Para: quem já usou a Times Car, o Times Business Service ou o Times Club no Japão, incluindo pessoas que deixaram o serviço ou apenas iniciaram um cadastro, e quem administra um serviço que coleta documentos de identidade. Este artigo se baseia nos comunicados e no FAQ oficiais da operadora e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a empresa divulgar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- Detalhes do pagamento de 3.000 ienes e a forma como será feito (a empresa diz que ainda está decidindo e entrará em contato com as pessoas elegíveis)
- Medidas de segurança da informação e de governança (a serem publicadas até o fim do ano)
- Conclusões do comitê de investigação liderado por diretores externos
No quinto comunicado, em 23 de outubro, a empresa disse que a investigação forense externa terminou naquele dia e publicou os números finais, a causa (exploração de uma vulnerabilidade no sistema web) e sua política de pagamento. Diz que, até agora, não foi encontrado alcance adicional. Não publicará detalhes do método de ataque ou da configuração do sistema, para evitar mais danos.
Verifique seus próprios itens em Minha Página
Desde as 17h do dia 23 de outubro, a empresa mostra, em Minha Página de cada pessoa no site da Times Car, as informações confirmadas como vazadas para aquela pessoa. Ela publicou as etapas em PDF (como verificar, em japonês). Acesse Minha Página fazendo login pelo aplicativo oficial ou por um site oficial que você abra por conta própria (share.timescar.jp), e não por um link em e-mail.
Segundo o FAQ, os e-mails enviados antes listam o que estava confirmado na data de cada envio. Consulte o resultado final, após o término da investigação, em Minha Página. O que fazer depende de qual dos casos abaixo se aplica a você.
| O que você encontra (categoria no quinto comunicado) | O que a empresa diz | O que fazer |
|---|---|---|
| Imagens de documentos de identidade com “indícios de acesso e transmissão externa” (④, 1.464.800) | As imagens criptografadas foram enviadas. Isso não significa que o conteúdo ficou imediatamente visível, mas a descriptografia futura não pode ser totalmente descartada. Elegível ao pagamento de 3.000 ienes | Todas as etapas abaixo, especialmente os alertas de fraude nos três bureaus de crédito e a verificação do histórico de crédito |
| Imagens de documentos de identidade “acessadas, sem indícios de transmissão externa” (⑤, 891.602) | A empresa considera baixa a chance de o conteúdo ter sido visto ou obtido. Não elegível ao pagamento | Fique atento a falsificações de identidade. Alertas de fraude são opcionais |
| Nome, endereço, data de nascimento, telefone, e-mail, informações da carteira de motorista etc. (①, 6.628.007) | Itens diferentes das imagens. Inclui pessoas que se cadastraram apenas para estacionamento pelo “Kantan Nyukai” (pagamento com cartão) | Fique atento a falsificações de identidade. Membros corporativos também devem desconfiar de e-mails falsos que usem nomes de departamentos |
| Membro do Times Club | No sistema web Times Club, números de cartão Times Club (19.510), IDs de serviços vinculados (135.436), últimos quatro dígitos de cartão (28) e outros apresentaram indícios de envio (⑥) | Fique atento a falsificações de identidade. Pergunte à central de atendimento se você é afetado (o quinto comunicado não diz como verificar) |
| Ex-membro, ou quem nunca concluiu o cadastro | Não é possível verificar em Minha Página | Pedir informações pelo formulário específico (respostas em cerca de duas semanas, por ordem de chegada) |
E-mails de comunicado são fáceis de falsificar: não aja por meio de links neles
Podem surgir e-mails falsos imitando os comunicados reais. A empresa diz em seu FAQ que nunca pede códigos de verificação enviados por SMS, senhas de serviços de internet ou os PINs da carteira de motorista ou do Meu Número (My Number Card) por telefone ou e-mail.
Em 24 de outubro, os detalhes do pagamento e a forma como será feito ainda não tinham sido definidos (a empresa entrará em contato com as pessoas elegíveis quando houver uma decisão). Se uma mensagem sobre “recebimento do seu pagamento” pedir dados bancários ou de cartão, não abra o link; confira você mesmo se a mesma orientação aparece na seção de notícias do site oficial (share.timescar.jp). A central de atendimento é 0120-25-8924 (24 horas, Japão), ou use o formulário de contato do site oficial.
O quinto comunicado e o FAQ da empresa não dizem o que inclui a “informação da carteira de motorista” (número do registro, data de validade, categoria da habilitação etc.). Ela aparece separada das imagens de documentos. Pergunte à central de atendimento se precisar saber.
O que as pessoas afetadas devem fazer hoje
Etapas detalhadas para impedir o uso indevido de uma CNH vazada estão em um guia separado
Como registrar alertas de fraude, como identificar contratos fraudulentos por telefone ou empréstimo e como procurar a polícia estão em O que fazer quando a imagem ou o número da sua CNH vaza. Este artigo se limita aos pontos específicos deste incidente.
Ignore instruções em e-mails, mensagens de texto, ligações ou cartas que se passem pela empresa (todos)
Os dados vazados combinam nome, endereço, data de nascimento, telefone e e-mail. Com tudo isso, um golpista pode escrever uma mensagem convincente.
Se você for contatado sobre “procedimentos de indenização”, “reenvio da CNH” ou “recadastro do cartão”, não abra o link; acesse o aplicativo ou o site oficial por conta própria. O FAQ da empresa também pede que as pessoas não respondam a contatos desconhecidos nem abram links ou anexos (veja O que é phishing?).
Em 6 de outubro, a empresa acrescentou ao FAQ um alerta sobre contatos que se passam pela empresa, por instituições financeiras, operadoras de telefonia ou órgãos públicos e tentam obter códigos de verificação por SMS, IDs e senhas, dados bancários, dados de cartão de crédito ou PINs. Ela diz que nunca pede códigos de SMS, senhas ou os PINs da carteira de motorista ou do Meu Número por telefone ou e-mail. Também disse que consultou a Agência Nacional de Polícia e repassa o alerta da agência sobre ligações de golpe de pessoas que se passam por policiais, bem como os aplicativos gratuitos contra golpes por ligação recomendados pela agência. Não responda na hora; confirme com o canal oficial de cada empresa.
Registre um alerta de fraude nos três bureaus de crédito do Japão (se suas imagens de documentos foram enviadas)
Uma autodeclaração pode ser registrada quando seu nome pode ser usado indevidamente porque um documento de identidade foi perdido, roubado ou vazado. Credores e emissores de cartões veem a informação e passam a analisar as solicitações com mais cuidado.
No FAQ (Q12), a empresa explica que o sistema é usado em decisões de crédito e não, por exemplo, na abertura de uma conta de depósito, e diz que não o recomenda nem garante. A visão deste site é que, como a descriptografia futura das imagens enviadas não foi descartada, registrar-se vale a pena para essas pessoas.
Cada bureau tem empresas associadas diferentes, então registrar-se nos três é a escolha mais segura. As taxas e os métodos estão na tabela abaixo (conferidos nos sites oficiais de cada bureau em 3 de outubro de 2026).
Solicite seu histórico de crédito e procure contas que você não abriu (se suas imagens de documentos foram enviadas)
Um alerta de fraude não bloqueia solicitações. Use seu histórico de crédito para confirmar que nada foi realmente aberto em seu nome.
Verifique agora e de novo alguns meses depois, procurando por cartões ou empréstimos que você nunca solicitou. Se receber um contrato desconhecido, um aviso de cobrança ou correspondência de uma operadora de telefonia ou credor que você nunca usou, entre em contato com essa empresa e com a delegacia da sua região.
Ex-membros e pessoas que nunca concluíram o cadastro: peçam informações pelo formulário específico e solicitem a exclusão, se quiserem
A empresa começou a contatar ex-membros em 1º de outubro, mas observa que os dados de contato cadastrados podem não funcionar mais. Ex-membros e pessoas que nunca concluíram o cadastro não podem verificar em Minha Página, então a empresa pede que façam a consulta pelo formulário de consulta específico (respostas em cerca de duas semanas após o envio, por ordem de chegada). O formulário está linkado no quinto comunicado: formulário de consulta para ex-membros (em japonês).
No quarto e no quinto comunicados, a empresa disse que apagará as imagens de documentos de identidade até o fim de outubro, quer alguém peça ou não. Seu FAQ (atualizado em 23 de outubro) ainda diz que nome, endereço e data de nascimento são mantidos por sete anos conforme a Lei do Imposto de Renda das Pessoas Jurídicas e outras leis, mas acrescenta que também revisará os prazos de retenção de outros dados. Se você não pretende usar o serviço de novo, pode perguntar como esses dados são tratados e pedir a exclusão (a base legal é explicada abaixo).
Pare de reutilizar senhas
Segundo o quinto comunicado, senhas em hash (convertidas em uma forma que não pode ser revertida) apresentaram indícios de envio em 4 casos. Verifique em Minha Página se você está entre eles. Mesmo que não esteja, se você usa sua senha da Times Car em outros serviços, trocá-la nesses serviços é uma precaução sensata. Um gerenciador de senhas é a forma realista de fazer esse inventário.
Administradores de contas corporativas: alertem a equipe sobre e-mails que se passam por parceiros
Segundo o quinto comunicado, os nomes de departamentos de membros corporativos apresentaram indícios de envio em 3.677 casos. Nome, departamento e e-mail juntos facilitam a falsificação de um parceiro comercial ou colega.
Estabeleça a regra de que pedidos como “nossa conta bancária mudou” ou “por favor, revisem isto com urgência” sejam verificados por outro canal, como uma ligação telefônica (para proteger o próprio domínio: Falsificação de e-mail e SPF, DKIM, DMARC).
| Bureau de crédito | Principais empresas associadas | Online / aplicativo | Por correspondência | Alerta válido por |
|---|---|---|---|---|
| CIC | Emissores de cartões, empresas de crédito ao consumidor | 1.000 ienes (é preciso ligar de um telefone usado em contrato de crédito) | 1.000 ienes (vale postal) | 5 anos |
| JICC (Japan Credit Information Reference Center) | Credores ao consumidor e outros | Aplicativo para smartphone, 700 ienes | 1.111 ienes por tipo de comentário | 5 anos |
| KSC (Associação dos Bancos do Japão) | Bancos e outros | 500 ienes (é necessário o Meu Número) | 2.403 ienes | Consulte o site oficial |
Os bureaus de crédito estão congestionados: você também pode pedir por correspondência
As solicitações dispararam após a divulgação. Em 30 de setembro, a CIC disse que a divulgação online e os números de referência do alerta de fraude estavam difíceis de obter e que suas linhas telefônicas estavam ocupadas. A JICC suspendeu as solicitações pelo aplicativo para smartphone em 1º de outubro, retomou em 2 de outubro e depois as suspendeu novamente a partir das 18h30 daquele dia até 4 de outubro, por manutenção de servidores (o horário de retorno será anunciado).
Alguns dias de atraso são menos arriscados do que cair em um site falso. Faça a solicitação pelo site oficial de cada bureau, ou por correspondência se não conseguir completar online, e evite sites de “serviço de solicitação” acessados por anúncios de busca ou links de e-mail.
O que aconteceu (segundo os comunicados da Times Mobility)
A Times Mobility Co., Ltd., junto com sua controladora Park24 Co., Ltd., publicou comunicados em 25, 28 e 29 de setembro, em 16 de outubro (quarto) e em 23 de outubro (quinto), de 2026. Seu FAQ foi publicado em 1º de outubro e atualizado em 6, 13, 16 e 23 de outubro. Tudo o que está abaixo consta dos comunicados oficiais da empresa.
25 set 2026, 9h07
A empresa detectou acesso externo não autorizado ao sistema web da Times Car e começou a investigar.25 set
Primeiro comunicado sobre um possível vazamento de dados pessoais; a empresa disse que estava comunicando a Comissão de Proteção de Informações Pessoais, entre outras medidas.Até 26 set, 7h25
A rota de acesso e a comunicação com o invasor foram cortadas. A empresa confirmou que o acesso não era mais possível e continuou monitorando.28 set
Segundo comunicado: dados de cerca de 6,6 milhões de contas foram confirmados como obtidos por terceiros. Comunicado à comissão e à polícia, e relatório inicial enviado ao Ministério de Terras, Infraestrutura, Transporte e Turismo. Começaram os comunicados aos membros existentes (conforme a linha do tempo do quinto comunicado). O comunicado da Park24 na bolsa de valores disse que o impacto nos resultados está em análise.29 set
Terceiro comunicado: imagens de documentos de identidade vazaram de cerca de 1,6 milhão de contas. Começaram os comunicados aos membros individuais (conforme a linha do tempo do quinto comunicado).1º out
FAQ e formulário específico para ex-membros acrescentados. Começaram os comunicados individuais aos ex-membros. Membros individuais cujas outras informações vazaram também receberam e-mails.2 out
Começaram os comunicados aos membros corporativos (conforme a linha do tempo do quinto comunicado).6 out
Duas perguntas acrescentadas ao FAQ: como funcionam as verificações de identidade quando a imagem da CNH vazou, e um alerta sobre contatos que se passam pela empresa e outros (incluindo a consulta à Agência Nacional de Polícia e um alerta sobre ligações de falsos policiais).13 out
As duas respostas do FAQ foram atualizadas: mais exemplos de etapas adicionais de verificação de identidade (leitura do chip IC, autenticação pessoal pública) e as leis e materiais governamentais em que as respostas se baseiam.16 out
Quarto comunicado: a empresa revisou a retenção das imagens de documentos de identidade e alterou suas regras internas para que as imagens não sejam mantidas após a conclusão do cadastro de membro. As imagens que ela possui atualmente serão apagadas até o fim de outubro de 2026, independentemente de a pessoa pedir. Dizendo que a investigação está demorando mais, adiou para sexta-feira, 23 de outubro, a atualização prometida para cerca de duas semanas. Duas perguntas acrescentadas ao FAQ: por que a divulgação está demorando e como a falsificação de identidade será evitada após a exclusão das imagens.23 out
A investigação forense externa terminou e o quinto comunicado foi publicado: números finais (6.628.007 registros no sistema web da Times Car, 1.464.800 imagens de documentos enviadas, e outros), acesso não autorizado ao sistema web relacionado Times Club, a causa (exploração de uma vulnerabilidade no sistema web), um pagamento de 3.000 ienes e medidas a serem publicadas até o fim do ano. A partir das 17h, os itens vazados de cada pessoa aparecem em Minha Página. FAQ atualizado com novas perguntas sobre o pagamento e o sistema de alerta de fraude, entre outras.
- Investigação
- A investigação forense externa terminou em 23 de outubro. Os números informados são finais, com base nas conclusões, e até agora não foi encontrado alcance adicional
- Sistema web da Times Car (①)
- Nome, endereço, data de nascimento, telefone, e-mail, informações da carteira de motorista. Foram encontrados indícios de acesso do invasor e de transmissão externa para 6.628.007 registros. Inclui os dados de contrato (nome, telefone, e-mail) de pessoas que aderiram ao Times Business Service pelo “Kantan Nyukai” e contrataram apenas estacionamento, pagando com cartão
- Dados de atributos e IDs (②)
- Nomes de departamentos de membros corporativos: 3.677; números de membro da Times Car (números de gerenciamento IC): 8; números de cartões Times Business: 113; IDs de serviços vinculados: 4 (corrigido de nove no segundo comunicado; “WESTER ID”, o serviço de associados da JR West Group, listado no segundo comunicado, foi zero)
- Senhas (③)
- Credenciais em hash (senhas) com indícios de envio: 4
- Imagens de documentos de identidade (④⑤)
- Armazenadas criptografadas. Indícios de envio: 1.464.800; acessadas sem indícios de envio: 891.602; total: 2.356.402. A empresa havia dito antes que cerca de 1,6 milhão poderia ter vazado. Um indício de transmissão externa não significa que o conteúdo ficou imediatamente visível, mas a descriptografia futura não pode ser totalmente descartada (segundo a empresa)
- Tipos de imagens
- Carteiras de motorista, comprovantes de endereço (como contas de serviços públicos), carteiras de estudante (plano estudantil), documentos de comprovação familiar (plano família) (conforme descrito nas versões do FAQ de 1º a 16 de outubro)
- Sistema web Times Club (⑥)
- Acesso não autorizado também constatado em conexão com este incidente. Indícios de envio: nome, endereço, data de nascimento e informações da carteira de motorista de 5; números de cartão Times Club: 19.510; números de cartões Times Business: 12; IDs de serviços vinculados (identificadores para vínculo com serviços parceiros): 135.436; últimos quatro dígitos de cartão de crédito: 28
- Outros
- Identificadores usados na gestão de membros e nas operações do sistema também apresentaram indícios de acesso e transmissão externa
- Informações da carteira de motorista
- Conteúdo não divulgado (listado separadamente das imagens de documentos)
- Cartões de crédito
- A empresa não retém dados de pagamento e não possui os números completos dos cartões nem os códigos de segurança, por isso diz que os cartões não podem ser usados indevidamente
- Danos secundários
- Até onde a empresa sabe, não há evidência de que os dados vazados tenham sido vendidos ou publicados. Ela continua monitorando, inclusive a dark web, com especialistas externos
- Causa
- Avaliada como exploração de uma vulnerabilidade no sistema web. Depois de entrar, o invasor pesquisou informações no sistema e usou o que obteve para acessar bancos de dados e o armazenamento de arquivos. Os detalhes do método e da configuração do sistema são mantidos em sigilo para evitar mais danos
- Contramedidas
- Medidas para a rota de invasão confirmada concluídas. Sistemas com a mesma configuração verificados e corrigidos; monitoramento e detecção reforçados
- Pagamento
- Para pessoas cujas imagens criptografadas de documentos apresentaram indícios de acesso e transmissão externa, dinheiro ou vale-presente de 3.000 ienes. Detalhes e forma ainda em definição; as pessoas elegíveis serão contatadas
- Retenção de imagens (quarto e quinto comunicados)
- Para membros atuais, mudou de “mantidas durante a filiação” para “apagadas imediatamente após a conclusão das verificações de cadastro” (para ex-membros, a regra atual é “mantidas por sete anos após a saída” e a célula da nova regra mostra apenas um traço). As imagens atualmente armazenadas serão apagadas até o fim de outubro de 2026, quer a pessoa peça ou não. As informações necessárias para verificar se uma imagem corresponde a uma imagem armazenada anteriormente serão preservadas. A empresa não detalha, por motivos de segurança, suas medidas contra falsificação de identidade após a exclusão, mas diz que elas não serão relaxadas (FAQ Q14)
- Próximos passos
- Um comitê de investigação liderado por diretores externos, com especialistas externos, revisará o controle interno e a governança. Medidas específicas de segurança da informação e de governança serão publicadas até o fim do ano
- Contato
- Central de atendimento 0120-25-8924 (24 horas, Japão), formulário de contato do site oficial e formulário para ex-membros
Como ler: “nenhuma venda ou publicação confirmada” não significa “seguro”
A empresa diz que, até onde sabe, não há evidência de que os dados vazados tenham sido vendidos ou publicados. Isso significa que nada foi encontrado até agora, não que nada será usado no futuro. A criptografia das imagens também não resolve a questão: a própria empresa não descartou a descriptografia futura.
As imagens de documentos de identidade, em especial, podem ser usadas indevidamente daqui a anos. Pense suas precauções em anos (os alertas de fraude da CIC e da JICC permanecem registrados por cinco anos).
Por que as imagens de CNH vazadas são a parte mais grave
Coisas que você pode trocar ou reemitir
- Senha (em hash aqui; 4 enviadas; pare de reutilizá-la)
- Cartão de crédito (números completos e códigos de segurança não são mantidos; os quatro últimos dígitos vazaram em 28 casos)
- Endereço de e-mail e número de telefone (um incômodo, mas podem ser trocados)
Coisas que você não pode trocar sozinho
- Nome e data de nascimento
- Foto do rosto
- Endereço (a menos que você se mude)
Dados enviados (1.464.800 imagens de documentos)
Imagens criptografadas de carteiras de motorista e outros documentos, além de nome, endereço e data de nascimento
↓ Alguém solicita um contrato em seu nome
Análise de empréstimos e cartões de crédito
As empresas associadas consultam seu histórico de crédito
Alerta de fraude (autodeclaração) nos três bureaus
As empresas associadas analisam as solicitações com mais cuidado. Não as bloqueia
↓ Se algo for aberto mesmo assim
Cartões ou empréstimos que você nunca solicitou
Você também pode perceber por um aviso de cobrança ou correspondência de uma empresa que nunca usou
Solicite seu histórico de crédito
Agora e de novo alguns meses depois. Se encontrar algo, entre em contato com a empresa e a polícia
Uma senha trocada torna a antiga inútil; as imagens de documentos de identidade não funcionam assim. Para contratos online no Japão, um método comum de verificação tem sido simplesmente enviar uma foto da carteira de motorista mais uma selfie.
As imagens deste caso estavam armazenadas criptografadas. A criptografia impede que dados já subtraídos sejam lidos imediatamente; não impede que sejam subtraídos. A própria empresa não descartou totalmente a descriptografia futura dos dados criptografados que foram enviados, então planeje suas precauções em anos.
Sobre a reemissão da CNH: o artigo 94, parágrafo 2, do Código de Trânsito Japonês lista motivos como perda, destruição, sujeira ou dano; uma imagem vazada não é citada, então pergunte ao centro de habilitação da sua região. Uma CNH reemitida continua com o mesmo nome, data de nascimento e rosto, e este vazamento também incluiu comprovantes de endereço, então a reemissão sozinha não resolve o problema.
A verificação apenas por imagem está sendo eliminada, mas ainda não foi
As regras japonesas contra lavagem de dinheiro (a Lei de Prevenção à Transferência de Produtos do Crime), que cobrem coisas como a abertura de contas bancárias, foram alteradas em junho de 2025 para abolir o método remoto de enviar uma imagem de documento de identidade mais uma selfie, com vigência em 1º de abril de 2027. Uma nova alteração, em março de 2026, torna a leitura do chip IC do documento a norma também para verificações presenciais, a partir da mesma data.
Contratos de telefonia móvel seguem uma lei separada; segundo o Ministério de Assuntos Internos e Comunicações, contratos online exigem, em princípio, a leitura do chip IC desde 1º de abril de 2026.
Na adição ao FAQ de 6 de outubro (atualizada em 13 de outubro), a empresa também explica que, quando instituições financeiras verificam a identidade remotamente com uma imagem de documento, acrescentam etapas como comparação com selfie, leitura do chip IC, autenticação pessoal pública ou verificação de uma conta bancária em nome da pessoa. Ela cita, como base, a Lei de Prevenção à Transferência de Produtos do Crime e sua portaria, e a Lei de Prevenção ao Uso Indevido de Telefones Móveis. Não descarta totalmente tentativas fraudulentas de solicitação por terceiros nem falsificação de identidade em outros contratos.
Até março de 2027, para procedimentos remotos do tipo bancário, e para serviços fora dessas regras (muitos pedem uma imagem da CNH para verificação de idade ou cadastro), uma imagem ainda pode ser aceita como identificação. Por isso este site recomenda alertas de fraude e verificações do histórico de crédito.
Por que os dados de ex-membros foram mantidos (explicação da empresa) e pedidos de exclusão
O vazamento incluiu ex-membros e candidatos que nunca concluíram o cadastro. Em seu FAQ, a empresa explica a retenção da seguinte forma.
- Nome, endereço e data de nascimento: mantidos por sete anos conforme a Lei do Imposto de Renda das Pessoas Jurídicas e outras leis
- Informações e imagens da carteira de motorista: mantidas por sete anos para prevenção de falsificação de identidade e atendimento a consultas de clientes
No quarto comunicado, de 16 de outubro, repetido no quinto, de 23 de outubro, a empresa mudou a forma como trata essas imagens. Não manterá mais as imagens após a conclusão das verificações de cadastro e apagará as imagens que possui atualmente até o fim de outubro de 2026, quer a pessoa peça ou não. O FAQ (atualizado em 23 de outubro) mantém a retenção de sete anos de nome, endereço e data de nascimento, e diz que os prazos de retenção de outros dados também serão revisados, mas ainda não apresenta novos prazos.
No aspecto legal, o artigo 22 da Lei de Proteção de Informações Pessoais pede que as empresas se esforcem para apagar dados pessoais sem demora quando deixarem de ser necessários. Trata-se de um dever de esforço; a empresa decide por quanto tempo sua finalidade exige os dados.
Quanto aos direitos individuais, o artigo 35, parágrafo 5, permite que você peça a interrupção do uso ou a exclusão dos dados em casos como um vazamento que deve ser comunicado ou quando a empresa não precisa mais dos dados. Registros que a lei exige que sejam mantidos podem permanecer, mas obter uma resposta sobre o que permanece e quando será apagado já vale a pena.
Para quem administra serviços que coletam documentos de identidade
No quinto comunicado, de 23 de outubro, a empresa atribui a violação à exploração de uma vulnerabilidade em seu sistema web: depois de entrar, o invasor pesquisou informações no sistema e usou o que obteve para acessar bancos de dados e o armazenamento de arquivos (detalhes do método omitidos). As imagens estavam criptografadas, mas 1.464.800 apresentaram indícios de envio. A empresa também mantinha informações da carteira de motorista e imagens por sete anos após a saída dos membros, e mudou a regra para que as imagens não sejam mantidas após a conclusão das verificações de cadastro. O que é necessário varia conforme o negócio. Dito isso, três pontos merecem revisão em qualquer serviço que guarde documentos de identidade.
Defina prazos de retenção separados para o registro de uma verificação e para a imagem usada nela
Depois da verificação, as operações normalmente precisam apenas saber quando, com qual documento e por quem a verificação foi feita, além da data de validade da CNH. Decida item a item por quanto tempo a própria imagem é necessária e quando o registro sozinho basta.
Defina um prazo de exclusão para as imagens de ex-membros e de candidatos que não concluíram o cadastro, e automatize
Imagens de documentos de pessoas que saíram ou abandonaram o cadastro não são usadas no dia a dia, mas continuam no escopo quando ocorre uma violação. Mantenha-as pelo período exigido por lei, se houver, ou defina um prazo curto, e faça com que sejam apagadas automaticamente quando ele vencer. A exclusão manual não dura.
Armazene as imagens onde os sistemas do site não possam lê-las diretamente
Se o sistema web que recebe cadastros e reservas tiver acesso livre ao armazenamento de imagens com as mesmas permissões, quebrar o lado web também expõe as imagens.
Mantenha as imagens em um armazenamento separado, com chaves separadas, e deixe o lado web ver apenas um resultado de “verificado”. Em geral, quando um invasor que entra no sistema web consegue usar as informações encontradas ali para chegar a dados mais profundos, a criptografia sozinha não impede a subtração dos dados. Separar o caminho até o armazenamento é necessário além da criptografia. As ideias básicas estão em A base mínima de segurança para organizações e em Autenticação versus autorização.
Após a divulgação
- Pedidos de alerta de fraude e de divulgação sobrecarregaram os bureaus de crédito CIC e JICC, causando atrasos e suspensões nas solicitações por aplicativo (segundo os comunicados dos bureaus).
- Advogados abriram um site para recrutar participantes de uma ação coletiva, e os cadastros foram informados como superiores a 15.000 até as 21h de 2 de outubro (Nikkei, 2 de outubro).
- Segundo relatos, a cotação das ações da Park24 caiu após a divulgação; a empresa diz que o impacto nos resultados está em análise.
- No FAQ de 1º de outubro, a empresa explicou por que havia mantido os dados de ex-membros.
- No quarto comunicado, de 16 de outubro, a empresa disse que não manterá mais as imagens de documentos de identidade após a conclusão do cadastro e que apagará as imagens que possui até o fim de outubro.
- No quinto comunicado, de 23 de outubro, a empresa anunciou um pagamento de 3.000 ienes para pessoas cujas imagens de documentos foram enviadas, uma revisão por um comitê de investigação liderado por diretores externos e medidas a serem publicadas até o fim do ano.
Para uma comparação com outras grandes violações japonesas divulgadas no mesmo ano, veja As principais violações de dados do Japão em 2026; para um caso em que o dado vazado não foram as imagens, mas as informações ao redor delas, veja a violação da Gyazo.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Métodos ou causas do ataque que não foram divulgados não são objeto de especulação.
- Times Mobility Co., Ltd., quinto comunicado: relatório sobre o vazamento de dados pessoais causado por acesso não autorizado ao sistema web da Times Car e próximos passos (23 de outubro de 2026: números finais, sistema web Times Club, causa, pagamento, verificação em Minha Página, em japonês) — share.timescar.jp / como verificar (PDF): corp.timescar.jp
- Times Mobility Co., Ltd., quarto comunicado sobre sua resposta ao acesso não autorizado ao sistema web da Times Car (16 de outubro de 2026: revisão da retenção de imagens, exclusão das imagens armazenadas até o fim de outubro, próxima atualização em 23 de outubro, em japonês) — share.timescar.jp
- Times Mobility Co., Ltd., primeiro comunicado sobre um possível vazamento de dados pessoais por acesso não autorizado ao site da Times Car (25 de setembro de 2026, atualizado em 1º de outubro, em japonês) — share.timescar.jp
- Times Mobility, segundo comunicado: resultados da investigação e próximos passos (28 de setembro de 2026, atualizado em 1º de outubro, em japonês) — share.timescar.jp / página linkada nos e-mails de comunicado: corp.timescar.jp
- Times Mobility, terceiro comunicado (29 de setembro de 2026, atualizado em 1º de outubro: cerca de 1,6 milhão de contas com imagens de documentos de identidade e início dos e-mails individuais, em japonês) — share.timescar.jp
- Times Mobility, FAQ sobre o acesso não autorizado ao site da Times Car (1º de outubro de 2026, atualizado em 6, 13 e 16 de outubro; em 23 de outubro, as respostas sobre itens vazados, cartões de crédito, verificação e retenção foram revisadas para corresponder ao quinto comunicado, as perguntas sobre indenização e sobre o atraso foram removidas, quatro perguntas sobre o pagamento, sua elegibilidade, a transmissão de imagens e o sistema de alerta de fraude foram acrescentadas, e todas as 14 foram renumeradas; em japonês) — corp.timescar.jp (PDF)
- Park24 Co., Ltd., divulgação tempestiva sobre acesso não autorizado em uma subsidiária consolidada (28 de setembro de 2026, em japonês) — park24.co.jp (RI)
- JR West, comunicado sobre acesso não autorizado ao site da Times Car (incluindo acompanhamento, em japonês) — wester.jr-odekake.net
- Alertas de fraude (em japonês): CIC / JICC / centro de informações de crédito da Associação dos Bancos do Japão
- Comunicados sobre congestionamento (em japonês): CIC (30 de setembro) / JICC (2 de outubro)
- Agência Nacional de Polícia (JAFIC), perguntas e respostas sobre as alterações da portaria da Lei de Prevenção à Transferência de Produtos do Crime (publicadas em 24 de junho de 2025 e 6 de março de 2026, em japonês) — npa.go.jp
- Ministério de Assuntos Internos e Comunicações, regras de verificação de identidade para contratos de telefonia móvel (em japonês) — soumu.go.jp
- Código de Trânsito Japonês, artigo 94 (reemissão da CNH, em japonês) — e-Gov Law Search
- Lei de Proteção de Informações Pessoais, artigos 22 e 35 (em japonês) — e-Gov Law Search
- Reportagem: Nikkei sobre cadastros em site de ação judicial superiores a 15.000 (2 de outubro de 2026, em japonês) — nikkei.com / Kyodo News via Okinawa Times (3 de outubro de 2026, em japonês) — okinawatimes.co.jp
Histórico de atualizações
2026-10-24: Incorporado o quinto comunicado de 23 de outubro e a atualização do FAQ. Reescritos o título, a descrição, o resumo, a tabela rápida, a lista de fatos, a linha do tempo e o FAQ com os números finais (6.628.007 registros no sistema web da Times Car; 1.464.800 imagens de documentos enviadas e 891.602 apenas acessadas; 4 senhas; e outros), o vazamento do sistema web relacionado Times Club (28 registros dos quatro últimos dígitos de cartões de crédito e outros), a contagem corrigida de IDs de serviços vinculados (de nove para quatro; WESTER ID zero), a causa (exploração de uma vulnerabilidade no sistema web), o pagamento de 3.000 ienes, a verificação em Minha Página (a partir das 17h de 23 de outubro) e o novo URL do formulário para ex-membros. O número “cerca de 1,6 milhão de contas” agora é tratado como o número que a empresa havia descrito como possivelmente vazado na época.
2026-10-16: Esclarecido que cerca de 1,6 milhão se refere a contas com imagens de documentos, e não a arquivos de imagem. Corrigido o FAQ para que uma afirmação negativa sobre imagens não sugira que outros dados foram subtraídos daquela pessoa. Revisadas as passagens relevantes do terceiro comunicado e do FAQ.
2026-09-29: Primeira versão, com base nos comunicados de 25 de setembro (primeiro) e 28 de setembro (segundo).
2026-09-30: Acrescentado o terceiro comunicado de 29 de setembro (cerca de 1,6 milhão de contas com imagens de documentos de identidade, início dos e-mails individuais).
2026-10-03: Acrescentadas as atualizações do FAQ e dos comunicados de 1º de outubro: uma tabela dos tipos de comunicado, o formulário para ex-membros, a explicação da retenção de sete anos, o fato de a empresa não manter dados de cartão, que as senhas estão na lista de vazados, as taxas e o congestionamento dos bureaus de crédito, e as mudanças de 2026 nas regras de combate à lavagem de dinheiro e de identificação por telefone móvel. Removida uma referência a um “e-mail de desculpas a todos os membros”, que não pôde ser confirmado. A empresa pretende divulgar detalhes em cerca de duas semanas; este artigo será atualizado quando isso ocorrer.
2026-10-05: Atualizada a contagem de cadastros na ação coletiva com reportagens mais recentes (mais de 15.000 até as 21h de 2 de outubro).
2026-10-06: Acrescentado o link para o formulário de consulta para ex-membros (da atualização de 1º de outubro do primeiro comunicado).
2026-10-11: Acrescentadas as duas perguntas que a empresa incluiu no FAQ em 6 de outubro (como funcionam as verificações de identidade quando a imagem da CNH vaza; um alerta sobre contatos que se passam pela empresa e a consulta da empresa à Agência Nacional de Polícia). A causa ainda não havia sido divulgada em 11 de outubro.
2026-10-14: Incorporada a atualização do FAQ de 13 de outubro (leitura do chip IC e autenticação pessoal pública acrescentadas aos exemplos de etapas adicionais de verificação de identidade; referências legais incluídas). Nenhum quarto comunicado ou causa havia sido publicado até 14 de outubro.
2026-10-17: Incorporados o quarto comunicado de 16 de outubro e as perguntas Q11 e Q12 do FAQ (imagens não mais mantidas após a conclusão do cadastro, imagens armazenadas a serem apagadas até o fim de outubro, próxima atualização adiada para sexta-feira, 23 de outubro). Acrescentada uma caixa de “ainda não se sabe” no topo. Os números não mudaram; a causa, as conclusões e a indenização ainda não haviam sido divulgadas em 17 de outubro.
Leia em seguida
- O que fazer quando a imagem ou o número da sua CNH vaza
- Verificações de identidade por imagem terminam, em princípio, em abril de 2027: As verificações de identidade online do Japão passam para a leitura do chip IC (preparando seus PINs)
- Números de identificação vazados: Lashinbang (verificações de recompra de produtos usados)
- Golpes derivados: O que é phishing? / Falsos alertas de vírus (golpes de suporte técnico)
- Senhas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Protegendo o celular usado nas verificações de identidade: Noções básicas de segurança do smartphone
- O mesmo padrão: Cariteco (Meitetsu Kyosho, compartilhamento de carros) / Odido (Países Baixos, números de passaporte e CNH) / AssuranceAmerica (EUA, números de CNH)
- Outros incidentes no Japão, setembro–outubro de 2026: o aplicativo Seicomart (cerca de 570.000 pessoas) / Yamato Transport e Sagawa Express (remetentes e destinatários de encomendas) / Abahouse (dados de pedidos e falsos e-mails de reembolso) / Daiwa Securities (cerca de 110.000 clientes por meio de um fornecedor)
- Outros incidentes de 2026: lista de violações e ciberataques (Japão e mundo) / As principais violações de dados do Japão em 2026
- Para operadores: A base mínima de segurança para organizações