Kebocoran Times Car: 6.6 Juta Akaun dan Masalah KYC

Kebocoran Times Car: 6.6 Juta Akaun dan Masalah KYC

Pada 28 September 2026, Park24 mengesahkan apa yang tiga hari sebelumnya hanya dihintai: pencuri sempat mengambil data sebanyak 6.6 juta pengguna semasa dan bekas pengguna Times Car, rangkaian car-sharing terbesar di Jepun. Dalam senarai data yang dicuri, ada satu item yang membuatkan kebocoran pengguna ini terasa lebih kekal dan lebih menyakitkan — gambar lesen memandu dan dokumen identity-verification di sebaliknya.

Times Car dikendalikan oleh Times Mobility, sebahagian daripada Park24 Group, dan ia memang operasi sewa kenderaan yang besar. Sekitar 4 juta ahli aktif setakat Ogos 2026, tempahan dalam talian untuk 84,000 kenderaan, dan koleksi di 29,000 stesen merentas semua 47 prefektur Jepun. Dataset sebesar itu ialah mesin kecurian identiti jika pernah bocor dalam urutan yang salah.

Kronologi yang kemas — tanda ia diurus dengan baik

Pada 25 September, pukul 09:07 waktu Tokyo, Times Car mengesan akses tanpa kebenaran ke web systemnya dan terus memulakan siasatan dengan pakar luar. Menjelang 07:25, 26 September, laluan akses sudah disekat, komunikasi dengan penyerang diputus, dan ketidakbolehen diakses disahkan. Pada 28 September, ia menerbitkan hasil siasatan yang mengesahkan data sebenarnya telah diambil.

Tiga perkara terserlah dalam urutan itu. Detection datang dari monitoring, bukan dari notis ransom atau pengumuman penjual data. Tetingkap containment cuma sekitar 22 jam. Dan pendedahan tentang kemungkinan insiden berlaku pada bulan yang sama dengan detection — bukan "kami masih menyiasat" yang berlarutan berbulan. Itulah corak yang selalu dituntut industri dan jarang sekali diberi.

Jadi ini bukan cerita tentang respons keselamatan yang cuai. Ini cerita tentang apa yang masih tertinggal walaupun semuanya "dibuat dengan munasabah".

Yang dicuri: timbunan identiti, bukan kunci-kunci akaun

Park24 menyenaraikan medan yang terdedah: nama; untuk ahli korporat, nama jabatan; alamat; tarikh lahir; telefon; emel; maklumat lesen memandu; maklumat dokumen identity-verification termasuk imej lesen; kata laluan; dan linked service IDs — sembilan perkhidmatan, antaranya WESTER ID daripada kumpulan JR West.

Sekarang bahagian kata laluan. Park24 menyatakan kata laluan disimpan "dalam bentuk yang tidak boleh dipulihkan", maksudnya di-hash atau di-enkripsi, dan ia tidak mengesahkan wujud kata laluan yang boleh dibaca langsung mahupun penggunaan akaun secara haram berpunca daripada insiden ini. Data kad kredit pula tidak terjejas.

Syarikat ini buat perkara yang betul. Storan kata laluan yang tidak boleh diterbalik memang perkara asas. Cuma jangan silap anggap itu sebagai cerita utama. Sistem yang ditembus itu memegang satu muka surat data biografi lengkap dan satu salinan dokumen yang menjadi tapak seluruh rejim akaun moden. Imej lesen memang tidak boleh "dipulihkan" daripada salinan penyerang — itu berita baik — tapi ia juga tidak boleh ditarik balik, dan itulah berita buruknya.

Masalah KYC kena lain pula bila ia syarikat mobiliti

Inilah titik yang patut diulang. Operator car-sharing ialah syarikat KYC yang kebetulan menyewa kereta. Untuk menyerahkan kunci, identiti mesti dibuktikan dahulu. Sebab itu Times Car menyimpan dokumen yang digunakan semula oleh semua stack identiti: lesen, dan gambar lesen itu, disimpan sebaris dengan alamat, tarikh lahir dan nombor telefon. Stack identity-verification, lengkap, dalam satu akaun.

Bandingkan dengan kebocoran credential. Dalam kebocoran credential, penyerang bawa benda yang boleh diubah — kata laluan, recovery email, token. Kerosakan boleh dihadkan dengan reset, rotation dan lock. Senarai Times Car bukan begitu. Alamat, tarikh lahir dan gambar lesen bukan credential yang boleh diputar. Ia biografi. Ia tidak luput bila anda tukar kata laluan, dan salinan penyerang pun tidak luput.

Itulah pengajaran model data. Kebocoran ini berlaku kerana bentuk data yang dirancang oleh model itu, bukan kerana cara lajur kata laluan dilindungi. "Kami guna storan kata laluan yang tidak boleh dipulihkan" menjawab soalan yang tiada siapa tanya dalam insiden ini. Soalan yang sebenarnya penting: mengapa web system yang membawa sebanyak itu data identiti perlu menyimpan imej verification mentah dan stack peribadi penuh — termasuk nama jabatan untuk ahli korporat — dalam akaun orang yang sudah pun meninggalkan perkhidmatan.

Musim senyap dalam kitaran kebocoran Jepun

Cara Jepun mendedahkan insiden membuat cerita ini terasa berbeza. Dalam kitaran berita yang sama, pengendali kereta api Keio mengesahkan serangan ransomware yang mengganggu sistem perniagaannya, dan ini susulan ombak syarikat mobiliti serta pengguna Jepun yang turut kena. Benang merahnya: data yang semakin lama disimpan, semakin berharga. Dan tetingkap berbahaya ialah tetingkap yang kita duduki sekarang — data disahkan diambil, pengedaran belum disahkan.

Baris "tiada bukti pengedaran" itu patut dibaca dengan teliti. Ia bukan "tiada pengedaran langsung". Ia "kami belum nampak". Aliran klasiknya: curi, susun, jual atau jalankan kempen phishing. Tapak dump awam atau posting forum biasanya antara peringkat terakhir, bukan yang pertama.

Park24 kata ia akan memaklumkan individu yang terjejas secara berperingkat dan terus memantau. Dengan nombor telefon dan alamat emel dalam loot, risiko serta-merta ialah phishing selepas pasaran: panggilan kononnya dari Times Car, pautan yang nampak seperti prompt keahlian, reset kata laluan yang tidak tanya kata laluan lama. Arahan syarikat itu memang piawai: Times Car tidak akan tanya kata laluan atau butiran kad melalui mesej, dan mesej yang baru anda terima pun tidak sepatutnya.

Apa yang pembaca Malaysia boleh ambil

Kebocoran di Malaysia tahun ini — analisis kebocoran data Misi Rakyat yang kami siasat pada Julai — menunjukkan bentuk yang sama: sistem yang sah mengumpul dokumen identiti, kemudian salinannya keluar melalui pintu. PDPA Malaysia masih belum melayan imej lesen dan rekod identity-verification dengan keseriusan yang dituntut oleh playbook "reset dan teruskan". Nota kelangsungan PDPA untuk developer yang kami simpan sebagai asas membuat hujah yang sama.

Tiga amalan membezakan operator yang selamat selepas insiden kelas begini dengan yang tidak: layan imej identity-verification sebagai class data berasingan dengan retention window sendiri; jauhkan ia dari web system supaya satu penembusan tidak boleh membawanya keluar ke sisi; dan hapuskan rekod bekas ahli atau ahli yang tidak aktif, bukannya menyimpan rizab identiti yang mungkin tidak pernah anda guna.

Times Car kesan dan kawal insiden ini dengan kelajuan yang munasabah, dan bahagian itu patut dipuji. Yang masih tidak selesa ialah minggu yang sama menunjukkan betapa mudahnya syarikat Jepun masih menjalankan stor identiti berjuta baris sebagai produk sampingan perniagaan yang hanya mahu memudahkan hidup orang.

Sumber

• パーク２４株式会社 (Park24): タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）
• パーク２４株式会社 (Park24): 「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）
• BleepingComputer: Times Car confirms data breach affecting 6.6 million user accounts