Au Japon, les demandes de renouvellement de permis augmentent après la fuite de 1,6 million de documents d’identité chez Times Car

Un nouveau permis ne peut pas effacer les données divulguées

Une cyberattaque contre le service Times Car, au Japon, a exposé des documents d’identité figurant dans environ 1,6 million de dossiers de membres. Elle a entraîné des demandes de renouvellement de permis de conduire, alors même que la police avertit que la réédition des cartes n’offre qu’une protection limitée contre la fraude. Selon les informations publiées dans la presse à partir des déclarations de l’entreprise, la fuite a touché au total environ 6,6 millions de comptes de membres, actuels et anciens.

Le problème immédiat tient à ce qu’un nouveau permis ne peut pas changer. La réédition d’un permis de conduire japonais modifie sa photo et uniquement le dernier chiffre de son numéro à 12 chiffres, qui indique le nombre de rééditions. Les noms, adresses et dates de naissance déjà copiés par des criminels restent exposés, et les entreprises qui vérifient une image volée n’ont aucun moyen fiable de savoir que le permis a depuis été remplacé.

L’Agence nationale de la police appelle les établissements financiers et les autres entreprises à renforcer les vérifications d’identité et demande aux personnes concernées de consulter rapidement la police si elles soupçonnent une utilisation abusive de leurs informations. Par ailleurs, l’Agence des services financiers a demandé aux établissements, le 9 octobre, d’accélérer le passage des photos de documents d’identité téléversées aux vérifications par lecture de la puce électronique de la carte physique.

Ce changement est déjà prévu par des règlements modifiés mettant en œuvre la loi sur la prévention du transfert des produits du crime. À compter du 1er avril 2027, l’envoi de photos de documents d’identité ne sera plus une méthode acceptée par les règles concernées pour vérifier l’identité d’un client sans le rencontrer en personne. La lecture de la puce deviendra la norme, avec des solutions de remplacement pour les personnes qui ne disposent pas de documents adaptés ou d’un smartphone.

Quelle est l’ampleur de l’exposition ?

Times Car est exploité par une filiale de Park24 Co. Le service a détecté l’intrusion le 25 septembre. Selon les informations publiées, environ 6,6 millions de comptes ou de dossiers ont été touchés, dont près de 1,6 million contenant des documents d’identité, tels que des photos de permis de conduire.

Ces chiffres correspondent à différentes parties de la fuite et ne sont pas des estimations concurrentes d’un même total. D’après le nombre de comptes rapporté, des documents d’identité figuraient dans environ 24 % des dossiers touchés, soit près d’un sur quatre. Aucun de ces chiffres ne permet d’établir le nombre exact de personnes distinctes concernées, et les enquêtes pourraient faire évoluer les totaux.

Les informations exposées peuvent inclure les noms, adresses personnelles, dates de naissance, numéros de téléphone, adresses électroniques et données de permis. Un utilisateur de Times Car à Fukuoka a reçu une notification indiquant que son adresse, sa date de naissance, son numéro de téléphone, son adresse électronique et l’image de son permis figuraient parmi les informations divulguées.

Les anciens clients ont également été touchés. Leurs données auraient été conservées pendant environ sept ans, ce qui relance la question de la conservation par les entreprises de documents sensibles une fois leur utilité initiale expirée. La Commission japonaise de protection des informations personnelles a exhorté les entreprises à supprimer les données personnelles dont elles n’ont plus besoin.

Les dates clés de la réponse

Le renforcement des vérifications d’identité fait suite à une évolution réglementaire antérieure à l’intrusion chez Times Car. La fuite a accru la pression pour appliquer ce changement avant son entrée en vigueur.

• Juin 2025 : Les modifications des règles de vérification d’identité sont promulguées. Elles prévoient la fin, à une date ultérieure, des méthodes concernées fondées sur des images de documents téléversées.
• 25 septembre 2026 : Times Car détecte l’intrusion.
• 29 septembre : Un client touché à Kanazawa reçoit un courriel confirmant la fuite de ses données personnelles.
• 8 octobre : Le commissaire de l’Agence nationale de la police, Yoshinobu Kusunoki, aborde la cybersécurité et la prévention de la fraude lors d’une conférence de presse.
• 9 octobre : L’Agence des services financiers demande que les vérifications d’identité par lecture de la puce des cartes soient adoptées plus tôt.
• 11 octobre : La presse fait état d’une hausse des demandes de renseignements et de renouvellement de permis dans tout le Japon.
• 1er avril 2027 : Les règles modifiées de vérification d’identité doivent entrer en vigueur.

La demande du 9 octobre est un appel à accélérer la mise en œuvre, et non une nouvelle interdiction immédiate des méthodes de vérification existantes. Les établissements qui utilisent encore des photos sont invités à examiner soigneusement les images des documents et des visages, tout en préparant la transition.

Pourquoi les demandes de renouvellement augmentent

Les commissariats et les centres de permis de conduire ont reçu de nombreuses demandes de renseignements depuis que la fuite a été rendue publique. Des personnes ont demandé comment remplacer leur permis et modifier les informations enregistrées, craignant qu’un document d’identité exposé puisse servir à usurper leur identité.

Un permis est normalement réédité pendant sa période de validité en cas de perte, de vol ou de détérioration, ou lorsque les informations enregistrées changent. Les commissions préfectorales de sécurité publique peuvent également autoriser un remplacement pour d’autres motifs importants. À la suite de la fuite chez Times Car, presque tous les bureaux accepteraient les demandes, le risque d’utilisation abusive étant considéré comme un motif de réédition.

Dans la préfecture d’Ishikawa, le centre des permis de conduire reçoit plusieurs demandes par jour. Les demandes sont acceptées au centre préfectoral des permis de Kanazawa ainsi que dans les commissariats de Wajima et de Suzu. Selon les informations publiées, les frais s’élèvent à 2 600 yens pour un permis classique et à 1 500 yens pour un permis My Number, qui associe les informations du permis de conduire à la carte My Number.

Un homme d’une trentaine d’années de Kanazawa, qui utilisait Times Car depuis deux ans, envisageait de remplacer son permis après avoir reçu la notification du 29 septembre. Au moment du témoignage publié dans la presse locale, il disait ne pas avoir reçu d’explications détaillées par la suite. Une entreprise de Kanazawa ayant souscrit un contrat Times Car professionnel distinct a averti tous ses employés par courriel, mais a continué à utiliser le service.

Ce que change réellement la réédition d’un permis

Un permis de remplacement ne réinitialise pas l’identité exposée d’une personne. Même si la photo et le dernier chiffre du numéro changent, les autres informations figurant sur un document copié peuvent toujours servir à tenter une usurpation d’identité. La réédition ne permet pas non plus de récupérer ou d’effacer les images déjà extraites des systèmes d’une entreprise.

Cette distinction est importante, car le fait de posséder une photo ne prouve pas que la personne qui la présente détient la carte originale. Si une entreprise accepte l’image sans procéder à d’autres vérifications suffisantes, délivrer une nouvelle carte à son titulaire légitime peut ne guère empêcher quelqu’un de présenter l’ancienne image.

La Commission de protection des informations personnelles a averti que des images de permis divulguées pourraient être utilisées pour obtenir des cartes de crédit, ouvrir des comptes bancaires ou souscrire des contrats de téléphonie mobile. Il s’agit de formes possibles d’utilisation abusive, et non de la preuve que chaque document exposé a déjà servi à commettre une fraude.

Les articles ne donnent aucun total national des permis effectivement réédités ni des fraudes confirmées en lien spécifique avec la fuite de Times Car. Les éléments disponibles montrent une inquiétude généralisée et des demandes locales, mais ne permettent pas encore de mesurer combien de personnes ont subi des pertes financières.

Pourquoi les banques sont appelées à lire les puces des cartes

La vérification par puce consiste à lire les informations électroniques d’un document d’identité physique, comme un permis de conduire ou une carte My Number, au lieu de s’appuyer uniquement sur une photo téléversée par le demandeur. Une image volée ne suffit donc pas, à elle seule, pour passer l’étape de lecture de la puce.

La ministre des Services financiers, Satsuki Katayama, a appelé les établissements à renforcer leurs contrôles lors de la vérification de l’identité des clients :

mettre correctement en œuvre les procédures de vérification d’identité, notamment par la lecture des données de la puce électronique intégrée.

Dans son avis du 9 octobre, l’Agence des services financiers a également demandé aux établissements de réexaminer leurs mesures de cybersécurité, notamment la supervision de leurs prestataires. Sa demande ne citait aucune fuite en particulier, même si elle intervenait après la divulgation de l’intrusion chez Times Car et d’autres incidents liés à des documents d’identité.

Les règlements modifiés prévoient des solutions de remplacement pour les personnes qui ne possèdent pas de document d’identité doté d’une puce ou de smartphone compatible avec la communication en champ proche, dite NFC. La NFC permet à un téléphone compatible de communiquer avec une carte placée à proximité. Les méthodes maintenues comprennent l’envoi postal d’un document d’identité original, assorti de protections contre la falsification.

La lecture des puces permet de contrer une voie d’usurpation d’identité. Elle ne rend pas inutilisables les adresses, dates de naissance ou numéros de téléphone divulgués et ne dispense pas les établissements d’examiner les demandes suspectes.

Une vague d’attaques plus large, sans responsable commun établi

La fuite chez Times Car est survenue parallèlement à des divulgations touchant des services de transport, de vente au détail et de restauration. Parmi les incidents rapportés figurent la copie de plus de 10 millions de dossiers clients provenant de l’application de réservation et de fidélité de la chaîne de restaurants Yakiniku King, ainsi que l’exposition d’environ 1,67 million d’adresses électroniques issues du système de réservation Eki-net de JR East.

La presse fait également état d’incidents concernant Tokyo Metro, Lawson et Nikkei. À Fukuoka, les divulgations ont touché l’enseigne MrMax et le service de carte de transport nimoca, tandis que JR Kyushu a indiqué que des adresses électroniques de membres du site web pourraient avoir fuité. Ces incidents concernent des types d’informations différents et ne doivent pas être assimilés à une fuite de photos de documents d’identité.

Le ministre du Numérique, Masaaki Taira, a convoqué une réunion de crise et décrit la situation en ces termes :

une urgence dans le cyberespace

Le ministre chargé de la Cybersécurité, Toshiharu Furukawa, a également évoqué la gravité de la situation :

extrêmement critique

Le ministère de l’Industrie a demandé à environ 1 000 organisations professionnelles de vérifier les équipements de communication et les systèmes afin d’y détecter d’éventuelles failles. Aucun groupe n’a revendiqué les attaques mentionnées dans cette vague plus large, et les enquêteurs n’ont pas établi l’existence d’un responsable commun.

Que sait-on des méthodes d’attaque ?

L’équipe japonaise d’intervention d’urgence informatique, JPCERT/CC, a décrit plusieurs techniques observées dans des attaques récentes : la recherche de failles logicielles non corrigées, l’utilisation abusive d’interfaces internes repérées au moyen d’applications mobiles et l’exploitation d’une vulnérabilité connue d’injection SQL dans l’outil d’analyse Metabase.

L’injection SQL consiste à manipuler une requête de base de données pour qu’une application vulnérable effectue des actions non prévues, ce qui peut exposer les informations stockées. Les techniques rapportées éclairent le contexte général des attaques, mais ne permettent pas d’établir laquelle a été utilisée contre Times Car.

Au sein du Fukuoka Institute of Technology, le Centre des infrastructures informatiques aurait enregistré près de 9 000 tentatives d’attaque bloquées en 30 minutes. Cette observation illustre le volume d’activités malveillantes auquel un établissement peut être confronté. Il ne s’agit ni d’un décompte des intrusions réussies ni d’une mesure nationale des données volées.

Des spécialistes de la sécurité ont avancé que l’intelligence artificielle pourrait réduire les efforts nécessaires pour rechercher des cibles. Masaki Hiraoka, de l’entreprise de sécurité Blackpanda, a toutefois rappelé que les attaques n’avaient pas été explicitement liées à l’IA. Cette possibilité, pas plus que l’origine géographique apparente du trafic réseau, ne permet d’identifier les responsables.

Ce à quoi les personnes concernées doivent être attentives

L’Agence nationale de la police s’attend à une recrudescence d’appels et de courriels frauduleux usurpant l’identité d’entreprises victimes de fuites. Des coordonnées exposées peuvent rendre ces messages plus crédibles, surtout si l’interlocuteur connaît le nom, l’adresse ou l’abonnement de la personne.

Lors de sa conférence de presse du 8 octobre, le commissaire Yoshinobu Kusunoki a déclaré que l’agence mènerait des enquêtes et des actions de prévention. Il a recommandé des précautions simples, comme l’utilisation d’applications bloquant les appels frauduleux, la mise à jour des mots de passe et la prudence face aux courriels suspects.

Les autorités demandent aux personnes de contacter rapidement la police si elles soupçonnent une fraude ou une utilisation abusive de leurs informations. Si un contrat ou un compte inconnu est découvert, la Commission de protection des informations personnelles recommande également de consulter la société émettrice de la carte de crédit ou la banque concernée. Une notification de fuite confirme que des informations ont été exposées ; la découverte d’un compte, d’un contrat ou d’une transaction inattendus appelle une démarche distincte.

La prochaine échéance fixée est le 1er avril 2027. De nouvelles recommandations en matière de protection de la vie privée, portant notamment sur les clés d’accès, la détection des intrusions et la suppression des données inutiles, sont également attendues en avril prochain. D’ici là, la tâche incombe à tous : les entreprises doivent renforcer les vérifications et la protection des données, tandis que les personnes concernées doivent rester attentives aux utilisations abusives qu’un remplacement de permis ne peut empêcher.

À retenir

• Environ 6,6 millions de comptes Times Car ont été touchés, dont près de 1,6 million de dossiers contenant des documents d’identité.
• Les permis de remplacement modifient la photo et le dernier chiffre du numéro, mais laissent inchangée une grande partie des informations personnelles exposées.
• Dans la préfecture d’Ishikawa, les demandes de réédition sont acceptées. Les frais annoncés sont de 2 600 yens pour un permis classique et de 1 500 yens pour un permis My Number.
• Les établissements financiers ont été invités à adopter la vérification par puce des cartes avant l’entrée en vigueur des nouvelles règles, le 1er avril 2027.
• Les autorités mettent en garde contre l’usurpation d’identité, les contrats frauduleux, les appels et courriels d’escroquerie, et recommandent de demander rapidement de l’aide en cas de suspicion d’utilisation abusive.
• La vague d’attaques rapportée n’a pas été attribuée à un responsable unique, et aucun bilan national des fraudes causées par la fuite de Times Car n’a été établi.