Кому: всем, кто пользовался Times Car, Times Business Service или Times Club в Японии, включая тех, кто вышел из сервиса или только начал оформление, и тем, кто управляет сервисом, который собирает документы, удостоверяющие личность. Статья основана на официальных уведомлениях и FAQ оператора и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых сведений компанией
По состоянию на 24 октября 2026 годаПока неизвестно
- Детали выплаты 3 000 иен и способ её проведения (компания говорит, что решение ещё принимается, и свяжется с подходящими людьми)
- Меры по информационной безопасности и корпоративному управлению (будут опубликованы до конца года)
- Выводы комитета по расследованию под руководством внешних директоров
В пятом уведомлении от 23 октября компания сообщила, что внешнее судебно-техническое расследование завершилось в этот день, и опубликовала итоговые цифры, причина (использование уязвимости веб-системы) и политика выплат. Компания заявляет, что до сих пор не обнаружено дополнительного масштаба инцидента. Чтобы не допустить дальнейшего вреда, она не будет публиковать подробности метода атаки или конфигурации системы.
Проверьте свои данные в My Page
С 17:00 23 октября компания показывает в My Page каждого участника на сайте Times Car сведения, подтверждённо утёкшие для этого человека. Инструкция опубликована в формате PDF (как проверить, на японском языке). Открывайте My Page, войдя через официальное приложение или официальный сайт, который вы открываете сами (share.timescar.jp), а не по ссылке из письма.
Согласно FAQ, письма, отправленные ранее, перечисляют то, что было подтверждено на момент отправки каждого письма. Итоговый результат после завершения расследования проверяйте в My Page. Что делать, зависит от того, какой из случаев относится к вам.
| Что вы видите (категория в пятом уведомлении) | Что говорит компания | Что делать |
|---|---|---|
| Изображения документов, удостоверяющих личность, с «следами доступа и передачи наружу» (④, 1 464 800) | Зашифрованные изображения были отправлены. Это не означает, что содержимое сразу стало доступно для просмотра, но будущую расшифровку полностью исключить нельзя. Имеете право на выплату 3 000 иен | Все шаги ниже, особенно предупреждения о мошенничестве во всех трёх бюро кредитных историй и проверку кредитной истории |
| Изображения документов, удостоверяющих личность, «доступ был, следов передачи наружу нет» (⑤, 891 602) | Компания считает вероятность того, что содержимое было просмотрено или получено, низкой. На выплату не претендуете | Остерегайтесь выдачи себя за другое лицо. Предупреждения о мошенничестве по желанию |
| Имя, адрес, дата рождения, телефон, электронная почта, данные водительского удостоверения и так далее (①, 6 628 007) | Позиции, кроме изображений. Включает людей, которые подписались только на парковку через «Kantan Nyukai» (оплата картой) | Остерегайтесь выдачи себя за другое лицо. Корпоративным участникам также следует остерегаться поддельных писем с названиями отделов |
| Участник Times Club | В веб-системе Times Club номера карт Times Club (19 510), идентификаторы связанных сервисов (135 436), последние четыре цифры карт (28) и другие данные имеют следы отправки (⑥) | Остерегайтесь выдачи себя за другое лицо. Уточните на горячей линии компании, затронуты ли вы (в пятом уведомлении не сказано, как проверить) |
| Бывший участник или человек, не завершивший регистрацию | Проверить в My Page нельзя | Обратитесь через специальную форму (ответ примерно через две недели, по очереди) |
Уведомления в письмах легко подделать: не действуйте по ссылкам из них
Могут появиться поддельные письма, имитирующие настоящие уведомления. В FAQ компания сообщает, что никогда не запрашивает коды подтверждения из SMS, пароли интернет-услуг или PIN-коды водительских удостоверений и карт My Number по телефону или электронной почте.
По состоянию на 24 октября детали выплаты и способ её проведения не определены (компания свяжется с подходящими людьми после решения). Если сообщение о «получении выплаты» просит ввести банковские или карточные данные, не открывайте его ссылку; проверьте сами, есть ли такие указания в разделе новостей официального сайта (share.timescar.jp). Горячая линия: 0120-25-8924 (круглосуточно, Япония), или используйте контактную форму на официальном сайте.
В пятом уведомлении и FAQ компании не сказано, что входит в «данные водительского удостоверения» (номер удостоверения, срок действия, категория и так далее). Эти данные указаны отдельно от изображений документов. Если нужно знать, уточните на горячей линии.
Что нужно сделать пострадавшим сегодня
Подробные шаги по пресечению злоупотреблений утёкшим водительским удостоверением описаны в отдельном руководстве
Как зарегистрировать предупреждения о мошенничестве, как распознать мошеннические телефонные или кредитные договоры и как обратиться в полицию, описано в статье Что делать, если утёк образ или номер вашего водительского удостоверения. Эта статья касается только особенностей данного инцидента.
Игнорируйте инструкции в электронных письмах, SMS, звонках или почтовых письмах, которые выдают себя за компанию (для всех)
Утёкшие данные объединяют имя, адрес, дату рождения, номер телефона и адрес электронной почты. Имея всё это, мошенник может составить убедительное сообщение.
Если с вами связываются по поводу «процедуры компенсации», «повторной подачи водительского удостоверения» или «повторной регистрации карты», не открывайте ссылку; откройте официальное приложение или сайт сами. В FAQ компания также просит не отвечать на незнакомые контакты и не открывать ссылки или вложения (см. Что такое фишинг?).
6 октября компания добавила в FAQ предупреждение о контактах, которые выдают себя за компанию, финансовые учреждения, операторов связи или государственные органы и пытаются получить коды подтверждения SMS, идентификаторы и пароли, банковские данные, данные кредитных карт или PIN-коды. Компания заявляет, что никогда не запрашивает по телефону или электронной почте коды SMS, пароли или PIN-коды водительских удостоверений и карт My Number. Также сообщается, что она консультировалась с Национальным полицейским агентством и передаёт его предупреждение о мошеннических звонках от людей, которые выдают себя за полицейских, а также рекомендованные агентством бесплатные приложения для защиты от мошеннических звонков. Не отвечайте на месте; проверьте сами через официальный контакт каждой компании.
Зарегистрируйте предупреждение о мошенничестве в трёх бюро кредитных историй Японии (если изображения ваших документов были отправлены)
Самодекларирование можно зарегистрировать, когда ваше имя может быть использовано мошенниками, поскольку документ, удостоверяющий личность, был утерян, украден или утёк. Кредиторы и эмитенты карт тогда видят пометку и внимательнее рассматривают заявки.
В FAQ (Q12) компания объясняет, что система используется при кредитных решениях, а не, например, при открытии депозитного счёта, и заявляет, что не рекомендует и не гарантирует её. Позиция этого сайта: поскольку будущая расшифровка отправленных изображений не исключена, для этих людей регистрация имеет смысл.
У каждого бюро разные компании-участники, поэтому регистрация во всех трёх — самый надёжный выбор. Стоимость и способы указаны в таблице ниже (проверено на официальных сайтах бюро 3 октября 2026 года).
Запросите свою кредитную историю и ищите счета, которые вы не открывали (если изображения ваших документов были отправлены)
Предупреждение о мошенничестве не блокирует заявки. Используйте кредитную историю, чтобы убедиться, что на ваше имя ничего не было открыто.
Проверьте сейчас, а затем ещё раз через несколько месяцев, нет ли карт или кредитов, на которые вы не подавали заявку. Если вы получили незнакомый договор, уведомление о взыскании или письмо от оператора связи или кредитора, которыми вы не пользовались, свяжитесь с этой компанией и с местным отделением полиции.
Бывшие участники и люди, которые не завершили регистрацию: обратитесь через специальную форму и при желании запросите удаление данных
Компания начала связываться с бывшими участниками 1 октября, но отмечает, что их зарегистрированные контактные данные могут не работать. Бывшие участники и люди, не завершившие регистрацию, не могут проверить данные в My Page, поэтому компания просит их обращаться через специальную форму запроса (ответ примерно через две недели после отправки, по очереди). Форма указана в пятом уведомлении: форма запроса для бывших участников (на японском языке).
В четвёртом и пятом уведомлениях компания сообщила, что удалит изображения документов, удостоверяющих личность, до конца октября независимо от того, просит ли кто-либо об этом. В FAQ (обновлён 23 октября) по-прежнему сказано, что имя, адрес и дата рождения хранятся семь лет в соответствии с Законом о корпоративном налоге и другими законами, но добавлено, что сроки хранения других данных также будут пересмотрены. Если вы не планируете снова пользоваться сервисом, можно также спросить, как обрабатываются эти данные, и запросить их удаление (правовая основа объясняется ниже).
Прекратите повторное использование паролей
Согласно пятому уведомлению, хешированные пароли (преобразованные в форму, которую нельзя обратить) имеют следы отправки в 4 случаях. Проверьте в My Page, входите ли вы в их число. Даже если нет, если вы используете пароль от Times Car в других сервисах, разумной мерой предосторожности будет его смена там. Реальный способ составить список — менеджер паролей.
Администраторы корпоративных аккаунтов: предупредите сотрудников о письмах, которые выдают себя за партнёров
Согласно пятому уведомлению, названия отделов корпоративных участников имеют следы отправки в 3 677 случаях. Имя, отдел и адрес электронной почты вместе облегчают выдачу себя за делового партнёра или коллегу.
Введите правило: просьбы вроде «наш банковский счёт изменился» или «срочно проверьте это» должны проверяться по другому каналу, например телефонным звонком (защита собственного домена: Подмена адреса электронной почты и SPF, DKIM, DMARC).
| Бюро кредитных историй | Основные компании-участники | Онлайн / приложение | По почте | Срок действия предупреждения |
|---|---|---|---|---|
| CIC | Эмитенты карт, компании потребительского кредитования | 1 000 иен (нужно звонить с номера телефона, использованного в кредитном договоре) | 1 000 иен (почтовый денежный перевод) | 5 лет |
| JICC (Японский центр справочной кредитной информации) | Потребительские кредиторы и другие | Приложение для смартфона, 700 иен | 1 111 иен за каждый тип комментария | 5 лет |
| KSC (Японская ассоциация банкиров) | Банки и другие | 500 иен (нужна карта My Number) | 2 403 иены | Проверьте на официальном сайте |
Бюро кредитных историй перегружены: можно подать заявку и по почте
После раскрытия информации заявок стало намного больше. 30 сентября CIC сообщило, что онлайн-раскрытие и справочные номера для предупреждений о мошенничестве трудно получить, а телефонные линии заняты. 1 октября JICC приостановил подачу заявок через приложение для смартфона, 2 октября возобновил их, а затем снова остановил с 18:30 того же дня по 4 октября из-за технического обслуживания сервера (время возобновления будет объявлено).
Задержка в несколько дней менее рискованна, чем попадание на поддельный сайт. Подавайте заявку с официального сайта каждого бюро или по почте, если не можете дозвониться, и не пользуйтесь сайтами «сервисов оформления заявок», которые открываются из рекламы в поиске или из ссылок в письмах.
Что произошло (по уведомлениям Times Mobility)
Times Mobility Co., Ltd. вместе со своей материнской компанией Park24 Co., Ltd. опубликовала уведомления 25, 28 и 29 сентября, 16 октября (четвёртое) и 23 октября (пятое) 2026 года. FAQ опубликован 1 октября и обновлялся 6, 13, 16 и 23 октября. Всё ниже приводится так, как указано в официальных уведомлениях компании.
25 сентября 2026, 9:07
Компания обнаружила несанкционированный внешний доступ к веб-системе Times Car и начала расследование.25 сентября
Первое уведомление о возможной утечке персональных данных; компания сообщила, что среди прочего направляет сообщение в Комиссию по защите персональных данных.До 26 сентября, 7:25
Путь доступа и связь со злоумышленником были перекрыты. Компания подтвердила, что доступ больше невозможен, и продолжила мониторинг.28 сентября
Второе уведомление: получение данных примерно 6,6 млн учётных записей третьей стороной подтверждено. Сообщено в Комиссию и полицию, предварительный отчёт направлен в Министерство земли, инфраструктуры, транспорта и туризма. Начались уведомления действующим участникам (по хронологии в пятом уведомлении). В раскрытии Park24 для фондовой биржи сказано, что влияние на прибыль рассматривается.29 сентября
Третье уведомление: утечка изображений документов, удостоверяющих личность, примерно по 1,6 млн учётных записей. Начались индивидуальные уведомления участникам (по хронологии в пятом уведомлении).1 октября
Добавлены FAQ и специальная форма для бывших участников. Начались индивидуальные уведомления бывшим участникам. Отдельные участники, чья другая информация утекла, также получили письма.2 октября
Начались уведомления корпоративным участникам (по хронологии в пятом уведомлении).6 октября
В FAQ добавлены два вопроса: как работает проверка личности, если утёк образ водительского удостоверения, и предупреждение о контактах, которые выдают себя за компанию и других (включая консультацию с Национальным полицейским агентством и предупреждение о звонках от поддельных полицейских).13 октября
Обновлены два ответа FAQ: больше примеров дополнительных шагов проверки личности (считывание IC-чипа, государственная персональная аутентификация) и законы и государственные материалы, на которых основаны ответы.16 октября
Четвёртое уведомление: компания пересмотрела хранение изображений документов, удостоверяющих личность, и изменила внутренние правила, так что изображения не хранятся после завершения регистрации членства. Имеющиеся изображения будут удалены до конца октября 2026 года, независимо от того, просит ли об этом человек. Сообщив, что расследование занимает больше времени, компания перенесла обновление, обещанное примерно через две недели, на пятницу, 23 октября. Добавлены два вопроса в FAQ: почему раскрытие занимает время и как будет предотвращаться выдача себя за другое лицо после удаления изображений.23 октября
Внешнее судебно-техническое расследование завершилось, и опубликовано пятое уведомление: итоговые цифры (6 628 007 записей в веб-системе Times Car, 1 464 800 отправленных изображений документов и другое), несанкционированный доступ к связанной веб-системе Times Club, причина (использование уязвимости веб-системы), выплата 3 000 иен и меры, которые будут опубликованы до конца года. С 17:00 в My Page каждого человека отображаются утёкшие данные. FAQ обновлён новыми вопросами, в частности о выплате и системе предупреждений о мошенничестве.
- Расследование
- Внешнее судебно-техническое расследование завершилось 23 октября. Приведённые цифры окончательные, основаны на его выводах, и дополнительный масштаб пока не обнаружен
- Веб-система Times Car (①)
- Имя, адрес, дата рождения, номер телефона, адрес электронной почты, данные водительского удостоверения. Следы доступа злоумышленника и передачи наружу найдены по 6 628 007 записям. Включает данные договора (имя, телефон, электронная почта) людей, которые подключились к Times Business Service через «Kantan Nyukai» и заключили договор только на парковку с оплатой картой
- Данные атрибутов и идентификаторов (②)
- Названия отделов корпоративных участников: 3 677; номера участников Times Car (номера IC-управления): 8; номера карт Times Business: 113; идентификаторы связанных сервисов: 4 (исправлено с девяти во втором уведомлении; «WESTER ID» группы JR West, упомянутый во втором уведомлении, — ноль)
- Пароли (③)
- Хешированные учётные данные (пароли) со следами отправки: 4
- Изображения документов, удостоверяющих личность (④⑤)
- Хранились в зашифрованном виде. Следы отправки: 1 464 800; доступ без следов отправки: 891 602; всего 2 356 402. Ранее компания говорила, что могло утечь около 1,6 млн. След передачи наружу не означает, что содержимое сразу стало доступно для просмотра, но будущую расшифровку полностью исключить нельзя (по словам компании)
- Виды изображений
- Водительские удостоверения, документы о месте жительства (например, счета за коммунальные услуги), студенческие билеты (студенческий тариф), документы о составе семьи (семейный тариф) (как описано в версиях FAQ от 1–16 октября)
- Веб-система Times Club (⑥)
- Несанкционированный доступ также обнаружен в связи с этим инцидентом. Следы отправки: имя, адрес, дата рождения и данные водительского удостоверения — 5; номера карт Times Club — 19 510; номера карт Times Business — 12; идентификаторы связанных сервисов (идентификаторы для связи с сервисами партнёров) — 135 436; последние четыре цифры кредитных карт — 28
- Прочее
- Идентификаторы, используемые для управления участниками и работы системы, также имеют следы доступа и передачи наружу
- Данные водительского удостоверения
- Содержание не раскрыто (указано отдельно от изображений документов)
- Кредитные карты
- Компания не хранит платёжные данные и не располагает ни полными номерами карт, ни кодами безопасности, поэтому утверждает, что карты нельзя использовать для мошенничества
- Вторичный вред
- Насколько известно компании, нет свидетельств того, что утёкшие данные были проданы или опубликованы. Мониторинг, включая даркнет, продолжается с привлечением внешних специалистов
- Причина
- Признано: использование уязвимости веб-системы. Войдя в систему, злоумышленник искал в ней информацию и использовал полученное для доступа к базам данных и файловому хранилищу. Подробности метода и конфигурации системы не раскрываются, чтобы не допустить дальнейшего вреда
- Меры
- Меры для подтверждённого пути проникновения завершены. Системы с такой же конфигурацией проверены и исправлены; мониторинг и обнаружение усилены
- Выплата
- Людям, чьи зашифрованные изображения документов имели следы доступа и передачи наружу, — деньгами или ваучерами на 3 000 иен. Детали и способ ещё определяются; с подходящими людьми свяжутся
- Хранение изображений (четвёртое и пятое уведомления)
- Для действующих участников изменено с «хранятся в период членства» на «удаляются сразу после завершения проверки при регистрации» (для бывших участников действующее правило — «хранятся семь лет после выхода», а в ячейке нового правила стоит только прочерк). Имеющиеся изображения будут удалены до конца октября 2026 года независимо от того, просит ли об этом человек. Информация, необходимая для проверки соответствия изображения ранее сохранённому изображению, будет сохранена. По соображениям безопасности компания не раскрывает подробностей мер против выдачи себя за другое лицо после удаления, но говорит, что они не будут ослаблены (вопрос 14 FAQ)
- Дальнейшие шаги
- Комитет по расследованию под руководством внешних директоров с участием внешних экспертов рассмотрит внутренний контроль и корпоративное управление. Конкретные меры по информационной безопасности и корпоративному управлению будут опубликованы до конца года
- Контакты
- Горячая линия 0120-25-8924 (круглосуточно, Япония), контактная форма на официальном сайте и форма для бывших участников
Как это понимать: «продажа или публикация не подтверждены» не означает «безопасно»
Компания говорит, что, насколько ей известно, нет свидетельств того, что утёкшие данные были проданы или опубликованы. Это значит, что пока ничего не найдено, а не что ничего не будет использовано позже. Шифрование изображений тоже не решает вопроса: сама компания не исключила будущую расшифровку.
Особенно изображения документов, удостоверяющих личность, могут быть использованы и через много лет. Планируйте меры предосторожности на годы (предупреждения CIC и JICC действуют пять лет).
Почему утёкшие изображения водительских удостоверений — самая серьёзная часть
То, что можно изменить или переоформить
- Пароль (здесь хешированный; отправлен в 4 случаях; перестаньте использовать его повторно)
- Кредитная карта (полные номера и коды безопасности не хранятся; последние четыре цифры утекли в 28 случаях)
- Адрес электронной почты и номер телефона (хлопотно, но можно изменить)
То, что вы не можете изменить самостоятельно
- Имя и дата рождения
- Фотография лица
- Адрес (если не переедете)
Отправленные данные (1 464 800 изображений документов)
Зашифрованные изображения водительских удостоверений и других документов, а также имя, адрес и дата рождения
↓ Кто-то оформляет на ваше имя
Проверка при кредите и оформлении карт
Компании-участники проверяют вашу кредитную историю
Предупреждение о мошенничестве (самодекларирование) во всех трёх бюро
Компании-участники внимательнее рассматривают заявки. Не блокирует их
↓ Если что-то всё же открыто
Карты или кредиты, на которые вы не подавали заявку
Вы также можете узнать об этом из уведомления о взыскании или письма от компании, которой вы не пользовались
Запросите свою кредитную историю
Сейчас и ещё раз через несколько месяцев. Если нашли что-то, свяжитесь с этой компанией и полицией
Смена пароля делает старый бесполезным; изображения документов, удостоверяющих личность, так не работают. Для онлайн-договоров в Японии распространённым способом проверки было простое отправление фото водительского удостоверения и селфи.
Изображения в этом случае хранились в зашифрованном виде. Шифрование защищает данные от того, чтобы их сразу прочитали; оно не мешает их забрать. Сама компания не исключила будущую расшифровку отправленных зашифрованных данных, поэтому меры предосторожности нужно планировать на годы.
О переоформлении водительского удостоверения: статья 94(2) Закона о дорожном движении перечисляет основания, такие как утрата, уничтожение, загрязнение или повреждение; утёкший образ в них не назван, поэтому уточните в местном центре выдачи удостоверений. Переоформленное удостоверение по-прежнему содержит то же имя, дату рождения и фото, а утечка включала также документы о месте жительства, поэтому одного переоформления недостаточно.
Проверки личности только по изображению постепенно отменяются, но пока не полностью
Правила японского законодательства о противодействии отмыванию денег (Закон о предотвращении передачи доходов от преступной деятельности), которые касаются, например, открытия банковских счетов, были изменены в июне 2025 года, чтобы отменить дистанционный способ, при котором отправляют изображение удостоверения и селфи, с вступлением в силу 1 апреля 2027 года. Дополнительная поправка в марте 2026 года делает считывание IC-чипа документа нормой и для очных проверок с той же даты.
Договоры на мобильную связь регулируются отдельным законом; согласно Министерству внутренних дел и коммуникаций, онлайн-договоры в принципе требуют считывания IC-чипа с 1 апреля 2026 года.
В дополнении к FAQ от 6 октября (обновлено 13 октября) компания также объясняет, что когда финансовые учреждения проверяют личность дистанционно по изображению документа, они добавляют шаги, такие как сопоставление с селфи, считывание IC-чипа, государственная персональная аутентификация или проверка банковского счёта на имя этого человека. В качестве основания она ссылается на Закон о предотвращении передачи доходов от преступной деятельности и его постановление, а также на Закон о предотвращении недобросовестного использования мобильных телефонов. Она не может полностью исключить попытки мошеннических заявок третьими лицами или выдачи себя за другое лицо в других договорах.
До марта 2027 года для дистанционных банковских процедур и для сервисов вне этих правил (многие запрашивают изображение водительского удостоверения для проверки возраста или при регистрации) изображение всё ещё может служить удостоверением. Поэтому этот сайт рекомендует предупреждения о мошенничестве и проверку кредитной истории.
Почему данные бывших участников хранились (объяснение компании) и запросы на удаление
В утечку попали бывшие участники и заявители, которые так и не завершили регистрацию. В FAQ компания объясняет хранение данных так.
- Имя, адрес и дата рождения: хранятся семь лет в соответствии с Законом о корпоративном налоге и другими законами
- Данные и изображения водительских удостоверений: хранятся семь лет для предотвращения выдачи себя за другое лицо и обработки обращений клиентов
В четвёртом уведомлении от 16 октября, повторённом в пятом уведомлении от 23 октября, компания изменила порядок работы с этими изображениями. Она больше не будет хранить изображения после завершения проверок при регистрации и удалит имеющиеся изображения до конца октября 2026 года, независимо от того, просит ли об этом человек. FAQ (обновлён 23 октября) сохраняет семилетний срок хранения имени, адреса и даты рождения и сообщает, что сроки хранения других данных также будут пересмотрены, но новых сроков пока не называет.
С правовой стороны статья 22 Закона о защите персональной информации предписывает бизнесу прилагать усилия для удаления персональных данных без промедления, когда в них отпадает необходимость. Это обязанность прилагать усилия; бизнес сам определяет, какой срок требуется для его цели.
Что касается прав граждан, статья 35(5) позволяет вам требовать прекращения использования или удаления данных в таких случаях, как подлежащая уведомлению утечка или когда бизнесу данные больше не нужны. Записи, которые по закону должны храниться, могут остаться, но получить ответ о том, что остаётся и когда будет удалено, стоит и само по себе.
Для тех, кто управляет сервисами, собирающими документы, удостоверяющие личность
В пятом уведомлении от 23 октября компания связывает утечку с использованием уязвимости веб-системы: войдя в систему, злоумышленник искал в ней информацию и использовал полученное для доступа к базам данных и файловому хранилищу (подробности метода не раскрываются). Изображения были зашифрованы, однако у 1 464 800 найдены следы отправки. Компания также хранила данные водительских удостоверений и изображения семь лет после выхода участников и изменила правило, так что изображения не хранятся после завершения проверок при регистрации. Что необходимо, зависит от бизнеса. Тем не менее три пункта стоит пересмотреть любому сервису, который хранит документы, удостоверяющие личность.
Установите отдельные сроки хранения для записи о проверке и для изображения, использованного в ней
После проверки для работы обычно нужны только дата, документ, с помощью которого проводилась проверка, кто её провёл, и срок действия водительского удостоверения. Решите по каждому пункту, сколько времени нужно хранить само изображение и когда достаточно одной записи.
Установите срок удаления изображений бывших участников и незавершивших регистрацию заявителей и автоматизируйте его
Изображения документов людей, которые вышли или бросили регистрацию, не используются в повседневной работе, но при утечке всё равно попадают в масштаб. Храните их в течение законодательно установленного срока, если он есть; иначе задайте короткий срок и автоматически удаляйте их по его истечении. Ручное удаление долго не выдерживает.
Храните изображения там, где системы веб-сайта не могут читать их напрямую
Если веб-система, которая принимает регистрации и бронирования, имеет свободный доступ к хранилищу изображений с теми же правами, то взлом веб-части открывает и изображения.
Храните изображения в отдельном хранилище с отдельными ключами, а веб-часть пусть видит только результат «проверено». В общем случае, если злоумышленник, проникший в веб-систему, может использовать найденную там информацию, чтобы добраться до более глубоких данных, одно шифрование не останавливает их похищение. Помимо шифрования нужно разделить путь к хранилищу. Базовые идеи описаны в статьях Минимальная базовая линия безопасности для организаций и Аутентификация и авторизация.
После раскрытия информации
- Запросы о раскрытии данных и предупреждениях о мошенничестве перегрузили бюро кредитных историй CIC и JICC, что привело к задержкам и приостановке подачи заявок через приложение (по уведомлениям бюро).
- Юристы открыли сайт для набора участников коллективного иска; сообщалось, что к 21:00 2 октября регистраций было более 15 000 (Nikkei, 2 октября).
- Сообщалось, что акции Park24 подешевели после раскрытия; компания говорит, что влияние на прибыль рассматривается.
- В FAQ от 1 октября компания объяснила, почему хранила данные бывших участников.
- В четвёртом уведомлении от 16 октября компания сообщила, что после завершения регистрации больше не будет хранить изображения документов, удостоверяющих личность, и удалит имеющиеся до конца октября.
- В пятом уведомлении от 23 октября компания объявила о выплате 3 000 иен людям, чьи изображения документов были отправлены, о проверке комитетом по расследованию под руководством внешних директоров и о мерах, которые будут опубликованы до конца года.
Сравнение с другими крупными японскими утечками, раскрытыми в том же году, см. в статье Крупные утечки данных в Японии в 2026 году; случай, когда утекли не изображения, а сведения вокруг них, см. в статье Утечка Gyazo.
Источники (общедоступные)
Факты в этой статье взяты из перечисленных ниже общедоступных источников. Нераскрытые методы или причины вторжения здесь не домысливаются.
- Times Mobility Co., Ltd., пятое уведомление: отчёт об утечке персональных данных из-за несанкционированного доступа к веб-системе Times Car и дальнейших шагах (23 октября 2026: итоговые цифры, веб-система Times Club, причина, выплата, проверка в My Page, на японском языке) — share.timescar.jp / инструкция по проверке (PDF): corp.timescar.jp
- Times Mobility Co., Ltd., четвёртое уведомление о реагировании на несанкционированный доступ к веб-системе Times Car (16 октября 2026: пересмотр хранения изображений, удаление имеющихся до конца октября, следующее обновление 23 октября, на японском языке) — share.timescar.jp
- Times Mobility Co., Ltd., первое уведомление о возможной утечке персональных данных из-за несанкционированного доступа к сайту Times Car (25 сентября 2026, обновлено 1 октября, на японском языке) — share.timescar.jp
- Times Mobility, второе уведомление: результаты расследования и дальнейшие шаги (28 сентября 2026, обновлено 1 октября, на японском языке) — share.timescar.jp / страница, на которую ведут ссылки из писем-уведомлений: corp.timescar.jp
- Times Mobility, третье уведомление (29 сентября 2026, обновлено 1 октября: около 1,6 млн учётных записей с изображениями документов и начало индивидуальных писем, на японском языке) — share.timescar.jp
- Times Mobility, FAQ о несанкционированном доступе к сайту Times Car (1 октября 2026, обновлялся 6, 13 и 16 октября; 23 октября ответы о утёкших данных, кредитных картах, проверке и хранении были пересмотрены в соответствии с пятым уведомлением, вопросы о компенсации и о задержке удалены, добавлены четыре вопроса о выплате, её праве, передаче изображений и системе предупреждений о мошенничестве, все 14 перенумерованы; на японском языке) — corp.timescar.jp (PDF)
- Park24 Co., Ltd., своевременное раскрытие информации о несанкционированном доступе в консолидированной дочерней компании (28 сентября 2026, на японском языке) — park24.co.jp (IR)
- JR West, уведомление о несанкционированном доступе к сайту Times Car (включая последующие сообщения, на японском языке) — wester.jr-odekake.net
- Предупреждения о мошенничестве (на японском языке): CIC / JICC / Центр кредитной информации Японской ассоциации банкиров
- Уведомления о перегрузке (на японском языке): CIC (30 сентября) / JICC (2 октября)
- Национальное полицейское агентство (JAFIC), вопросы и ответы о поправках к постановлению Закона о предотвращении передачи доходов от преступной деятельности (обнародованы 24 июня 2025 и 6 марта 2026, на японском языке) — npa.go.jp
- Министерство внутренних дел и коммуникаций, правила проверки личности для договоров на мобильную связь (на японском языке) — soumu.go.jp
- Закон о дорожном движении, статья 94 (переоформление водительского удостоверения, на японском языке) — e-Gov Law Search
- Закон о защите персональной информации, статьи 22 и 35 (на японском языке) — e-Gov Law Search
- Публикации: Nikkei о регистрациях на сайте иска более 15 000 (2 октября 2026, на японском языке) — nikkei.com / Kyodo News через Okinawa Times (3 октября 2026, на японском языке) — okinawatimes.co.jp
История обновлений
2026-10-24: Учтено пятое уведомление от 23 октября и обновление FAQ. Переписаны заголовок, описание, главный вывод, краткая таблица, перечень фактов, хронология и FAQ в связи с итоговыми цифрами (6 628 007 записей в веб-системе Times Car; 1 464 800 отправленных изображений документов и 891 602 только с доступом; 4 пароля и другое), утечкой из связанной веб-системы Times Club (28 записей с последними четырьмя цифрами кредитных карт и другое), исправленным количеством идентификаторов связанных сервисов (с девяти до четырёх; WESTER ID — ноль), причиной (использование уязвимости веб-системы), выплатой 3 000 иен, проверкой в My Page (с 17:00 23 октября) и новым адресом формы для бывших участников. Цифра «около 1,6 млн учётных записей» теперь рассматривается как число, которое компания тогда описывала как возможно утёкшее.
2026-10-16: Уточнено, что около 1,6 млн относится к учётным записям с изображениями документов, а не к файлам изображений. Исправлен FAQ, чтобы отрицательное утверждение об изображениях не означало, что другие данные по этому человеку не были взяты. Перепроверены соответствующие фрагменты третьего уведомления и FAQ.
2026-09-29: Первая версия, основанная на уведомлениях от 25 сентября (первое) и 28 сентября (второе).
2026-09-30: Добавлено третье уведомление от 29 сентября (около 1,6 млн учётных записей с изображениями документов, начало индивидуальных писем).
2026-10-03: Добавлены обновления FAQ и уведомлений от 1 октября: таблица типов уведомлений, форма для бывших участников, объяснение семилетнего хранения, то, что компания не хранит данные карт, что пароли есть в списке утёкших, стоимость и загруженность бюро кредитных историй, а также изменения 2026 года в правилах противодействия отмыванию денег и идентификации для мобильной связи. Удалена ссылка на «письмо с извинениями всем участникам», которое не удалось подтвердить. Компания планирует подробно сообщить примерно через две недели; статья будет обновлена, когда это произойдёт.
2026-10-05: Количество регистраций в коллективном иске обновлено по более свежим сообщениям (более 15 000 к 21:00 2 октября).
2026-10-06: Добавлена ссылка на форму запроса для бывших участников (из обновления первого уведомления от 1 октября).
2026-10-11: Добавлены два вопроса, которые компания включила в FAQ 6 октября (как работает проверка личности при утечке образа водительского удостоверения; предупреждение о контактах, выдающих себя за компанию, и консультация компании с Национальным полицейским агентством). По состоянию на 11 октября причина не раскрывалась.
2026-10-14: Учтено обновление FAQ от 13 октября (в примеры дополнительных шагов проверки личности добавлены считывание IC-чипа и государственная персональная аутентификация; добавлены правовые ссылки). По состоянию на 14 октября четвёртое уведомление и причина не публиковались.
2026-10-17: Учтены четвёртое уведомление от 16 октября и вопросы 11 и 12 FAQ (изображения больше не хранятся после завершения регистрации, имеющиеся будут удалены до конца октября, следующее обновление перенесено на пятницу, 23 октября). Добавлен блок «пока неизвестно» вверху. Цифры не изменились; причина, выводы и компенсация по состоянию на 17 октября не раскрывались.
Читайте далее
- Что делать, если утёк образ или номер вашего водительского удостоверения
- Проверки личности по изображению в принципе заканчиваются в апреле 2027 года: Онлайн-проверки личности в Японии переходят на считывание IC-чипа (подготовка PIN-кодов)
- Утечка идентификационных номеров: Lashinbang (проверки при выкупе б/у товаров)
- Последующие мошенничества: Что такое фишинг? / Поддельные предупреждения о вирусах (мошенничество под видом техподдержки)
- Пароли: Как выбрать менеджер паролей / Как выбрать многофакторную аутентификацию
- Защита телефона, который вы используете для проверки личности: Основы безопасности смартфона
- Похожая схема: Cariteco (Meitetsu Kyosho, каршеринг) / Odido (Нидерланды, номера паспортов и водительских удостоверений) / AssuranceAmerica (США, номера водительских удостоверений)
- Другие инциденты в Японии, сентябрь–октябрь 2026: приложение Seicomart (около 570 000 человек) / Yamato Transport и Sagawa Express (отправители и получатели посылок) / Abahouse (данные заказов и поддельные письма о возврате средств) / Daiwa Securities (около 110 000 клиентов через подрядчика)
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир) / Крупные утечки данных в Японии в 2026 году
- Для операторов: Минимальная базовая линия безопасности для организаций