Dumami ang mga Kahilingan para sa Bagong Lisensya sa Japan Matapos Malantad sa Paglabag sa Seguridad ng Times Car ang 1.6 Milyong Rekord ng Pagkakakilanlan

Hindi mabubura ng bagong lisensya ang mga detalyeng nailabas

Inilantad ng cyberattack sa serbisyo ng Times Car sa Japan ang mga dokumento ng pagkakakilanlan sa humigit-kumulang 1.6 milyong rekord ng miyembro. Dahil dito, may mga humihiling ng kapalit na lisensya sa pagmamaneho, kahit nagbabala ang pulisya na limitado lamang ang proteksiyon laban sa pandaraya na maibibigay ng pagpapalit ng card. Ayon sa mga pagsisiwalat ng kompanya na binanggit sa mga ulat, umabot sa humigit-kumulang 6.6 milyon ang kasalukuyan at dating account ng miyembro na naapektuhan ng mas malawak na paglabag.

Ang agarang problema ay ang hindi mababago ng kapalit na lisensya. Sa muling pag-isyu ng lisensya sa pagmamaneho sa Japan, nagbabago ang larawan nito at ang huling digit lamang ng 12-digit na numero, na nagtatala kung ilang beses na itong muling inisyu. Mananatiling lantad ang mga pangalan, address at petsa ng kapanganakan na nakopya na ng mga kriminal, at walang maaasahang paraan ang mga negosyong nagsusuri ng ninakaw na larawan upang malaman kung napalitan na ang lisensya.

Hinihimok ng National Police Agency ang mga institusyong pinansyal at iba pang negosyo na palakasin ang pagsusuri sa pagkakakilanlan. Pinapayuhan din nito ang mga tao na agad kumonsulta sa pulisya kung pinaghihinalaan nilang nagamit sa maling paraan ang kanilang impormasyon. Hiwalay dito, noong Oktubre 9, hiniling ng Financial Services Agency sa mga institusyon na pabilisin ang paglipat mula sa mga larawang ina-upload ng dokumento ng pagkakakilanlan tungo sa pagsusuring bumabasa sa electronic chip ng mismong card.

Nakatakda na ang pagbabagong ito sa mga binagong regulasyong nagpapatupad sa Act on Prevention of Transfer of Criminal Proceeds. Mula Abril 1, 2027, hindi na tatanggapin sa ilalim ng mga saklaw na tuntunin ang pagpapadala ng mga larawan ng dokumento ng pagkakakilanlan bilang paraan ng beripikasyon kapag hindi personal na nakakaharap ang kostumer. Magiging pamantayan ang pagbasa sa chip, habang pananatilihin ang mga alternatibo para sa mga walang angkop na dokumento o smartphone.

Gaano kalawak ang pagkakalantad ng impormasyon?

Pinatatakbo ang Times Car ng isang kaanib na kompanya ng Park24 Co. Natukoy ng serbisyo ang panghihimasok noong Setyembre 25. Tinatayang 6.6 milyon ang naapektuhang account o rekord na nailabas, ayon sa mga ulat. Kabilang dito ang humigit-kumulang 1.6 milyong may dokumento ng pagkakakilanlan, gaya ng mga larawan ng lisensya sa pagmamaneho.

Magkakaibang bahagi ng paglabag ang inilalarawan ng mga bilang na ito; hindi sila magkatunggaling pagtataya sa iisang kabuuan. Batay sa iniulat na dami ng account, may dokumento ng pagkakakilanlan sa humigit-kumulang 24% ng mga naapektuhang rekord, o halos isa sa bawat apat. Wala sa dalawang bilang ang nagbibigay ng eksaktong dami ng magkakaibang indibidwal, at maaari pang magbago ang mga kabuuan habang nagpapatuloy ang imbestigasyon.

Maaaring kabilang sa nalantad na impormasyon ang mga pangalan, tirahan, petsa ng kapanganakan, numero ng telepono, email address at detalye ng lisensya. Nakatanggap ng abiso ang isang gumagamit ng Times Car sa Lungsod ng Fukuoka na nagsasaad na kabilang sa nailabas na impormasyon ang kanyang address, petsa ng kapanganakan, numero ng telepono, email address at larawan ng lisensya.

Naapektuhan din ang mga dating kostumer. Iniulat na itinago ang kanilang datos nang humigit-kumulang pitong taon, kaya nabigyang-pansin kung patuloy bang iniimbak ng mga kompanya ang sensitibong dokumento matapos hindi na kailangan para sa orihinal na layunin. Hinimok ng Personal Information Protection Commission ng Japan ang mga negosyo na burahin ang personal na impormasyong hindi na nila kailangan.

Mahahalagang petsa sa pagtugon

Nagsimula ang panawagan para sa mas mahigpit na pagsusuri sa pagkakakilanlan bago pa ang panghihimasok sa Times Car. Lalo pang tumindi ang panggigipit na ipatupad ang pagbabagong ito bago ang petsa ng pagsisimula nito sa batas dahil sa paglabag sa seguridad.

• Hunyo 2025: Ipinahayag ang mga pagbabago sa mga regulasyon sa beripikasyon ng pagkakakilanlan, na nagtakda ng hinaharap na pagtatapos ng mga saklaw na paraang nakabatay sa mga larawang ina-upload ng dokumento.
• Setyembre 25, 2026: Natukoy ng Times Car ang panghihimasok.
• Setyembre 29: Nakatanggap ng email ang isang naapektuhang kostumer sa Kanazawa na nagkumpirmang nailabas ang kanyang personal na impormasyon.
• Oktubre 8: Tinalakay ni National Police Agency Commissioner Yoshinobu Kusunoki ang cybersecurity at pag-iwas sa pandaraya sa isang news conference.
• Oktubre 9: Hiniling ng Financial Services Agency ang maagang paggamit ng pagsusuri sa pagkakakilanlan gamit ang mga chip ng card.
• Oktubre 11: Iniulat ang pagdami ng mga katanungan at aplikasyon para sa muling pag-isyu ng lisensya sa iba’t ibang panig ng Japan.
• Abril 1, 2027: Nakatakdang magkabisa ang binagong mga tuntunin sa beripikasyon ng pagkakakilanlan.

Panawagan para sa mas mabilis na pagpapatupad ang kahilingan noong Oktubre 9, hindi bagong agarang pagbabawal sa mga kasalukuyang paraan ng beripikasyon. Hinihiling sa mga institusyong gumagamit pa rin ng mga larawan na maingat na suriin ang mga larawan ng dokumento at mukha habang naghahanda sa paglipat.

Bakit dumarami ang mga kahilingan para sa kapalit na lisensya

Maraming katanungan ang natanggap ng mga himpilan ng pulisya at sentro ng lisensya sa pagmamaneho mula nang mabunyag ang paglabag sa seguridad. Nagtanong ang mga tao tungkol sa pagpapalit ng kanilang mga lisensya at pagbabago sa impormasyong nakatala rito, dahil nangangamba silang magamit ang nalantad na dokumento ng pagkakakilanlan upang magpanggap bilang sila.

Karaniwang muling iniisyu ang lisensya habang balido pa ito dahil sa mga dahilan gaya ng pagkawala, pagnanakaw, pagkasira o pagbabago sa mga detalyeng nakatala. Maaari ring aprubahan ng mga komisyon sa kaligtasang pampubliko ng mga prefecture ang pagpapalit dahil sa iba pang mabibigat na dahilan. Matapos ang pagtagas ng impormasyon mula sa Times Car, iniulat na halos lahat ng tanggapan ay tumatanggap ng mga aplikasyon, dahil kinikilala ang panganib ng maling paggamit bilang batayan para sa muling pag-isyu.

Sa Prefecture ng Ishikawa, ilang katanungan bawat araw ang natatanggap ng sentro ng lisensya sa pagmamaneho. Tumatanggap ng mga aplikasyon sa sentro ng lisensya ng prefecture sa Kanazawa at sa mga himpilan ng pulisya sa Wajima at Suzu. Ayon sa ulat, 2,600 yen ang bayad para sa karaniwang lisensya at 1,500 yen para sa lisensyang My Number, na nag-uugnay sa impormasyon ng lisensya sa pagmamaneho sa My Number card.

Isinasaalang-alang ng isang lalaking taga-Kanazawa na nasa edad 30 at dalawang taon nang gumagamit ng Times Car ang pagpapalit ng lisensya matapos matanggap ang abiso noong Setyembre 29. Sa panahong inilalarawan sa lokal na ulat, sinabi niyang wala pa siyang natatanggap na detalyadong paliwanag bilang kasunod na abiso. Nagbabala sa lahat ng empleyado sa pamamagitan ng email ang isa pang kompanya sa Kanazawa na may corporate contract sa Times Car, ngunit patuloy pa rin itong gumamit ng serbisyo.

Ano talaga ang nababago sa muling pag-isyu ng lisensya

Hindi nito nabubura ang pagkakakilanlan ng taong nalantad ang impormasyon. Bagaman nagbabago ang larawan at huling digit ng numero, maaari pa ring gamitin ang natitirang mga detalye sa nakopyang dokumento sa tangkang pagpapanggap. Hindi rin nababawi o nabubura ng muling pag-isyu ang mga larawang nakuha na mula sa mga sistema ng kompanya.

Mahalaga ang pagkakaibang ito dahil hindi patunay ng pag-aari sa orihinal na card ang pagkakaroon ng larawan nito. Kung tatanggapin ng isang negosyo ang larawan nang walang sapat na karagdagang pagsusuri, maaaring hindi mapigilan ng pagbibigay ng bagong card sa lehitimong may-ari ang ibang taong magharap ng lumang larawan.

Nagbabala ang Personal Information Protection Commission na maaaring gamitin sa maling paraan ang mga nalantad na larawan ng lisensya upang kumuha ng credit card, magbukas ng bank account o mag-ayos ng kontrata sa mobile phone. Mga posibleng uri ito ng maling paggamit, hindi patunay na nagamit na sa pandaraya ang bawat nalantad na dokumento.

Walang iniulat na pambansang kabuuan ng mga lisensyang muling naibigay o kumpirmadong pandarayang partikular na nauugnay sa paglabag sa seguridad ng Times Car. Pinatutunayan ng mga impormasyong mayroon ang malawakang pangamba at aktibidad ng mga aplikasyon sa ilang lugar, ngunit hindi pa nito nasusukat kung ilang tao ang nalugi.

Bakit hinihimok ang mga bangko na bumasa ng chip ng card

Binabasa sa beripikasyon ng chip ang elektronikong impormasyon mula sa pisikal na dokumento ng pagkakakilanlan, gaya ng lisensya sa pagmamaneho o My Number card, sa halip na umasa lamang sa larawang ina-upload ng aplikante. Dahil dito, hindi sapat ang ninakaw na larawan lamang upang makumpleto ang hakbang ng pagbasa sa chip.

Hinikayat ni Financial Services Minister Satsuki Katayama ang mga institusyon na gumamit ng mas mahigpit na pagsusuri kapag kinukumpirma ang pagkakakilanlan ng mga kostumer:

maayos na ipatupad ang mga proseso ng beripikasyon ng pagkakakilanlan, kabilang ang pagbasa sa datos ng integrated circuit chip.

Hiniling din ng abiso ng Financial Services Agency noong Oktubre 9 sa mga institusyon na suriin ang kanilang mga hakbang sa cybersecurity, kabilang ang pangangasiwa sa mga kontratista. Hindi tinukoy sa kahilingan ang isang partikular na paglabag sa seguridad, bagaman kasunod ito ng pagsisiwalat sa panghihimasok sa Times Car at iba pang insidenteng may kinalaman sa mga dokumento ng pagkakakilanlan.

May mga alternatibo sa binagong mga regulasyon para sa mga walang dokumento ng pagkakakilanlang may chip o smartphone na sumusuporta sa near field communication, na kilala bilang NFC. Nagbibigay-daan ang NFC sa isang katugmang telepono na makipag-ugnayan sa card na inilapit dito. Kabilang sa mga natitirang paraan ang pagpapadala sa koreo ng orihinal na dokumento ng pagkakakilanlan na may mga pananggalang laban sa pamemeke.

Tinutugunan ng pagbasa sa chip ang isang paraan ng pagpapanggap. Hindi nito ginagawang hindi na magagamit ang mga nalantad na address, petsa ng kapanganakan o numero ng telepono, at hindi rin nito inaalis ang pangangailangan ng mga institusyong siyasatin ang mga kahina-hinalang aplikasyon.

Mas malawak na bugso ng mga pag-atake, ngunit walang napatunayang iisang salarin

Naganap ang paglabag sa seguridad ng Times Car kasabay ng mga pagsisiwalat na nakaapekto sa mga serbisyo sa transportasyon, retail at restaurant. Kabilang sa mga iniulat na insidente ang pagkopya sa mahigit 10 milyong rekord ng kostumer mula sa reservation at rewards app ng Yakiniku King restaurant chain, at pagkalantad ng humigit-kumulang 1.67 milyong email address mula sa sistema ng booking na Eki-net ng JR East.

Inilalarawan din sa mga ulat ang mga insidenteng kinasasangkutan ng Tokyo Metro, Lawson at Nikkei. Sa Fukuoka, kabilang sa mga pagsisiwalat ang mga naganap sa retailer na MrMax at sa serbisyo ng transport card na nimoca, habang sinabi ng JR Kyushu na maaaring nailabas ang mga email address ng mga miyembro sa web. Nagkakaiba ang mga insidenteng ito sa impormasyong nalantad at hindi dapat ituring na katumbas ng paglabag na may kasamang mga nakuhang larawan ng dokumento ng pagkakakilanlan.

Nagpatawag si Digital Minister Masaaki Taira ng emergency meeting at ganito niya inilarawan ang sitwasyon:

emergency sa cyberspace

Tinalakay rin ni Cybersecurity Minister Toshiharu Furukawa ang tindi ng sitwasyon:

lubhang kritikal

Hiniling ng ministeryo ng industriya sa humigit-kumulang 1,000 grupo ng industriya na suriin ang mga kagamitan at sistema ng komunikasyon para sa mga kahinaan. Walang grupong umako sa pananagutan sa mga pag-atakeng inilarawan sa mas malawak na bugso, at wala pang natutukoy ang mga imbestigador na iisang salarin.

Ano ang nalalaman tungkol sa mga paraan ng pag-atake?

Inilarawan ng computer emergency response team ng Japan, ang JPCERT/CC, ang mga pamamaraang nakita sa mga kamakailang pag-atake. Kabilang dito ang paghahanap ng mga depekto sa software na hindi pa naaayos, maling paggamit sa mga panloob na interface na natuklasan sa pamamagitan ng mga mobile app, at pagsasamantala sa kilalang kahinaan ng SQL injection sa analytics tool na Metabase.

Ang SQL injection ay paraan ng pagbabago sa isang kahilingan sa database upang magsagawa ang isang mahinang aplikasyon ng mga hindi nilalayong aksiyon na posibleng maglantad ng nakaimbak na impormasyon. Nagbibigay ng konteksto ang mga iniulat na pamamaraan tungkol sa mas malawak na aktibidad ng pag-atake, ngunit hindi nito pinatutunayan kung aling paraan ang ginamit laban sa Times Car.

Iniulat na nakapagtala ang Information Infrastructure Center ng Fukuoka Institute of Technology ng halos 9,000 naharang na tangkang pag-atake sa loob ng 30 minuto. Ipinakikita ng obserbasyong iyon ang dami ng mapaminsalang aktibidad na kinakaharap ng isang institusyon. Hindi ito bilang ng matagumpay na paglabag sa seguridad o pambansang sukatan ng mga ninakaw na rekord.

Iminungkahi ng mga espesyalista sa seguridad na maaaring mabawasan ng artificial intelligence ang pagsisikap na kailangan sa paghahanap ng mga target. Nagbabala si Masaki Hiraoka ng kompanya sa seguridad na Blackpanda na hindi pa tahasang iniuugnay sa AI ang mga pag-atake. Hindi pinatutunayan ng posibilidad na iyon o ng tila pinagmulan ng trapiko sa network kung sino ang may pananagutan.

Ano ang dapat bantayan ng mga naapektuhan

Inaasahan ng National Police Agency ang higit pang mga scam call at mapanlinlang na email mula sa mga nagpapanggap na negosyo na nakaranas ng paglabag sa seguridad. Dahil sa mga nalantad na detalye sa pakikipag-ugnayan, maaaring maging mas kapani-paniwala ang mga mensaheng ito, lalo na kung alam ng tumatawag ang pangalan, address o pagiging miyembro ng isang tao sa serbisyo.

Sa news conference niya noong Oktubre 8, sinabi ni Commissioner Yoshinobu Kusunoki na tututukan ng ahensiya kapwa ang mga imbestigasyon at pag-iwas. Hinikayat niya ang pagsasagawa ng mga batayang pag-iingat, kabilang ang paggamit ng mga app na humaharang sa mga scam call, pagpapalit ng mga password at pag-iwas sa mga kahina-hinalang email.

Hinihimok ng mga awtoridad ang mga tao na agad makipag-ugnayan sa pulisya kapag pinaghihinalaan nilang may naganap na pandaraya o maling paggamit. Kung may matuklasang hindi pamilyar na kontrata o account, ipinapayo rin ng Personal Information Protection Commission na kumonsulta sa kinauukulang kompanya ng credit card o bangko. Pinatutunayan ng abiso ng paglabag sa seguridad na nalantad ang impormasyon; nangangailangan naman ng hiwalay na pagtugon ang hindi inaasahang account, kontrata o transaksiyon.

Ang susunod na nakatakdang petsa ay Abril 1, 2027. Inaasahan din sa susunod na Abril ang binagong gabay sa privacy na sasaklaw sa mga hakbang gaya ng passkeys, pagtukoy sa panghihimasok at pagbura ng hindi kailangang datos. Hanggang noon, magkasalo sa pangunahing tungkulin ang mga negosyo at ang mga naapektuhan: dapat palakasin ng mga negosyo ang beripikasyon at proteksiyon sa datos, habang nananatiling mapagmatyag ang mga naapektuhan sa maling paggamit na hindi mapipigilan ng pagpapalit ng lisensya.

Mahahalagang Punto

• Naapektuhan ang humigit-kumulang 6.6 milyong account ng Times Car, kabilang ang halos 1.6 milyong rekord na may mga dokumento ng pagkakakilanlan.
• Binabago ng kapalit na lisensya ang larawan at huling digit ng numero, ngunit hindi ang malaking bahagi ng nalantad na personal na impormasyon.
• Tumatanggap ang Ishikawa ng mga aplikasyon para sa muling pag-isyu; ayon sa ulat, 2,600 yen ang bayad para sa karaniwang lisensya at 1,500 yen para sa lisensyang My Number.
• Hiniling sa mga institusyong pinansyal na gumamit ng beripikasyon sa chip ng card bago magkabisa ang mga bagong tuntunin sa Abril 1, 2027.
• Nagbabala ang mga awtoridad tungkol sa pagpapanggap, mapanlinlang na kontrata, scam call at pekeng email, at hinimok ang agarang konsultasyon kapag pinaghihinalaan ang maling paggamit.
• Wala pang naiuugnay sa iisang salarin ang iniulat na bugso ng mga pag-atake, at hindi pa naitatakda ang pambansang kabuuan ng pandarayang dulot ng paglabag sa seguridad ng Times Car.