la Agencia de Servicios Financieros explica los métodos que han utilizado los bancos para identificar a sus clientes a distancia. El método de fotografía del documento combina una imagen de un documento de identidad con fotografía y una imagen del rostro del solicitante.
El proceso consiste en algo más que fotografiar un nombre y un retrato. Las imágenes del documento deben mostrar datos como la dirección y la fecha de nacimiento del solicitante, además del grosor u otras características que ayudan a determinar si el documento es auténtico. Los bancos o sus proveedores proporcionan el programa utilizado para enviar las imágenes.
Otro método combina la información leída del chip del documento con una imagen del rostro del solicitante. El chip contiene datos de identidad, como el nombre, la dirección, la fecha de nacimiento y la fotografía. Así, el banco puede utilizar la información almacenada electrónicamente en la tarjeta en vez de confiar en su superficie fotografiada.
Las tarjetas My Number también permiten utilizar el Servicio de Autenticación Personal Pública, conocido como JPKI. Este servicio emplea un certificado electrónico y una firma electrónica. En términos sencillos, el certificado proporciona una credencial de identidad digital, mientras que la firma permite al banco comprobar que la información de la solicitud no ha sido modificada.
La guía de la Agencia de Servicios Financieros explica que deben comprobarse la validez del certificado y la firma electrónica. Kyoto Bank y Aozora Bank están trasladando sus servicios especificados a este método. Los bancos pueden recurrir a un proveedor de servicios autorizado para realizar las comprobaciones del certificado y la firma.
¿Qué cambia exactamente en abril de 2027?
Las normas de aplicación revisadas de la Ley de Prevención de la Transferencia de Productos del Delito eliminarán el método de fotografía del documento y comparación del rostro que se utiliza para las transacciones a distancia. La información del chip y la autenticación electrónica serán elementos centrales de los procesos que lo sustituyan.
La Agencia Nacional de Policía publicó sus preguntas frecuentes tras una consulta pública celebrada entre el 5 de diciembre de 2025 y el 3 de enero de 2026. En ellas explica que la lectura del chip también impone obligaciones a las empresas: cuando utilicen los métodos correspondientes de presentación de documentos, deberán comparar la información leída del chip con la que aparece en el documento.
La agencia señala que esta comparación busca impedir la suplantación mediante documentos falsificados o alterados. Por tanto, leer el chip correctamente es una parte de la comprobación, que también determina si la información electrónica coincide con el documento físico.
Las preguntas frecuentes mencionan como ejemplos de documentos con chips que cumplen los requisitos las tarjetas My Number, las licencias de conducir, las tarjetas de residencia, los certificados de residente permanente especial y los pasaportes. Los bancos y otras entidades reguladas pueden elegir cuáles de los métodos de verificación permitidos por la ley ofrecerán, por lo que los documentos exigidos variarán según el servicio.
Los registros de verificaciones anteriores pueden seguir utilizándose cuando se cumplan las condiciones para basarse en una comprobación de identidad previa. Las preguntas frecuentes indican que las empresas no tienen que repetir una verificación ya completada solo porque hayan entrado en vigor las nuevas normas.
¿Se podrá seguir usando la licencia?
El proceso previsto por SBI Shinsei Bank acepta una tarjeta My Number o una licencia de conducir mediante la lectura del chip. Mitsubishi UFJ Bank también sigue aceptando licencias con chip en la aplicación correspondiente. Se indica a los solicitantes que usen una licencia que preparen los dos códigos PIN de cuatro dígitos establecidos al expedirla.
Kyoto Bank ha elegido otra opción para su aplicación: a partir del 2 de noviembre, los solicitantes necesitarán una tarjeta My Number. Quienes abran una cuenta en una sucursal podrán seguir utilizando la licencia de conducir. El servicio web afectado de Aozora también exigirá una tarjeta My Number después del cambio.
SBI Shinsei mantendrá una alternativa para quienes no puedan utilizar su aplicación: una solicitud por internet con envío de los documentos de identidad por correo postal. Estas opciones son importantes en la práctica para las personas cuyos teléfonos no pueden leer una tarjeta o que no pueden completar la autenticación electrónica requerida.
El cambio de Zaif del 13 de octubre exige que los nuevos solicitantes de cuentas personales tengan una tarjeta My Number y un teléfono inteligente capaz de leerla. El cambio no afecta a los clientes cuya identidad ya haya sido verificada.
Los bancos regionales ofrecen varias vías para alcanzar el mismo objetivo
Iwate Bank cambió el proceso de apertura de cuentas nuevas en su sucursal digital Sora el 16 de octubre. Ahora, los clientes usan el chip de la tarjeta My Number y la contraseña del certificado de firma. Hokuto Bank y Shonai Bank trasladaron sus procesos de apertura de cuentas por internet a JPKI el 20 de abril, sustituyendo un proceso que combinaba la verificación de documentos con el envío postal con entrega restringida.
Japan Post Bank programó un cambio para el 20 de octubre a las 9:00 en las solicitudes de cuentas de fondos de inversión y de ahorro NISA presentadas a través de Yucho Direct. Estas solicitudes pasarán de la carga de imágenes de documentos a la autenticación con la tarjeta My Number mediante una aplicación específica de verificación. El cambio afecta a esos servicios de inversión.
Otras entidades han incorporado la verificación electrónica junto con los métodos existentes. UI Bank añadió en marzo opciones de lectura del chip y JPKI, pero mantuvo la fotografía de documentos y rostros. Hokuriku Bank añadió JPKI para determinados trámites en cajeros de Seven Bank y mantuvo disponible su proceso anterior de fotografía.
Shoko Chukin Bank incorporó la lectura del chip con fotografía del rostro en julio y la autenticación personal pública en octubre. Aeon Bank, Chiba Bank, Minna Bank, PayPay Bank y Shiga Bank también han introducido opciones de lectura del chip o del certificado para determinados servicios. Actualmente, sus clientes disponen de una combinación de opciones que depende de la entidad y del trámite.
Japón también fijó el 20 de octubre como fecha objetivo para añadir la tarjeta My Number a Google Wallet en teléfonos Android. La guía de la Agencia de Servicios Financieros ya describe un método legal que emplea registros electrónicos en sustitución de una tarjeta física, mediante programas designados que transmiten y verifican la información de identidad solicitada.
Los riesgos van más allá de las cuentas bancarias
Hiroyuki Minami, profesor del Centro de Iniciativas de Información de la Universidad de Hokkaido y especialista en ciberseguridad, considera que las imágenes de licencias de conducir son datos particularmente peligrosos si se pierden. Advierte que los delincuentes podrían usar las imágenes robadas para solicitar tarjetas de crédito, obtener préstamos de consumo o contratar servicios de telefonía móvil a nombre de otra persona.
Minami recomienda avisar cuanto antes a una agencia de información crediticia como CIC cuando una persona se entere de que su imagen de la licencia ha quedado expuesta. Su consejo responde al riesgo de que alguien intente obtener crédito usando la identidad robada.
La advertencia del 9 de octubre de la Agencia de Servicios Financieros instó a las entidades a revisar la ciberseguridad, incluidos los contratistas, los sistemas expuestos a internet y los procedimientos de respuesta a incidentes. También pidió prestar atención a características inusuales en las imágenes de documentos y rostros mientras los bancos aceleran la verificación mediante chips.
Katsuhiko Kato, presidente de la Asociación de Banqueros Japoneses y presidente de Mizuho Bank, pidió en una rueda de prensa el 15 de octubre que los bancos adopten lo antes posible controles que lean los chips de los documentos de identidad. La asociación trabajaba para que se adoptaran antes de abril de 2027 e insta a sus miembros a actuar más pronto tras la petición del regulador.
Las preguntas frecuentes de la Agencia Nacional de Policía también abordan el tratamiento de los datos. Señalan que la información leída del chip durante una comprobación presencial no tiene que transmitirse a otro lugar. Se mantienen los requisitos existentes para los registros de verificación, mientras que las empresas pueden conservar voluntariamente registros que indiquen que se leyó un chip. Por tanto, los bancos deben decidir tanto cómo autentican a sus clientes como la forma de gestionar la información correspondiente.
Puntos clave
- Las normas revisadas de Japón sobre verificación de identidad entran en vigor el 1 de abril de 2027.
- Mizuho dejó de verificar documentos mediante fotografías el 19 de octubre, tras cambios anteriores en Sumitomo Mitsui Trust Bank y Mitsubishi UFJ Bank.
- La filtración de Times Car expuso imágenes de documentos de identidad asociadas a cerca de 1,6 millones de cuentas.
- SBI Shinsei, Aozora y Kyoto Bank tienen previstos cambios entre el 28 de octubre y el 2 de noviembre.
- Algunos servicios exigen una tarjeta My Number; otros siguen aceptando licencias de conducir mediante la lectura del chip.
- En determinados bancos siguen disponibles alternativas presenciales y por correo postal.
- La Agencia de Servicios Financieros ha instado a acelerar la adopción de estos métodos y a revisar la ciberseguridad y la respuesta a incidentes.
