Les banques japonaises abandonnent plus tôt que prévu la vérification par photo des pièces d’identité après des fuites de données, avant les règles d’avril 2027

Le vol d’images de permis accélère la transformation du secteur bancaire

Les banques japonaises avancent le calendrier de la mise à jour de l’ouverture de comptes en ligne après une cyberattaque visant le service d’autopartage Times Car, qui a exposé des images de pièces d’identité associées à environ 1,6 million de comptes. Mizuho Bank a mis fin, le 19 octobre 2026, à la vérification par photographies de pièces d’identité, rejoignant les établissements qui se tournent déjà vers des contrôles lisant les puces électroniques des cartes d’identité.

La date limite légale est fixée au 1er avril 2027. L’Agence nationale de la police indique cette date dans sa FAQ sur les règles révisées relatives à l’application de la loi sur la prévention du transfert des produits du crime. Les banques accélèrent leurs préparatifs après que l’Agence des services financiers les a appelées, le 9 octobre, à anticiper cette transition.

Pour les clients, le changement immédiat dépend de la banque et de la procédure de demande. Certains services exigeront une carte My Number, la carte nationale d’identité japonaise. D’autres continueront d’accepter le permis de conduire, à condition que le demandeur en lise la puce plutôt que de simplement envoyer une photo du document.

Les banques s’attaquent à deux problèmes liés : le vol de copies de pièces d’identité par des criminels dans des entreprises, et les tentatives d’utilisation de ces copies pour ouvrir des comptes au nom d’autrui. Un compte obtenu par usurpation d’identité peut permettre à un fraudeur d’accéder à des services financiers sous l’identité d’une autre personne.

La transition concerne aussi les établissements qui ne sont pas de grandes banques. Des banques régionales, des banques en ligne et la plateforme d’échange de cryptomonnaies Zaif ont annoncé des changements. Plusieurs échéances tombent fin octobre et début novembre, plusieurs mois avant l’entrée en vigueur des règles nationales.

Que s’est-il passé chez Times Car ?

Times Car, exploité par une filiale de Park24, a subi un accès non autorisé qui a largement incité les banques à accélérer leurs projets. Des informations associées à environ 6,6 millions de comptes ont été obtenues, notamment des images de pièces d’identité associées à quelque 1,6 million de comptes.

Selon les descriptions de la fuite, les images de permis de conduire de plus d’un million d’utilisateurs actuels et anciens ont été exposées. Le chiffre plus large de 1,6 million de comptes concerne des images de pièces d’identité, y compris d’autres documents que les permis. Rapporté aux chiffres des comptes, environ 24 % des 6,6 millions de comptes concernés avaient des images de pièces d’identité exposées.

Times Car prévoit de supprimer les images des pièces d’identité une fois les vérifications d’inscription terminées, et d’effacer les images déjà stockées d’ici à la fin octobre. Cela modifie la durée de conservation par le service d’une catégorie particulièrement sensible d’informations sur les clients.

Les banques interviennent au stade où les documents volés pourraient ensuite être utilisés. Leurs nouveaux contrôles exigent des informations provenant de la puce d’une carte ou d’un certificat électronique, ajoutant une étape de vérification au-delà du nom, de l’adresse, de la date de naissance et de la photo visibles sur une copie du document.

Quelles grandes banques ont déjà changé leurs procédures ?

Depuis le 19 octobre, Mizuho ne demande plus de photographier les permis et autres pièces d’identité pour l’ouverture de compte à distance : la vérification s’effectue à partir des données de la puce des cartes My Number ou d’autres cartes compatibles. Cette décision fait suite à des changements déjà adoptés par Sumitomo Mitsui Trust Bank et Mitsubishi UFJ Bank.

Sumitomo Mitsui Trust Bank a mis fin en mars à la vérification par photo des documents. Mitsubishi UFJ Bank a rendu la lecture de la puce obligatoire dans son application Smart Account Opening lors d’une mise à jour du 29 mai. Les demandeurs peuvent continuer à utiliser un permis de conduire compatible en procédant à la lecture de sa puce.

Sumitomo Mitsui Banking Corporation prévoit de mettre fin à la méthode reposant sur une photographie du document. Resona Holdings a annoncé le 16 octobre son intention d’abandonner la vérification des photos de permis pour l’ouverture de comptes en ligne et étudie une accélération de la transition dans ses quatre banques filiales. Mitsubishi UFJ Trust and Banking Corporation envisage également des changements. Aucune date de mise en œuvre n’a été annoncée pour ces transitions encore à venir.

Ces différents calendriers comptent pour les personnes qui font une demande aujourd’hui : certaines banques ont déjà abandonné l’ancienne méthode, d’autres ont prévu de le faire, et d’autres encore se préparent. Chaque changement s’applique au service d’ouverture de compte ou à la procédure indiquée par la banque.

Les prochaines échéances pour les demandeurs

SBI Shinsei Bank mettra fin le 27 octobre à la vérification à partir de photographies des pièces d’identité et du visage des demandeurs. À compter du 28 octobre, elle orientera généralement les demandes de compte vers son application et exigera la lecture de la puce d’une carte My Number ou d’un permis de conduire.

Aozora Bank passera, le 29 octobre, à l’authentification par carte My Number pour l’ouverture en ligne de comptes de dépôt BANK. Kyoto Bank exigera une carte My Number pour les nouveaux comptes ouverts via l’application Kyogin à partir du 2 novembre, après l’avoir annoncé le 15 octobre.

Les principaux changements et leurs échéances s’échelonnent sur plusieurs mois :

• Mars 2026 : Sumitomo Mitsui Trust Bank met fin aux contrôles par photo des documents.
• 29 mai 2026 : Mitsubishi UFJ Bank rend la lecture de la puce obligatoire dans son application Smart Account Opening.
• 28 septembre 2026 : Docomo SMTB Net Bank abandonne la méthode par photographie pour l’ouverture de comptes individuels, ses agences partenaires suivant progressivement.
• 9 octobre 2026 : l’Agence des services financiers appelle les établissements financiers à accélérer la transition.
• Du 13 au 19 octobre 2026 : Zaif cesse d’accepter les permis pour les nouveaux comptes individuels, Iwate Bank modifie la procédure de son agence Sora et Mizuho met fin aux contrôles par photo des documents.
• Du 22 au 29 octobre 2026 : Hyakugo Bank, SBI Shinsei Bank et Aozora Bank prévoient des changements pour les services concernés.
• 2 novembre 2026 : Kyoto Bank prévoit d’exiger une authentification par carte My Number pour l’ouverture de compte via son application.
• 1er avril 2027 : les règles nationales révisées entrent en vigueur.

Le changement prévu par Hyakugo Bank le 22 octobre va au-delà de l’ouverture de nouveaux comptes. Il concerne aussi l’authentification par photographie des documents pour des démarches telles que la modification de l’adresse enregistrée ou du numéro de téléphone. La lecture de la puce et l’authentification personnelle publique restent disponibles.

Comment fonctionne la vérification par puce ?

La présentation des vérifications en ligne de l’Agence des services financiers explique les méthodes employées par les banques pour identifier leurs clients à distance. La méthode par photographie combine une image d’une pièce d’identité avec photo et une image du visage du demandeur.

Cette procédure ne consiste pas seulement à photographier un nom et un portrait. Les images du document doivent montrer des informations telles que l’adresse et la date de naissance du demandeur, ainsi que l’épaisseur ou d’autres caractéristiques permettant d’évaluer l’authenticité du document. Les banques ou leurs prestataires fournissent le logiciel utilisé pour transmettre les images.

Une autre méthode combine les informations lues sur la puce du document avec une image du visage du demandeur. La puce fournit des informations d’identité, notamment le nom, l’adresse, la date de naissance et la photographie. La banque peut ainsi utiliser les données électroniques de la carte plutôt que de s’appuyer sur sa surface photographiée.

Les cartes My Number permettent également d’utiliser le service d’authentification personnelle publique, appelé JPKI. Celui-ci repose sur un certificat électronique et une signature électronique. En termes simples, le certificat fournit un justificatif d’identité numérique, tandis que la signature permet à la banque de vérifier que les informations de la demande n’ont pas été modifiées.

La présentation de l’Agence des services financiers précise qu’il faut vérifier la validité du certificat et la signature électronique. Kyoto Bank et Aozora Bank adoptent cette méthode pour les services concernés. Les banques peuvent faire appel à un prestataire agréé pour procéder aux vérifications du certificat et de la signature.

Qu’est-ce qui change exactement en avril 2027 ?

Le règlement d’application révisé de la loi sur la prévention du transfert des produits du crime supprimera, pour les transactions à distance, la procédure reposant sur une photographie du document et une comparaison avec le visage. Les données de la puce et l’authentification électronique seront au cœur des procédures qui la remplaceront.

La FAQ de l’Agence nationale de la police a été publiée à la suite d’une consultation publique menée du 5 décembre 2025 au 3 janvier 2026. Elle précise que la lecture de la puce entraîne aussi des obligations pour les entreprises : lorsqu’elles utilisent les méthodes de présentation des documents concernées, elles doivent comparer les informations lues sur la puce avec celles visibles sur le document.

Selon l’agence, cette comparaison vise à empêcher l’usurpation d’identité au moyen de documents falsifiés ou modifiés. La lecture réussie d’une puce n’est donc qu’un élément d’un contrôle qui consiste également à vérifier la concordance entre les informations électroniques et le document physique.

La FAQ cite les cartes My Number, les permis de conduire, les cartes de résident, les certificats de résident permanent spécial et les passeports parmi les exemples de documents dotés de puces conformes. Les banques et autres entreprises réglementées peuvent choisir les méthodes de vérification autorisées par la loi qu’elles proposent ; les documents exigés varieront donc selon les établissements.

Les justificatifs de vérification existants peuvent continuer à être utilisés lorsque les conditions permettant de se fier à un contrôle d’identité antérieur sont réunies. La FAQ précise que les entreprises n’ont pas à refaire un contrôle déjà effectué au seul motif que les nouvelles règles sont entrées en vigueur.

Pourra-t-on encore utiliser un permis de conduire ?

La procédure prévue par SBI Shinsei Bank accepte une carte My Number ou un permis de conduire, à condition d’en lire la puce. Mitsubishi UFJ Bank continue également d’accepter les permis équipés d’une puce dans l’application concernée. Les demandeurs qui utilisent un permis doivent préparer les deux codes PIN à quatre chiffres définis lors de sa délivrance.

Kyoto Bank a choisi une autre solution pour son application : à partir du 2 novembre, les demandeurs devront disposer d’une carte My Number. Les clients qui ouvrent un compte en agence pourront toujours utiliser un permis de conduire. Le service en ligne concerné d’Aozora exigera également une carte My Number après le changement.

SBI Shinsei conservera une solution de remplacement pour les demandeurs qui ne peuvent pas utiliser son application : une demande en ligne accompagnée de pièces d’identité envoyées par courrier. Ces alternatives sont importantes pour les personnes dont le téléphone ne peut pas lire une carte ou qui ne parviennent pas à effectuer l’authentification électronique requise.

Depuis le 13 octobre, Zaif exige des nouveaux demandeurs de comptes individuels qu’ils possèdent une carte My Number et un smartphone capable de la lire. Les clients dont l’identité a déjà été vérifiée ne sont pas concernés par ce changement.

Les banques régionales suivent plusieurs voies vers le même objectif

Iwate Bank a modifié le 16 octobre l’ouverture de nouveaux comptes dans son agence numérique Sora. Les clients utilisent désormais la puce de leur carte My Number et le mot de passe du certificat de signature. Hokuto Bank et Shonai Bank ont adopté le JPKI pour leurs procédures d’ouverture de compte en ligne le 20 avril, remplaçant une procédure qui combinait vérification des documents et envoi postal avec remise contre signature.

Japan Post Bank a prévu un changement le 20 octobre à 9 heures pour les demandes de comptes d’investissement collectif et de comptes NISA via Yucho Direct. Ces demandes passent du téléversement d’images de documents à l’authentification par carte My Number au moyen d’une application de vérification dédiée. Le changement concerne ces services d’investissement.

D’autres établissements ont ajouté des moyens de vérification électronique à leurs méthodes existantes. UI Bank a proposé en mars des options supplémentaires de lecture de puce et de JPKI tout en conservant la photographie des documents et du visage. Hokuriku Bank a ajouté le JPKI pour certaines démarches aux distributeurs automatiques Seven Bank et maintenu son ancienne procédure par photographie.

Shoko Chukin Bank a ajouté en juillet la lecture de puce avec photographie du visage, puis l’authentification personnelle publique en octobre. Aeon Bank, Chiba Bank, Minna Bank, PayPay Bank et Shiga Bank ont également introduit des options de lecture de puce ou d’utilisation de certificat pour certains services. Selon l’établissement et la démarche, leurs clients disposent actuellement de plusieurs choix.

Le Japon s’est également fixé le 20 octobre comme objectif pour intégrer la carte My Number à Google Wallet sur les téléphones Android. La présentation de l’Agence des services financiers décrit déjà une méthode légale utilisant des enregistrements électroniques en remplacement d’une carte physique, avec des programmes désignés qui transmettent et vérifient les informations d’identité demandées.

Les risques ne se limitent pas aux comptes bancaires

Hiroyuki Minami, professeur au Centre d’initiative pour l’information de l’université d’Hokkaido et spécialiste de la cybersécurité, estime que les images de permis de conduire comptent parmi les informations les plus dangereuses à perdre. Il avertit que des criminels pourraient utiliser les images volées pour demander des cartes de crédit, contracter des prêts à la consommation ou souscrire des abonnements de téléphonie mobile au nom d’autrui.

Minami recommande de prévenir rapidement un organisme d’information sur le crédit tel que CIC dès qu’une personne apprend que l’image de son permis a été exposée. Son conseil vise à limiter le risque qu’une personne tente d’obtenir un crédit à l’aide de l’identité volée.

Dans son avertissement du 9 octobre, l’Agence des services financiers a demandé aux établissements de réexaminer leur cybersécurité, notamment chez leurs prestataires, pour les systèmes exposés à Internet et pour les dispositifs de réponse aux incidents. Elle a également appelé à examiner attentivement les caractéristiques inhabituelles des images de documents et de visages, tandis que les banques accélèrent le recours à la vérification par puce.

Katsuhiko Kato, président de l’Association des banquiers japonais et président de Mizuho Bank, a déclaré lors d’une conférence de presse le 15 octobre que les banques devaient adopter aussi rapidement que possible des contrôles lisant les puces des pièces d’identité. L’association préparait une adoption d’ici à avril 2027 et appelle ses membres à agir plus tôt à la suite de la demande du régulateur.

La FAQ de l’Agence nationale de la police aborde également le traitement des données. Elle indique que les informations lues sur une puce lors d’un contrôle en personne n’ont pas à être transmises ailleurs. Les obligations existantes relatives aux justificatifs de vérification restent en vigueur, tandis que les entreprises peuvent conserver volontairement des journaux attestant qu’une puce a été lue. Les banques doivent donc décider à la fois de la manière dont elles authentifient leurs clients et de la façon dont elles gèrent les informations concernées.

À retenir

• Les règles révisées du Japon sur la vérification de l’identité entreront en vigueur le 1er avril 2027.
• Mizuho a mis fin à la vérification par photo des documents le 19 octobre, après des changements déjà adoptés par Sumitomo Mitsui Trust Bank et Mitsubishi UFJ Bank.
• La fuite chez Times Car a exposé des images de pièces d’identité associées à environ 1,6 million de comptes.
• SBI Shinsei, Aozora et Kyoto Bank ont prévu des changements entre le 28 octobre et le 2 novembre.
• Certains services exigent une carte My Number ; d’autres continuent d’accepter les permis de conduire en lisant leur puce.
• Dans certaines banques, des solutions en agence ou par courrier restent disponibles.
• L’Agence des services financiers a appelé à accélérer la transition et à renforcer les contrôles de cybersécurité et la réponse aux incidents.