Para: cualquier persona que haya usado Times Car, Times Business Service o Times Club en Japón, incluidas las que dejaron el servicio o solo iniciaron una solicitud, y cualquier persona que opere un servicio que recopile documentos de identidad. Este artículo se basa en los avisos oficiales y las preguntas frecuentes del operador y no cubre técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la empresa publique más información
A 24 de octubre de 2026Aún no se sabe
- Detalles del pago de 3.000 yenes y forma en que se realizará (la empresa dice que aún lo decide y contactará a las personas elegibles)
- Medidas de seguridad de la información y gobernanza (se publicarán antes de fin de año)
- Conclusiones del comité de investigación dirigido por directores externos
En su quinta notificación del 23 de octubre, la empresa indicó que la investigación forense externa concluyó ese día y publicó las cifras finales, la causa (explotación de una vulnerabilidad del sistema web) y su política de pagos. Afirma que hasta ahora no se ha encontrado un alcance adicional. No publicará detalles del método de ataque ni de la configuración del sistema, para evitar más daños.
Revise sus propios datos en Mi Página
Desde las 17:00 del 23 de octubre, la empresa muestra, en la Mi Página de cada persona en el sitio web de Times Car, la información confirmada como filtrada para esa persona. Publicó los pasos en un PDF (cómo consultar, en japonés). Abra Mi Página iniciando sesión desde la aplicación oficial o desde un sitio oficial que abra usted mismo (share.timescar.jp), no desde un enlace en un correo electrónico.
Según las preguntas frecuentes, los correos enviados antes indican lo que se había confirmado en el momento de cada envío. Consulte el resultado final, tras concluir la investigación, en Mi Página. Lo que debe hacer depende de cuál de estos casos le corresponda.
| Lo que encuentra (categoría en la quinta notificación) | Lo que dice la empresa | Qué hacer |
|---|---|---|
| Imágenes de documentos de identidad con «indicios de acceso y transmisión al exterior» (④, 1.464.800) | Se enviaron imágenes cifradas. Esto no significa que el contenido se haya vuelto legible de inmediato, pero no se puede descartar por completo el descifrado futuro. Elegible para el pago de 3.000 yenes | Todos los pasos siguientes, especialmente las alertas de fraude en las tres agencias de crédito y la revisión de su historial crediticio |
| Imágenes de documentos de identidad «accedidas, sin indicios de transmisión al exterior» (⑤, 891.602) | La empresa considera baja la probabilidad de que el contenido haya sido visto u obtenido. No elegible para el pago | Esté atento a suplantaciones. Las alertas de fraude son opcionales |
| Nombre, dirección, fecha de nacimiento, teléfono, correo electrónico, información de la licencia de conducir y demás (①, 6.628.007) | Elementos distintos de las imágenes. Incluye a personas que se registraron solo para estacionamiento mediante «Kantan Nyukai» (pago con tarjeta) | Esté atento a suplantaciones. Los socios corporativos también deben vigilar correos falsos que usen nombres de departamento |
| Socio de Times Club | En el sistema web de Times Club, números de tarjeta Times Club (19.510), identificadores de servicios vinculados (135.436), últimos cuatro dígitos de tarjeta (28) y más mostraron indicios de envío (⑥) | Esté atento a suplantaciones. Pregunte a la línea de atención de la empresa si está afectado (la quinta notificación no explica cómo comprobarlo) |
| Exsocio, o nunca completó el registro | No se puede consultar en Mi Página | Consulte mediante el formulario específico (respuesta en unas dos semanas, por orden) |
Los correos de notificación son fáciles de falsificar: no actúe a través de enlaces en ellos
Pueden aparecer correos falsos que imiten las notificaciones reales. La empresa indica en sus preguntas frecuentes que nunca pide por teléfono ni por correo electrónico códigos de verificación por SMS, contraseñas de servicios de internet ni los PIN de las licencias de conducir o de las My Number Card.
A 24 de octubre, los detalles del pago y la forma en que se realizará no se han decidido (la empresa contactará a las personas elegibles una vez decidido). Si un mensaje sobre «recibir su pago» le pide datos bancarios o de tarjeta, no abra su enlace; compruebe por su cuenta si la misma información aparece en la sección de noticias del sitio oficial (share.timescar.jp). La línea de atención es 0120-25-8924 (24 horas, Japón), o use el formulario de contacto del sitio oficial.
La quinta notificación y las preguntas frecuentes de la empresa no indican qué incluye la «información de la licencia de conducir» (número de licencia, fecha de vencimiento, clase de licencia, etc.). Figura por separado de las imágenes de documentos. Si necesita saberlo, consulte la línea de atención.
Qué deben hacer hoy las personas afectadas
Los pasos detallados para frenar el uso indebido de una licencia filtrada están en una guía aparte
Cómo registrar alertas de fraude, cómo detectar llamadas o contratos de préstamo fraudulentos y cómo acudir a la policía se explican en Qué hacer si se filtra la imagen o el número de su licencia de conducir. Este artículo se limita a los puntos específicos de este incidente.
Ignore las instrucciones de correos, mensajes, llamadas o cartas que digan ser de la empresa (todos)
Los datos filtrados combinan nombre, dirección, fecha de nacimiento, número de teléfono y correo electrónico. Con todo eso, un estafador puede redactar un mensaje convincente.
Si le contactan sobre «trámites de compensación», «volver a presentar su licencia» o «volver a registrar su tarjeta», no abra el enlace; abra usted mismo la aplicación o el sitio oficial. Las preguntas frecuentes de la empresa también piden no responder a contactos desconocidos ni abrir enlaces o archivos adjuntos (véase ¿Qué es el phishing?).
El 6 de octubre, la empresa añadió a sus preguntas frecuentes una advertencia sobre contactos que dicen ser de la empresa, de entidades financieras, de operadoras de telefonía o de organismos públicos y que intentan obtener códigos de verificación por SMS, identificadores y contraseñas, datos bancarios, datos de tarjeta de crédito o PIN. Dice que nunca pide códigos SMS, contraseñas ni los PIN de las licencias de conducir o de las My Number Card por teléfono o correo electrónico. También indicó que consultó a la Agencia Nacional de Policía y que transmite la advertencia de esa agencia sobre llamadas de estafa de personas que se hacen pasar por policías, así como las aplicaciones gratuitas contra llamadas fraudulentas que la agencia recomienda. No responda en el momento; verifique usted mismo con el canal oficial de contacto de cada empresa.
Registre una alerta de fraude en las tres agencias de crédito de Japón (si sus imágenes de documentos fueron enviadas)
Puede registrar una autodeclaración cuando su nombre pueda ser utilizado indebidamente porque un documento de identidad se perdió, fue robado o se filtró. Las entidades prestamistas y emisoras de tarjetas ven entonces la nota y revisan las solicitudes con más cuidado.
En sus preguntas frecuentes (P12), la empresa explica que el sistema se usa para decisiones de crédito y no, por ejemplo, para abrir una cuenta de depósito, y afirma que no lo recomienda ni lo garantiza. La opinión de este sitio es que, como no se descarta el descifrado futuro de las imágenes enviadas, registrarse merece la pena para esas personas.
Cada agencia tiene empresas miembro distintas, así que registrarse en las tres es la opción más segura. Las tarifas y los métodos aparecen en la tabla siguiente (consultados en el sitio oficial de cada agencia el 3 de octubre de 2026).
Solicite su historial crediticio y busque cuentas que usted no abrió (si sus imágenes de documentos fueron enviadas)
Una alerta de fraude no bloquea las solicitudes. Use su historial crediticio para confirmar que no se abrió nada a su nombre.
Revise una vez ahora y de nuevo unos meses después si aparecen tarjetas o préstamos que nunca solicitó. Si recibe un contrato desconocido, un aviso de cobro o correo de una operadora de telefonía o de una entidad prestamista que nunca usó, contacte con esa empresa y con su comisaría local.
Exsocios y personas que nunca completaron el registro: consulten mediante el formulario específico y soliciten la eliminación si lo desean
La empresa empezó a contactar a los exsocios el 1 de octubre, pero advierte que sus datos de contacto registrados pueden ya no funcionar. Los exsocios y las personas que nunca completaron el registro no pueden consultar en Mi Página, por lo que la empresa les pide que consulten mediante el formulario específico de consultas (respuesta en unas dos semanas tras el envío, por orden). El formulario está enlazado en la quinta notificación: formulario de consulta para exsocios (en japonés).
En su cuarta y quinta notificación, la empresa dijo que eliminará las imágenes de documentos de identidad antes de fin de octubre, lo pida o no alguien. Sus preguntas frecuentes (actualizadas el 23 de octubre) siguen indicando que el nombre, la dirección y la fecha de nacimiento se conservan durante siete años según la Ley del Impuesto de Sociedades y otras leyes, pero añaden que también revisará los plazos de conservación de otros datos. Si no piensa volver a usar el servicio, también puede preguntar cómo se tratan esos datos y solicitar su eliminación (la base legal se explica más abajo).
Deje de reutilizar contraseñas
Según la quinta notificación, las contraseñas con hash (convertidas en una forma que no puede revertirse) mostraron indicios de envío en 4 casos. Compruebe en Mi Página si está entre ellos. Aunque no lo esté, si usa su contraseña de Times Car en otros servicios, cambiarla allí es una precaución sensata. Un gestor de contraseñas es la forma realista de hacer ese inventario.
Administradores de cuentas corporativas: adviertan al personal sobre correos que suplantan a socios comerciales
Según la quinta notificación, los nombres de departamento de socios corporativos mostraron indicios de envío en 3.677 casos. El nombre, el departamento y el correo electrónico juntos facilitan suplantar a un socio comercial o a un compañero.
Establezca la regla de que peticiones como «nuestra cuenta bancaria ha cambiado» o «revise esto con urgencia» se verifiquen por otro canal, como una llamada telefónica (para proteger su propio dominio: Suplantación de correo electrónico y SPF, DKIM, DMARC).
| Agencia de crédito | Principales empresas miembro | En línea / aplicación | Por correo | Alerta válida durante |
|---|---|---|---|---|
| CIC | Emisores de tarjetas, empresas de crédito al consumo | 1.000 yenes (debe llamar desde un número de teléfono usado en un contrato de crédito) | 1.000 yenes (giro postal) | 5 años |
| JICC (Japan Credit Information Reference Center) | Prestamistas de consumo y otros | Aplicación para smartphone, 700 yenes | 1.111 yenes por tipo de comentario | 5 años |
| KSC (Asociación Japonesa de Banqueros) | Bancos y otros | 500 yenes (se requiere My Number Card) | 2.403 yenes | Consulte el sitio oficial |
Las agencias de crédito están saturadas: también puede solicitar por correo
Las solicitudes se dispararon tras la divulgación. El 30 de septiembre, CIC indicó que era difícil obtener la divulgación en línea y los números de referencia de alerta de fraude, y que sus líneas telefónicas estaban ocupadas. JICC suspendió las solicitudes por aplicación para smartphone el 1 de octubre, las reanudó el 2 de octubre y luego las volvió a detener desde las 18:30 de ese día hasta el 4 de octubre por mantenimiento de servidores (se anunciará la hora de reinicio).
Un retraso de unos días es menos arriesgado que caer en un sitio falso. Solicite desde el sitio oficial de cada agencia, o por correo si no logra conectar, y evite los sitios de «servicios de solicitud» a los que se llega desde anuncios de búsqueda o enlaces de correo.
Qué pasó (según los avisos de Times Mobility)
Times Mobility Co., Ltd., junto con su matriz Park24 Co., Ltd., publicó avisos los días 25, 28 y 29 de septiembre, el 16 de octubre (cuarto) y el 23 de octubre (quinto) de 2026. Sus preguntas frecuentes se publicaron el 1 de octubre y se actualizaron el 6, 13, 16 y 23 de octubre. Todo lo siguiente es tal como lo indica la empresa en sus avisos oficiales.
25 sep 2026, 9:07
La empresa detectó un acceso externo no autorizado al sistema web de Times Car y comenzó a investigar.25 sep
Primer aviso sobre una posible filtración de datos personales; la empresa indicó que estaba informando a la Comisión de Protección de la Información Personal, entre otras medidas.Hasta el 26 sep, 7:25
Se cortaron la ruta de acceso y la comunicación con el atacante. La empresa confirmó que el acceso ya no era posible y continuó con la supervisión.28 sep
Segundo aviso: se confirmó que un tercero obtuvo datos de unas 6,6 millones de cuentas. Se informó a la comisión y a la policía, y se presentó un informe inicial al Ministerio de Tierra, Infraestructura, Transporte y Turismo. Comenzaron los avisos a los socios existentes (según la cronología de la quinta notificación). La comunicación bursátil de Park24 indicó que el impacto en sus resultados estaba en revisión.29 sep
Tercer aviso: se filtraron imágenes de documentos de identidad de unas 1,6 millones de cuentas. Comenzaron los avisos a socios individuales (según la cronología de la quinta notificación).1 oct
Se añadieron las preguntas frecuentes y un formulario específico para exsocios. Comenzaron los avisos individuales a exsocios. Los socios individuales cuya otra información se filtró también recibieron correos electrónicos.2 oct
Comenzaron los avisos a socios corporativos (según la cronología de la quinta notificación).6 oct
Se añadieron dos preguntas a las preguntas frecuentes: cómo funcionan las verificaciones de identidad cuando se filtra una imagen de licencia, y una advertencia sobre contactos que se hacen pasar por la empresa y otros (incluida la consulta a la Agencia Nacional de Policía y una advertencia sobre llamadas de falsos policías).13 oct
Se actualizaron las dos respuestas de las preguntas frecuentes: más ejemplos de pasos adicionales de verificación de identidad (lectura del chip IC, autenticación personal pública) y las leyes y materiales gubernamentales en que se basan las respuestas.16 oct
Cuarto aviso: la empresa revisó la conservación de las imágenes de documentos de identidad y cambió sus normas internas para que las imágenes no se conserven una vez completado el registro de socio. Las imágenes que actualmente conserva se eliminarán antes de fin de octubre de 2026, lo pida o no la persona. Indicando que la investigación se alarga, trasladó la actualización prometida en unas dos semanas al viernes 23 de octubre. Se añadieron dos preguntas a las preguntas frecuentes: por qué la divulgación tarda y cómo se evitará la suplantación una vez eliminadas las imágenes.23 oct
La investigación forense externa concluyó y se publicó la quinta notificación: cifras finales (6.628.007 registros en el sistema web de Times Car, 1.464.800 imágenes de documentos enviadas y más), acceso no autorizado al sistema web relacionado de Times Club, la causa (explotación de una vulnerabilidad del sistema web), un pago de 3.000 yenes y medidas que se publicarán antes de fin de año. Desde las 17:00, en Mi Página se muestran los datos filtrados de cada persona. Las preguntas frecuentes se actualizaron con nuevas preguntas sobre el pago y el sistema de alertas de fraude, entre otras.
- Investigación
- La investigación forense externa concluyó el 23 de octubre. Las cifras dadas son finales, basadas en sus conclusiones, y hasta ahora no se ha encontrado un alcance adicional
- Sistema web de Times Car (①)
- Nombre, dirección, fecha de nacimiento, número de teléfono, correo electrónico e información de la licencia de conducir. Se encontraron indicios de acceso del atacante y de transmisión al exterior de 6.628.007 registros. Incluye los datos de contrato (nombre, teléfono, correo electrónico) de personas que se unieron a Times Business Service mediante «Kantan Nyukai» y contrataron solo estacionamiento, pagando con tarjeta
- Datos de atributos e identificadores (②)
- Nombres de departamento de socios corporativos: 3.677; números de socio de Times Car (números de gestión IC): 8; números de tarjeta Times Business: 113; identificadores de servicios vinculados: 4 (corregido desde nueve en el segundo aviso; «WESTER ID», el servicio de socios de JR West Group, listado en el segundo aviso, fue cero)
- Contraseñas (③)
- Credenciales con hash (contraseñas) con indicios de envío: 4
- Imágenes de documentos de identidad (④⑤)
- Almacenadas cifradas. Indicios de envío: 1.464.800; accedidas sin indicios de envío: 891.602; total 2.356.402. La empresa había dicho antes que podrían haberse filtrado unos 1,6 millones. Un indicio de transmisión al exterior no significa que el contenido se haya vuelto legible de inmediato, pero no se puede descartar por completo el descifrado futuro (según la empresa)
- Tipos de imágenes
- Licencias de conducir, documentos de domicilio (como recibos de servicios), carnés de estudiante (plan estudiantil), documentos de verificación familiar (plan familiar) (según se describe en las versiones de las preguntas frecuentes del 1 al 16 de octubre)
- Sistema web de Times Club (⑥)
- También se encontró acceso no autorizado relacionado con este incidente. Indicios de envío: nombre, dirección, fecha de nacimiento e información de la licencia de conducir 5; números de tarjeta Times Club 19.510; números de tarjeta Times Business 12; identificadores de servicios vinculados (identificadores para vincular con servicios de socios) 135.436; últimos cuatro dígitos de tarjeta de crédito 28
- Otros
- Los identificadores usados para la gestión de socios y las operaciones del sistema también mostraron indicios de acceso y transmisión al exterior
- Información de la licencia de conducir
- Contenido no divulgado (listado por separado de las imágenes de documentos)
- Tarjetas de crédito
- La empresa no conserva los datos de pago y no tiene números completos de tarjeta ni códigos de seguridad, por lo que afirma que las tarjetas no pueden utilizarse indebidamente
- Daño secundario
- Según sabe la empresa, no hay pruebas de que los datos filtrados se hayan vendido o publicado. Continúa la supervisión, incluida la dark web, con especialistas externos
- Causa
- Se considera que fue la explotación de una vulnerabilidad del sistema web. Tras entrar, el atacante buscó información en el sistema y usó lo obtenido para acceder a bases de datos y al almacenamiento de archivos. Los detalles del método y de la configuración del sistema se reservan para evitar más daños
- Medidas
- Medidas para la ruta de intrusión confirmada completadas. Sistemas con la misma configuración revisados y parcheados; supervisión y detección reforzadas
- Pago
- Para las personas cuyas imágenes cifradas de documentos mostraron indicios de acceso y transmisión al exterior, efectivo o vales por valor de 3.000 yenes. Detalles y método aún en decisión; se contactará a las personas elegibles
- Conservación de imágenes (cuarto y quinto avisos)
- Para los socios actuales, se cambió de «conservadas durante la membresía» a «eliminadas inmediatamente después de completar la verificación del registro» (para los exsocios, la norma actual es «conservadas durante siete años tras la baja» y la celda de la nueva norma muestra solo un guion). Las imágenes que actualmente se conservan se eliminarán antes de fin de octubre de 2026, lo pida o no la persona. Se conservará la información necesaria para comprobar si una imagen coincide con una almacenada previamente. La empresa no detalla por razones de seguridad sus medidas contra la suplantación tras la eliminación, pero afirma que no se relajarán (P14 de las preguntas frecuentes)
- Próximos pasos
- Un comité de investigación dirigido por directores externos, con expertos externos, revisará el control interno y la gobernanza. Medidas específicas de seguridad de la información y gobernanza se publicarán antes de fin de año
- Contacto
- Línea de atención 0120-25-8924 (24 horas, Japón), el formulario de contacto del sitio oficial y el formulario para exsocios
Cómo leerlo: «no se ha confirmado venta ni publicación» no significa «seguro»
La empresa afirma que, según sabe, no hay pruebas de que los datos filtrados se hayan vendido o publicado. Eso significa que todavía no se ha encontrado nada, no que nada vaya a usarse más adelante. Tampoco el cifrado de las imágenes lo resuelve: la propia empresa no ha descartado el descifrado futuro.
Las imágenes de documentos de identidad, en particular, pueden seguir usándose indebidamente dentro de años. Piense en sus precauciones en años (las alertas de fraude de CIC y JICC se mantienen registradas durante cinco años).
Por qué las imágenes de licencias filtradas son la parte más grave
Cosas que puede cambiar o reemitir
- Contraseña (aquí con hash; 4 enviadas; deje de reutilizarla)
- Tarjeta de crédito (no se conservan números completos ni códigos de seguridad; los últimos cuatro dígitos se filtraron en 28 casos)
- Correo electrónico y número de teléfono (un inconveniente, pero se pueden cambiar)
Cosas que no puede cambiar por sí mismo
- Nombre y fecha de nacimiento
- Fotografía del rostro
- Dirección (salvo que se mude)
Datos enviados (1.464.800 imágenes de documentos)
Imágenes cifradas de licencias de conducir y otros documentos, además de nombre, dirección y fecha de nacimiento
↓ Alguien solicita a su nombre
Evaluación de préstamos y tarjetas de crédito
Las empresas miembro revisan su historial crediticio
Alerta de fraude (autodeclaración) en las tres agencias
Las empresas miembro revisan las solicitudes con más cuidado. No las bloquea
↓ Si algo se abre de todos modos
Tarjetas o préstamos que nunca solicitó
También puede notarlo por un aviso de cobro o un correo de una empresa que nunca usó
Solicite su historial crediticio
Una vez ahora y de nuevo unos meses después. Si encuentra algo, contacte con esa empresa y con la policía
Una contraseña cambiada hace inútil la anterior; las imágenes de documentos de identidad no funcionan así. En los contratos en línea en Japón, un método habitual de verificación ha sido simplemente enviar una foto de su licencia más un selfi.
Las imágenes de este caso estaban almacenadas cifradas. El cifrado impide leer los datos robados de inmediato; no impide que sean robados. La propia empresa no ha descartado por completo el descifrado futuro de los datos cifrados enviados, así que planifique sus precauciones en años.
Sobre la reemisión de la licencia: el artículo 94, apartado 2, de la Ley de Tránsito por Carretera enumera motivos como pérdida, destrucción, suciedad o daño; una imagen filtrada no se menciona, así que consulte con su centro de licencias local. Una licencia reemitida mantiene el mismo nombre, fecha de nacimiento y rostro, y esta filtración también incluyó documentos de domicilio, así que la reemisión por sí sola no resuelve el problema.
Las verificaciones de identidad solo con imagen se están eliminando, pero aún no
Las normas japonesas contra el blanqueo de capitales (la Ley para la Prevención de la Transferencia de Ingresos Delictivos), que cubren cosas como la apertura de cuentas bancarias, se modificaron en junio de 2025 para eliminar el método remoto de enviar una imagen del documento de identidad más un selfi, con efectos desde el 1 de abril de 2027. Una nueva modificación de marzo de 2026 hace que la lectura del chip IC del documento sea la norma también en las verificaciones presenciales, desde la misma fecha.
Los contratos de telefonía móvil se rigen por una ley aparte; según el Ministerio de Asuntos Internos y Comunicaciones, los contratos en línea exigen en principio la lectura del chip IC desde el 1 de abril de 2026.
En su adición a las preguntas frecuentes del 6 de octubre (actualizada el 13 de octubre), la empresa también explica que cuando las entidades financieras verifican la identidad a distancia con una imagen de documento, añaden pasos como la comparación con un selfi, la lectura del chip IC, la autenticación personal pública o la comprobación de una cuenta bancaria a nombre de la persona. Cita como base la Ley para la Prevención de la Transferencia de Ingresos Delictivos y su reglamento, y la Ley para la Prevención del Uso Indebido de Teléfonos Móviles. No descarta por completo los intentos de solicitudes fraudulentas por terceros ni la suplantación en otros contratos.
Hasta marzo de 2027 para los trámites remotos de tipo bancario, y para servicios fuera de estas normas (muchos piden una imagen de licencia para verificar la edad o el registro), una imagen aún puede pasar como identificación. Por eso este sitio recomienda las alertas de fraude y la revisión del historial crediticio.
Por qué se conservaban los datos de los exsocios (explicación de la empresa) y las solicitudes de eliminación
La filtración incluyó a exsocios y solicitantes que nunca completaron el registro. En sus preguntas frecuentes, la empresa explica su conservación de la siguiente manera.
- Nombre, dirección y fecha de nacimiento: se conservan durante siete años según la Ley del Impuesto de Sociedades y otras leyes
- Información e imágenes de la licencia de conducir: se conservaban durante siete años para prevenir la suplantación y atender consultas de clientes
En su cuarto aviso del 16 de octubre, repetido en el quinto aviso del 23 de octubre, la empresa cambió la forma de tratar estas imágenes. Ya no las conservará una vez completadas las verificaciones de registro, y eliminará las imágenes que actualmente conserva antes de que termine octubre de 2026, lo pida o no la persona. Las preguntas frecuentes (actualizadas el 23 de octubre) mantienen la conservación de siete años de nombre, dirección y fecha de nacimiento, y dicen que también se revisarán los plazos de conservación de otros datos, pero aún no dan nuevos periodos.
En el terreno legal, el artículo 22 de la Ley de Protección de la Información Personal pide a las empresas que hagan esfuerzos para eliminar sin demora los datos personales cuando ya no sean necesarios. Es un deber de esfuerzo; la empresa decide qué periodo requiere su finalidad.
En cuanto a los derechos de las personas, el artículo 35, apartado 5, le permite solicitar que se detenga el uso o se eliminen los datos en casos como una filtración que deba notificarse o cuando la empresa ya no necesita los datos. Los registros que la ley obliga a conservar pueden permanecer, pero vale la pena obtener una respuesta sobre qué queda y cuándo se eliminará, por sí solo.
Para quienes operan servicios que recogen documentos de identidad
En su quinta notificación del 23 de octubre, la empresa atribuye la filtración a la explotación de una vulnerabilidad de su sistema web: tras entrar, el atacante buscó información en el sistema y usó lo obtenido para acceder a bases de datos y al almacenamiento de archivos (detalles del método reservados). Las imágenes estaban cifradas, pero 1.464.800 mostraron indicios de envío. La empresa también conservó la información y las imágenes de licencias durante siete años tras la baja de los socios, y ha cambiado la norma para que las imágenes no se conserven una vez completadas las verificaciones de registro. Lo necesario depende de cada negocio. Dicho esto, hay tres puntos que vale la pena revisar en cualquier servicio que almacene documentos de identidad.
Establezca plazos de conservación separados para el registro de una verificación y la imagen usada para ella
Tras la verificación, las operaciones suelen necesitar solo cuándo, con qué documento y quién hizo la comprobación, además de la fecha de vencimiento de la licencia. Decida caso por caso cuánto tiempo se necesita la imagen en sí y cuándo basta con el registro.
Establezca una fecha límite de eliminación para las imágenes de exsocios y solicitantes no terminados, y automatícela
Las imágenes de documentos de personas que se dieron de baja o abandonaron el alta no se usan a diario, pero siguen en el alcance cuando se produce una filtración. Consérvelas durante el periodo que exija la ley, si lo hay; si no, fije un plazo corto y haga que se eliminen automáticamente al vencer. La eliminación manual no dura.
Almacene las imágenes donde los sistemas del sitio web no puedan leerlas directamente
Si el sistema web que recibe altas y reservas tiene acceso libre al almacén de imágenes con los mismos permisos, al vulnerar el lado web también quedan expuestas las imágenes.
Guarde las imágenes en un almacén separado con claves separadas, y deje que el lado web vea solo un resultado de «verificado». En general, cuando un atacante que entra en el sistema web puede usar la información allí encontrada para llegar a datos más profundos, el cifrado por sí solo no impide que los datos sean robados. Separar la ruta al almacén es necesario además del cifrado. Las ideas de fondo se explican en La base mínima de seguridad para organizaciones y en Autenticación frente a autorización.
Después de la divulgación
- Las solicitudes de divulgación y de alerta de fraude saturaron a las agencias de crédito CIC y JICC, lo que provocó retrasos y pausas en las solicitudes por aplicación (según los avisos de las agencias).
- Abogados abrieron un sitio web para reclutar participantes en una demanda colectiva, y se informó de que las inscripciones superaban las 15.000 a las 21:00 del 2 de octubre (Nikkei, 2 de octubre).
- Se informó de que la cotización de Park24 bajó tras la divulgación; la empresa afirma que el impacto en resultados está en revisión.
- En sus preguntas frecuentes del 1 de octubre, la empresa explicó por qué había conservado los datos de los exsocios.
- En su cuarto aviso del 16 de octubre, la empresa dijo que ya no conservará las imágenes de documentos de identidad una vez completado el registro y que eliminará las que tiene antes de fin de octubre.
- En su quinto aviso del 23 de octubre, la empresa anunció un pago de 3.000 yenes para las personas cuyas imágenes de documentos fueron enviadas, una revisión por un comité de investigación dirigido por directores externos, y medidas que se publicarán antes de fin de año.
Para comparar con otras grandes filtraciones japonesas divulgadas el mismo año, véase Las grandes filtraciones de datos de Japón en 2026; para un caso en el que lo filtrado no fueron las imágenes, sino la información que las rodea, véase la filtración de Gyazo.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre métodos o causas de la intrusión no divulgados.
- Times Mobility Co., Ltd., quinta notificación: informe sobre la filtración de datos personales causada por el acceso no autorizado al sistema web de Times Car y próximos pasos (23 de octubre de 2026: cifras finales, sistema web de Times Club, causa, pago, consulta en Mi Página; en japonés): share.timescar.jp / cómo consultar (PDF): corp.timescar.jp
- Times Mobility Co., Ltd., cuarta notificación sobre su respuesta al acceso no autorizado al sistema web de Times Car (16 de octubre de 2026: revisión de la conservación de imágenes, eliminación de las imágenes conservadas antes de fin de octubre, próxima actualización el 23 de octubre; en japonés): share.timescar.jp
- Times Mobility Co., Ltd., primer aviso sobre una posible filtración de datos personales por acceso no autorizado al sitio web de Times Car (25 de septiembre de 2026, actualizado el 1 de octubre; en japonés): share.timescar.jp
- Times Mobility, segundo aviso: resultados de la investigación y próximos pasos (28 de septiembre de 2026, actualizado el 1 de octubre; en japonés): share.timescar.jp / página enlazada desde los correos de aviso: corp.timescar.jp
- Times Mobility, tercer aviso (29 de septiembre de 2026, actualizado el 1 de octubre: unas 1,6 millones de cuentas con imágenes de documentos de identidad y comienzo de los correos individuales; en japonés): share.timescar.jp
- Times Mobility, preguntas frecuentes sobre el acceso no autorizado al sitio web de Times Car (1 de octubre de 2026, actualizadas el 6, 13 y 16 de octubre; el 23 de octubre se revisaron las respuestas sobre los datos filtrados, las tarjetas de crédito, la comprobación y la conservación para ajustarlas a la quinta notificación, se eliminaron las preguntas sobre compensación y sobre el retraso, se añadieron cuatro preguntas sobre el pago, su elegibilidad, la transmisión de imágenes y el sistema de alertas de fraude, y las 14 se renumeraron; en japonés): corp.timescar.jp (PDF)
- Park24 Co., Ltd., divulgación oportuna sobre el acceso no autorizado en una filial consolidada (28 de septiembre de 2026; en japonés): park24.co.jp (IR)
- JR West, aviso sobre el acceso no autorizado al sitio web de Times Car (incluido el seguimiento; en japonés): wester.jr-odekake.net
- Alertas de fraude (en japonés): CIC / JICC / centro de información crediticia de la Asociación Japonesa de Banqueros
- Avisos de saturación (en japonés): CIC (30 de septiembre) / JICC (2 de octubre)
- Agencia Nacional de Policía (JAFIC), preguntas y respuestas sobre las modificaciones de la orden de la Ley para la Prevención de la Transferencia de Ingresos Delictivos (promulgadas el 24 de junio de 2025 y el 6 de marzo de 2026; en japonés): npa.go.jp
- Ministerio de Asuntos Internos y Comunicaciones, normas de verificación de identidad para contratos de telefonía móvil (en japonés): soumu.go.jp
- Ley de Tránsito por Carretera, artículo 94 (reemisión de licencias, en japonés): e-Gov Law Search
- Ley de Protección de la Información Personal, artículos 22 y 35 (en japonés): e-Gov Law Search
- Prensa: Nikkei sobre inscripciones en el sitio de la demanda que superaron las 15.000 (2 de octubre de 2026, en japonés): nikkei.com / Kyodo News a través de Okinawa Times (3 de octubre de 2026, en japonés): okinawatimes.co.jp
Historial de actualizaciones
2026-10-24: Se incorporó la quinta notificación del 23 de octubre y la actualización de las preguntas frecuentes. Se reescribieron el título, la descripción, la conclusión, la tabla rápida, la lista de datos, la cronología y las preguntas frecuentes con las cifras finales (6.628.007 registros en el sistema web de Times Car; 1.464.800 imágenes de documentos enviadas y 891.602 solo accedidas; 4 contraseñas; y más), la filtración del sistema web relacionado de Times Club (28 registros de últimos cuatro dígitos de tarjetas de crédito y más), la corrección del número de identificadores de servicios vinculados (de nueve a cuatro; WESTER ID cero), la causa (explotación de una vulnerabilidad del sistema web), el pago de 3.000 yenes, la consulta en Mi Página (desde las 17:00 del 23 de octubre) y la nueva URL del formulario para exsocios. La cifra de «unas 1,6 millones de cuentas» se trata ahora como el número que la empresa había descrito como posiblemente filtrado en ese momento.
2026-10-16: Se aclaró que unas 1,6 millones contabilizan cuentas con imágenes de documentos, no archivos de imagen. Se corrigieron las preguntas frecuentes para que una afirmación negativa sobre imágenes no implique que se hayan tomado otros datos de esa persona. Se revisaron de nuevo los pasajes pertinentes del tercer aviso y de las preguntas frecuentes.
2026-09-29: Primera versión, basada en los avisos del 25 de septiembre (primero) y del 28 de septiembre (segundo).
2026-09-30: Se añadió el tercer aviso del 29 de septiembre (unas 1,6 millones de cuentas con imágenes de documentos de identidad, comienzo de los correos individuales).
2026-10-03: Se añadieron las actualizaciones de preguntas frecuentes y avisos del 1 de octubre: una tabla de tipos de aviso, el formulario para exsocios, la explicación de la conservación de siete años, que la empresa no conserva datos de tarjetas, que las contraseñas están en la lista filtrada, las tarifas y saturación de las agencias de crédito, y los cambios de 2026 en las normas de blanqueo de capitales y de identificación de teléfonos móviles. Se eliminó una referencia a un «correo de disculpa a todos los socios», que no pudo confirmarse. La empresa prevé informar detalles en unas dos semanas; este artículo se actualizará cuando lo haga.
2026-10-05: Se actualizó el recuento de inscripciones a la demanda colectiva con información más reciente (más de 15.000 a las 21:00 del 2 de octubre).
2026-10-06: Se añadió un enlace al formulario de consultas para exsocios (de la actualización del 1 de octubre del primer aviso).
2026-10-11: Se añadieron las dos preguntas que la empresa incorporó a sus preguntas frecuentes el 6 de octubre (cómo funcionan las verificaciones de identidad cuando se filtra una imagen de licencia; una advertencia sobre contactos que se hacen pasar por la empresa y la consulta de la empresa a la Agencia Nacional de Policía). La causa seguía sin divulgarse a 11 de octubre.
2026-10-14: Se incorporó la actualización de las preguntas frecuentes del 13 de octubre (lectura del chip IC y autenticación personal pública añadidas a los ejemplos de pasos adicionales de verificación; se añadieron referencias legales). No se había publicado un cuarto aviso ni la causa a 14 de octubre.
2026-10-17: Se incorporó el cuarto aviso del 16 de octubre y las preguntas frecuentes P11 y P12 (las imágenes ya no se conservan una vez completado el registro, las imágenes conservadas se eliminarán antes de fin de octubre, la próxima actualización se trasladó al viernes 23 de octubre). Se añadió un recuadro de «aún no se sabe» al principio. Las cifras no cambian; la causa, las conclusiones y la compensación seguían sin divulgarse a 17 de octubre.
Lea a continuación
- Qué hacer si se filtra la imagen o el número de su licencia de conducir
- Las verificaciones de identidad con imagen terminan en principio en abril de 2027: Las verificaciones de identidad en línea de Japón pasan a la lectura del chip IC (preparar sus PIN)
- Números de identificación filtrados: Lashinbang (verificaciones de recompra de segunda mano)
- Estafas derivadas: ¿Qué es el phishing? / Falsas alertas de virus (estafas de soporte técnico)
- Contraseñas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Protección del teléfono que usa para verificaciones de identidad: Nociones básicas de seguridad del smartphone
- El mismo patrón: Cariteco (Meitetsu Kyosho, uso compartido de coches) / Odido (Países Bajos, números de pasaporte y licencia) / AssuranceAmerica (EE. UU., números de licencia)
- Otros incidentes en Japón, septiembre–octubre de 2026: la aplicación de Seicomart (unas 570.000 personas) / Yamato Transport y Sagawa Express (remitentes y destinatarios de paquetes) / Abahouse (datos de pedidos y correos falsos de reembolso) / Daiwa Securities (unos 110.000 clientes a través de un proveedor)
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo) / Las grandes filtraciones de datos de Japón en 2026
- Para operadores: La base mínima de seguridad para organizaciones