Nhật Bản gia tăng yêu cầu cấp lại giấy phép lái xe sau vụ rò rỉ 1,6 triệu hồ sơ định danh tại Times Car

Giấy phép mới không thể xóa những thông tin đã bị rò rỉ

Vụ tấn công mạng nhằm vào dịch vụ Times Car của Nhật Bản làm lộ giấy tờ định danh trong khoảng 1,6 triệu hồ sơ thành viên. Sự việc khiến nhiều người yêu cầu cấp lại giấy phép lái xe, dù cảnh sát cảnh báo việc cấp lại thẻ chỉ giúp hạn chế phần nào nguy cơ lừa đảo. Theo thông tin công ty công bố được các bản tin dẫn lại, vụ rò rỉ ảnh hưởng đến khoảng 6,6 triệu tài khoản của thành viên hiện tại và trước đây.

Vấn đề trước mắt là những gì giấy phép mới không thể thay đổi. Khi cấp lại giấy phép lái xe Nhật Bản, ảnh chân dung được thay đổi và chỉ chữ số cuối cùng trong dãy 12 chữ số thay đổi để ghi nhận số lần cấp lại. Tên, địa chỉ và ngày sinh mà tội phạm đã sao chép vẫn bị lộ, còn các doanh nghiệp kiểm tra ảnh giấy phép bị đánh cắp không có cách đáng tin cậy để xác định giấy phép đó đã được cấp lại hay chưa.

Cơ quan Cảnh sát Quốc gia kêu gọi các tổ chức tài chính và doanh nghiệp khác tăng cường xác minh danh tính, đồng thời đề nghị người dân nhanh chóng tham khảo ý kiến cảnh sát nếu nghi ngờ thông tin của mình bị sử dụng sai mục đích. Riêng Cơ quan Dịch vụ Tài chính ngày 9 tháng 10 yêu cầu các tổ chức đẩy nhanh việc chuyển từ kiểm tra ảnh giấy tờ định danh tải lên sang đọc chip điện tử bên trong thẻ thật.

Thay đổi này đã được lên lịch theo các quy định sửa đổi nhằm thực thi Luật Phòng chống Chuyển giao Tiền thu được từ Tội phạm. Từ ngày 1 tháng 4 năm 2027, theo các quy định liên quan về xác minh danh tính mà không gặp trực tiếp khách hàng, ảnh chụp giấy tờ định danh sẽ không còn được chấp nhận. Đọc chip sẽ trở thành phương thức tiêu chuẩn, đồng thời vẫn có các lựa chọn thay thế cho người không có giấy tờ hoặc điện thoại thông minh phù hợp.

Thông tin bị lộ ở quy mô nào?

Times Car do một công ty liên kết của Park24 Co. vận hành. Dịch vụ phát hiện vụ xâm nhập ngày 25 tháng 9. Các bản tin cho biết khoảng 6,6 triệu tài khoản hoặc hồ sơ bị ảnh hưởng, trong đó khoảng 1,6 triệu hồ sơ có giấy tờ định danh như ảnh giấy phép lái xe.

Các con số này phản ánh những phần khác nhau của vụ rò rỉ, chứ không phải những ước tính đối lập về cùng một tổng số. Dựa trên số tài khoản được đưa tin, khoảng 24% hồ sơ bị ảnh hưởng có giấy tờ định danh, tương đương gần một trong bốn hồ sơ. Không con số nào xác định chính xác số cá nhân riêng biệt bị ảnh hưởng, và kết quả điều tra có thể khiến tổng số thay đổi.

Thông tin bị lộ có thể bao gồm tên, địa chỉ nhà, ngày sinh, số điện thoại, địa chỉ email và chi tiết giấy phép. Một người dùng Times Car ở thành phố Fukuoka nhận được thông báo liệt kê địa chỉ, ngày sinh, số điện thoại, địa chỉ email và ảnh giấy phép của ông trong số thông tin bị tiết lộ.

Khách hàng cũ cũng bị ảnh hưởng. Theo thông tin được đưa tin, dữ liệu của họ đã được lưu giữ khoảng bảy năm, làm dấy lên câu hỏi liệu doanh nghiệp có tiếp tục lưu trữ giấy tờ nhạy cảm sau khi mục đích ban đầu đã chấm dứt hay không. Ủy ban Bảo vệ Thông tin Cá nhân Nhật Bản kêu gọi doanh nghiệp xóa những thông tin cá nhân không còn cần thiết.

Các mốc thời gian trong quá trình ứng phó

Nỗ lực tăng cường xác minh danh tính bắt nguồn từ một thay đổi quy định có trước vụ xâm nhập Times Car. Vụ rò rỉ làm gia tăng sức ép đẩy nhanh việc thực hiện thay đổi này trước ngày luật bắt đầu có hiệu lực.

• Tháng 6 năm 2025: Các sửa đổi quy định về xác minh danh tính được ban hành, ấn định thời điểm chấm dứt trong tương lai đối với các phương thức liên quan dựa trên ảnh giấy tờ tải lên.
• Ngày 25 tháng 9 năm 2026: Times Car phát hiện vụ xâm nhập.
• Ngày 29 tháng 9: Một khách hàng bị ảnh hưởng ở Kanazawa nhận được email xác nhận thông tin cá nhân của mình đã bị rò rỉ.
• Ngày 8 tháng 10: Cục trưởng Cơ quan Cảnh sát Quốc gia Yoshinobu Kusunoki đề cập đến an ninh mạng và phòng chống lừa đảo tại họp báo.
• Ngày 9 tháng 10: Cơ quan Dịch vụ Tài chính đề nghị sớm áp dụng phương thức xác minh danh tính bằng chip trên thẻ.
• Ngày 11 tháng 10: Các bản tin cho biết số lượng thắc mắc và đơn xin cấp lại giấy phép trên khắp Nhật Bản đang tăng.
• Ngày 1 tháng 4 năm 2027: Các quy định sửa đổi về xác minh danh tính dự kiến có hiệu lực.

Đề nghị ngày 9 tháng 10 là lời kêu gọi đẩy nhanh việc thực hiện, không phải lệnh cấm mới có hiệu lực ngay đối với các phương thức xác minh hiện hành. Các tổ chức vẫn dùng ảnh được yêu cầu kiểm tra kỹ hình ảnh giấy tờ và khuôn mặt trong khi chuẩn bị chuyển đổi.

Vì sao yêu cầu cấp lại giấy phép gia tăng

Đồn cảnh sát và trung tâm cấp giấy phép lái xe đã nhận được nhiều thắc mắc kể từ khi vụ rò rỉ được công bố. Người dân hỏi về việc cấp lại giấy phép và thay đổi thông tin đã đăng ký, phản ánh lo ngại giấy tờ định danh bị lộ có thể bị dùng để giả mạo họ.

Thông thường, giấy phép được cấp lại trong thời hạn hiệu lực vì các lý do như mất, bị trộm, hư hỏng hoặc thay đổi thông tin đã đăng ký. Các ủy ban an toàn công cộng cấp tỉnh cũng có thể chấp thuận cấp lại vì những lý do chính đáng khác. Sau vụ rò rỉ của Times Car, theo thông tin được đưa tin, gần như tất cả các văn phòng đều tiếp nhận đơn, coi nguy cơ thông tin bị sử dụng sai mục đích là căn cứ để cấp lại.

Tại tỉnh Ishikawa, trung tâm cấp giấy phép lái xe nhận được vài thắc mắc mỗi ngày. Đơn được tiếp nhận tại trung tâm cấp giấy phép của tỉnh ở Kanazawa và các đồn cảnh sát Wajima, Suzu. Mức phí được đưa tin là 2.600 yen đối với giấy phép thông thường và 1.500 yen đối với giấy phép My Number, loại giấy phép tích hợp thông tin lái xe với thẻ My Number.

Một người đàn ông ngoài 30 tuổi ở Kanazawa, đã sử dụng Times Car trong hai năm, cân nhắc xin cấp lại sau khi nhận thông báo ngày 29 tháng 9. Vào thời điểm được tường thuật trong bản tin địa phương, ông cho biết chưa nhận được giải thích chi tiết tiếp theo. Một công ty khác ở Kanazawa có hợp đồng Times Car dành cho doanh nghiệp đã gửi email cảnh báo toàn bộ nhân viên nhưng vẫn tiếp tục sử dụng dịch vụ.

Việc cấp lại giấy phép thực sự thay đổi điều gì?

Giấy phép cấp lại không thể đặt lại danh tính đã bị lộ của một người. Dù ảnh chân dung và chữ số cuối cùng thay đổi, những thông tin còn lại trên tài liệu đã bị sao chép vẫn có thể hỗ trợ hành vi giả mạo. Việc cấp lại cũng không thể thu hồi hay xóa những hình ảnh đã bị lấy khỏi hệ thống của doanh nghiệp.

Điều này quan trọng vì việc có được một bức ảnh không chứng minh người nộp ảnh đang sở hữu thẻ gốc. Nếu doanh nghiệp chấp nhận ảnh mà không kiểm tra thêm đầy đủ, việc cấp thẻ mới cho chủ thẻ hợp pháp có thể không ngăn được người khác đưa ra ảnh thẻ cũ.

Ủy ban Bảo vệ Thông tin Cá nhân cảnh báo ảnh giấy phép bị rò rỉ có thể bị lợi dụng để xin thẻ tín dụng, mở tài khoản ngân hàng hoặc đăng ký hợp đồng điện thoại di động. Đây là những hình thức sử dụng sai mục đích có thể xảy ra, không phải bằng chứng cho thấy mọi giấy tờ bị lộ đều đã bị dùng để gian lận.

Các bản tin không nêu tổng số giấy phép đã được cấp lại trên toàn quốc hoặc số vụ gian lận được xác nhận có liên quan cụ thể đến vụ rò rỉ Times Car. Những thông tin hiện có cho thấy mối lo ngại lan rộng và hoạt động nộp đơn tại địa phương, nhưng chưa cho biết có bao nhiêu người chịu thiệt hại tài chính.

Vì sao các ngân hàng được kêu gọi đọc chip trên thẻ

Xác minh bằng chip đọc thông tin điện tử từ giấy tờ định danh bản gốc, chẳng hạn giấy phép lái xe hoặc thẻ My Number, thay vì chỉ dựa vào ảnh do người nộp đơn tải lên. Nhờ đó, chỉ có ảnh bị đánh cắp sẽ không đủ để hoàn tất bước đọc chip.

Bộ trưởng Dịch vụ Tài chính Satsuki Katayama kêu gọi các tổ chức sử dụng phương thức kiểm tra chặt chẽ hơn khi xác minh danh tính khách hàng:

triển khai đầy đủ các quy trình xác minh danh tính, bao gồm việc đọc dữ liệu trên chip mạch tích hợp.

Thông báo ngày 9 tháng 10 của Cơ quan Dịch vụ Tài chính cũng yêu cầu các tổ chức rà soát biện pháp an ninh mạng, trong đó có giám sát các nhà thầu. Đề nghị này không nêu tên một vụ rò rỉ cụ thể, dù được đưa ra sau khi vụ xâm nhập Times Car và các sự cố khác liên quan đến giấy tờ định danh được công bố.

Các quy định sửa đổi vẫn duy trì phương án thay thế cho người không có giấy tờ định danh tích hợp chip hoặc điện thoại thông minh hỗ trợ giao tiếp tầm gần, gọi tắt là NFC. NFC cho phép điện thoại tương thích giao tiếp với thẻ được đặt gần thiết bị. Các phương thức còn lại gồm gửi giấy tờ định danh bản gốc qua đường bưu điện với biện pháp chống làm giả.

Đọc chip giúp xử lý một con đường dẫn đến hành vi giả mạo. Phương thức này không khiến địa chỉ, ngày sinh hay số điện thoại bị rò rỉ trở nên vô dụng, cũng không loại bỏ nhu cầu các tổ chức kiểm tra những đơn đăng ký đáng ngờ.

Làn sóng tấn công rộng hơn, chưa xác định được thủ phạm chung

Vụ rò rỉ Times Car xảy ra cùng thời điểm với các thông báo về sự cố ảnh hưởng đến dịch vụ giao thông, bán lẻ và nhà hàng. Các vụ được đưa tin gồm hơn 10 triệu hồ sơ khách hàng bị sao chép từ ứng dụng đặt chỗ và tích điểm của chuỗi nhà hàng Yakiniku King, cùng khoảng 1,67 triệu địa chỉ email bị lộ từ hệ thống đặt vé Eki-net của JR East.

Các bản tin cũng đề cập đến sự cố liên quan đến Tokyo Metro, Lawson và Nikkei. Tại Fukuoka, thông tin được tiết lộ liên quan đến nhà bán lẻ MrMax và dịch vụ thẻ giao thông nimoca, trong khi JR Kyushu cho biết địa chỉ email của thành viên trên web có thể đã bị rò rỉ. Các sự cố này khác nhau về loại thông tin bị lộ và không nên được xem là tương đương với vụ rò rỉ có chứa ảnh chụp giấy tờ định danh.

Bộ trưởng Kỹ thuật số Masaaki Taira triệu tập cuộc họp khẩn cấp và mô tả tình hình như sau:

tình trạng khẩn cấp trên không gian mạng

Bộ trưởng phụ trách an ninh mạng Toshiharu Furukawa cũng nói về mức độ nghiêm trọng của tình hình:

cực kỳ nghiêm trọng

Bộ Công nghiệp đã yêu cầu khoảng 1.000 hiệp hội ngành nghề kiểm tra thiết bị liên lạc và hệ thống để tìm điểm yếu. Chưa có nhóm nào nhận trách nhiệm về các vụ tấn công trong làn sóng được đề cập, và các nhà điều tra chưa xác định được một thủ phạm chung.

Đã biết gì về phương thức tấn công?

Đội Ứng phó Khẩn cấp Máy tính Nhật Bản, JPCERT/CC, đã mô tả các kỹ thuật được ghi nhận trong những vụ tấn công gần đây, gồm tìm kiếm lỗ hổng phần mềm chưa được vá, lợi dụng các giao diện nội bộ phát hiện qua ứng dụng di động và khai thác lỗ hổng SQL injection đã được biết đến trong công cụ phân tích Metabase.

SQL injection là việc thao túng một truy vấn cơ sở dữ liệu để ứng dụng có lỗ hổng thực hiện những hành động ngoài dự kiến, có khả năng làm lộ thông tin được lưu trữ. Các kỹ thuật được đưa tin cung cấp bối cảnh về hoạt động tấn công rộng hơn, nhưng không xác định phương thức nào đã được sử dụng nhằm vào Times Car.

Tại Viện Công nghệ Fukuoka, Trung tâm Hạ tầng Thông tin được cho là đã ghi nhận gần 9.000 lượt tấn công bị chặn trong khoảng thời gian 30 phút. Con số này cho thấy quy mô hoạt động thù địch mà một tổ chức đơn lẻ phải đối mặt. Đây không phải số vụ xâm nhập thành công hay thước đo trên toàn quốc về số hồ sơ bị đánh cắp.

Các chuyên gia an ninh cho rằng trí tuệ nhân tạo có thể giảm công sức cần thiết để tìm kiếm mục tiêu. Masaki Hiraoka thuộc công ty an ninh Blackpanda lưu ý rằng các vụ tấn công chưa được xác định rõ là có liên quan đến AI. Khả năng này, cũng như xuất xứ địa lý có vẻ có của lưu lượng mạng, đều không xác định được ai chịu trách nhiệm.

Người bị ảnh hưởng cần cảnh giác với điều gì?

Cơ quan Cảnh sát Quốc gia dự đoán sẽ có thêm các cuộc gọi lừa đảo và email giả mạo doanh nghiệp từng bị tấn công. Thông tin liên lạc bị lộ có thể khiến những tin nhắn này thuyết phục hơn, nhất là khi người gọi biết tên, địa chỉ hoặc dịch vụ mà một người đăng ký.

Tại họp báo ngày 8 tháng 10, Cục trưởng Yoshinobu Kusunoki cho biết cơ quan này sẽ vừa điều tra vừa phòng ngừa. Ông khuyến nghị các biện pháp cơ bản như dùng ứng dụng chặn cuộc gọi lừa đảo, cập nhật mật khẩu và tránh các email đáng ngờ.

Nhà chức trách kêu gọi người dân nhanh chóng liên hệ cảnh sát khi nghi ngờ có hành vi lừa đảo hoặc sử dụng thông tin sai mục đích. Nếu phát hiện hợp đồng hoặc tài khoản lạ, Ủy ban Bảo vệ Thông tin Cá nhân cũng khuyến nghị liên hệ công ty thẻ tín dụng hoặc ngân hàng liên quan. Thông báo về vụ rò rỉ xác nhận thông tin đã bị lộ; tài khoản, hợp đồng hoặc giao dịch bất thường cần được xử lý riêng.

Mốc thời hạn cố định tiếp theo là ngày 1 tháng 4 năm 2027. Hướng dẫn quyền riêng tư sửa đổi, bao gồm các biện pháp như passkey, phát hiện xâm nhập và xóa dữ liệu không cần thiết, cũng dự kiến được công bố vào tháng 4 tới. Từ nay đến lúc đó, trách nhiệm chính được chia sẻ: doanh nghiệp phải tăng cường xác minh và bảo vệ dữ liệu, còn người bị ảnh hưởng cần cảnh giác với việc thông tin bị sử dụng sai mục đích, điều mà cấp lại giấy phép không thể ngăn chặn.

Điểm chính

• Khoảng 6,6 triệu tài khoản Times Car bị ảnh hưởng, trong đó khoảng 1,6 triệu hồ sơ có giấy tờ định danh.
• Giấy phép cấp lại thay đổi ảnh chân dung và chữ số cuối cùng, còn phần lớn thông tin cá nhân bị lộ vẫn không đổi.
• Ishikawa đang tiếp nhận đơn xin cấp lại, với mức phí được đưa tin là 2.600 yen đối với giấy phép thông thường và 1.500 yen đối với giấy phép My Number.
• Các tổ chức tài chính được đề nghị áp dụng xác minh bằng chip trên thẻ trước khi quy định mới có hiệu lực ngày 1 tháng 4 năm 2027.
• Nhà chức trách cảnh báo nguy cơ giả mạo, hợp đồng gian lận, cuộc gọi lừa đảo và email giả mạo, đồng thời kêu gọi người dân nhanh chóng tham khảo ý kiến khi nghi ngờ thông tin bị sử dụng sai mục đích.
• Làn sóng tấn công được đưa tin chưa được quy về một thủ phạm duy nhất, và chưa xác định được tổng số vụ gian lận trên toàn quốc do vụ rò rỉ Times Car gây ra.