Times Car ihlaki 1,6 milyon ehliyet fotoğrafını açığa çıkardı ve Japon bankalarını çipli kimlik doğrulamaya itti

Ne oldu

25 Eylül 2026'da, Japonya'nın en büyük araba paylaşım servislerinden biri olan Times Car, web sistemlerinde bir izinsiz giriş tespit etti. Şirketin beş resmi bildirimi ve sonrasındaki banka duyurularına dayanan dev.to'da yayımlanan ayrıntılı bir değerlendirmeye göre saldırgan, web uygulamasındaki bir güvenlik açığını istismar etti, iç ağda ilerledi ve hem üye veritabanına hem de dosya deposuna ulaştı.

23 Ekim'de yayımlanan nihai adli bilişim raporu, zararı kişisel bilgileri — isim, adres, doğum tarihi, telefon numarası, e-posta adresi ve ehliyet bilgileri — erişilen ve dışarı sızdırılan 6.628.007 hesap olarak belirledi. 1.464.800 hesap için şifreli kimlik görüntü verisi dışarı gönderildi; 891.602 hesabın verisine ise erişildi ama ağdan çıktığına dair kanıt bulunmadı. Kredi kartı numaraları hiç saklanmadığı için sızmadı. Dört hash'lenmiş parola ele geçirildi.

Görüntüler yalnızca ehliyetlerden ibaret değildi. dev.to yazısına göre bunlar arasında fatura gibi adres kanıtı belgeleri, öğrenci planı için öğrenci kimlikleri ve aile planı için aile belgeleri de vardı.

Saklama süresi işleri kötüleştirdi

Times Car'ın veri saklama politikası, büyük bir ihlali servisle ilişkisini bitirdiğini düşünen kişilere kadar ulaşan bir olaya dönüştüren şeydi. Şirket, dolandırıcılık kontrolleri ve kimlik sorgularını gerekçe göstererek kimlik fotoğraflarını hesap açık olduğu sürece ve üye ayrıldıktan sonra yedi yıl boyunca saklıyordu. Eski üyelere 1 Ekim'de bildirimler gönderildi.

16 Ekim'de duyurulan bir politika kapsamında görüntüler artık kayıt doğrulandıktan hemen sonra siliniyor ve önceden saklanan tüm görüntülerin Ekim sonuna kadar tamamen yok edilmesi planlanıyor. Şirket, kimlik görüntü verisinde dışarı çıkma izi bulunan her kişiye nakit veya çek olarak 3.000 yen (yaklaşık 19 dolar) ödüyor.

İki ayrıntı göze çarpıyor. Görüntüler şifreliydi ama şirket, çalınan verinin ileride çözülebileceğini tamamen dışlayamadığını kabul ediyor. Ve giriş noktası olarak web sistemindeki bir güvenlik açığını belirtmenin ötesinde, saldırının teknik bir çözümlemesini yayımlamış değil.

Bankalar fotoğraf kontrolünü bırakıyor

Sonuçlar bankacılıkta en hızlı şekilde hissedildi. Japonya Finans Hizmetleri Ajansı, 9 Ekim'de bankalardan fotoğrafa dayalı kimlik doğrulamaya bel bağlamayı bırakmalarını ve bunun yerine Japon ehliyetlerine gömülü IC çipi okumalarını istedi. Bir geçiş zaten 1 Nisan 2027 için planlanmıştı; sızıntı bu takvimi öne çekti. Kıdemli bir yetkili, dev.to makalesine göre Nikkan Kogyo gazetesine, dolandırıcılık tekniklerinin giderek karmaşıklaştığını söyledi; gazete buna örnek olarak yapay zekâyı gösterdi.

Makalede alıntılanan, 23 Ekim itibarıyla 24 bankayla yapılan karşılaştırma geçişin başladığını gösteriyor: Sumitomo Mitsui Trust Bank'ın Mart 2026'da uzaktan fotoğraf kontrollerini sonlandırdığı, MUFG Bank'ın 29 Mayıs'tan itibaren hesap açma uygulamasında IC çip okuma zorunlu kıldığı ve docomo SMTB Net Bank'ın 28 Eylül'de kişisel hesaplar için fotoğraf kontrolünü kabul etmeyi bıraktığı bildiriliyor.

Daha geniş bir dalganın parçası

Times Car Japonya'daki en büyük güncel olay ama tek değil. Convenience store zinciri Lawson, 8 Ekim'de Lawson ID servisine 12–14 Eylül arasında erişildiğini ve çoğu isim ve e-posta adresi olan 2.155.345 kaydın sızdığını açıkladı; daha küçük bir grup, çekiliş başvuruları üzerinden cinsiyet, telefon numarası ve adres bilgilerini de kaybetti. Ayrı bir ön sipariş servisi kısmi kart numaraları dahil 26 kayıt sızdırdı. Lawson, müşterilerin gerçek e-postaları phishing'den ayırabilmesi için gerçek bildirim adreslerini yayımladı.

Makalede alıntılandığı üzere Trend Micro, Japonya'da 2025 boyunca açıklanan 593 olay sayıyor; yalnızca 2026 Ocak–Eylül arasında 600 ve Eylül ayının kendisinde 86 olay var. Olay müdahale ekipleri yinelenen bir örüntü tanımlıyor: herkese açık bir web uygulamasındaki bilinen bir güvenlik açığı, sunucuya yerleştirilen bir web shell, ardından ayrıcalık yükseltme ve veritabanına doğru yatay hareket. Bulut sağlayıcısı IDC Frontier'e yapılan bir saldırı aynı anda 495 şirket ve yerel yönetimi etkiledi. JR East başlangıçta 2,06 milyon müşteri kaydının sızmış olabileceği konusunda uyardı, sonra soruşturma sonrasında hiçbir şeyin sızmadığını söyledi — özgün iddiadan çok daha az yayılan bir düzeltme.

Neden önemli

Kimlik belgesi görüntüleri, yapay zekâ bunları kötüye kullanma maliyetini çökerttiği için orantısız derecede değerli ganimet haline geldi. Japonya'da çevrimiçi hesap açma tipik olarak bir ehliyet fotoğrafı ve yüz eşleştirmesi için bir selfie yüklenmesine dayanıyordu ve gerçek bir ehliyet fotoğrafı, gerçek bir isim ve adresle birlikte, sahte kimlikler ya da ikna edici hesap açma girişimleri için dolandırıcıya güçlü bir başlangıç avantajı veriyor.

Dikkat çekici şekilde Trend Micro, Japonya'daki son olaylarla yapay zekâ kullanan saldırganlar arasında herhangi bir bağlantı doğrulamadığını söylüyor. Yapay zekâya atfettiği şey ise daha hızlı keşif ve güvenlik açığı analizi, daha ikna edici phishing ve Japonya'nın dilinin bir zamanlar sağladığı doğal korumanın aşınması. Şirketlere önerileri arasında, yalnızca kimlik fotoğrafı yüklemeye dayanan her süreci gözden geçirmek de var.

Mühendislik ekipleri için çıkarım, Times Car'ın baskı altında benimsediği kural — belgeyi doğrula, doğrulama sonucunu sakla ve görüntünün kendisini sil. Yıllar önce ayrılmış kişiler dahil milyonlarca yüksek güvenilirlikli kimlik belgesini tutmak, artık sağladığı kolaylıktan daha ağır basan bir yük.