換發駕照無法抹去外洩資料
日本 Times Car 汽車共享服務遭網路攻擊，約160萬筆會員紀錄中的身分證件資料外洩。此事引發民眾申請換發駕照，但警方警告，換發證件對防範詐欺的作用有限。根據媒體報導所述的公司公告，此次外洩影響約660萬筆現任與前任會員帳戶。
目錄
眼前的問題在於，換發駕照無法改變哪些資料。日本駕照換發後，照片會更換，12位數字號碼則只有末位數字改變，用來記錄換發次數。已遭犯罪者複製的姓名、地址和出生日期仍然外洩；企業查驗遭竊的駕照影像時，也沒有可靠方式確認該駕照是否已經換發。
日本警察廳呼籲金融機構及其他企業加強身分查核，並提醒民眾若懷疑個人資料遭到不當使用，應儘速向警方諮詢。另一方面，金融廳10月9日要求金融機構加快轉型，從上傳身分證件照片改為讀取實體證件內的電子晶片。
根據修正後的《防止犯罪收益移轉法》相關規定，這項變革已排定實施。自2027年4月1日起，受相關規則規範的非當面身分確認程序，將不再接受上傳身分證件照片的方式。讀取晶片將成為標準做法；沒有合適證件或智慧型手機的人仍可使用替代方式。
外洩規模有多大？
Times Car 由 Park24 Co. 的關係企業營運。該服務於9月25日發現入侵事件。媒體報導指出，約660萬筆帳戶或資料外洩，其中約160萬筆包含駕照影像等身分證件資料。
這些數字分別反映外洩事件的不同部分，並非對同一總數的不同估算。按報導中的帳戶數計算，約24%的受影響紀錄包含身分證件，接近四分之一。不過，這兩個數字都無法確認實際涉及多少名不同個人，調查結果也可能使總數有所修正。
外洩資料可能包括姓名、住家地址、出生日期、電話號碼、電子郵件地址及駕照資料。福岡市一名 Times Car 用戶收到通知，指出其地址、出生日期、電話號碼、電子郵件地址及駕照影像等資料遭到揭露。
前客戶也受到影響。據報導，他們的資料保留了約七年，引發外界關注企業在原本用途結束後，是否仍持續保存敏感文件。日本個人情報保護委員會已呼籲企業刪除不再需要的個人資料。
事件應對的時間軸
加強身分查核的要求，源於早於 Times Car 入侵事件就已制定的法規變更。這起外洩事件讓各界更急於在法規生效前落實相關措施。
- 2025年6月：公布身分確認規定修正案，訂定未來停止採用以文件影像上傳為基礎的相關方式。
- 2026年9月25日：Times Car 發現入侵事件。
- 9月29日：金澤一名受影響客戶收到電子郵件，確認其個人資料外洩。
- 10月8日：日本警察廳長官楠芳伸在記者會上談及網路安全與防詐措施。
- 10月9日：金融廳要求金融機構提早採用透過證件晶片進行身分查核。
- 10月11日：媒體報導指出，日本各地詢問及申請換發駕照的人數增加。
- 2027年4月1日：修正後的身分確認規定預定生效。
10月9日的要求是呼籲加快落實，並非立即禁止現行查核方式。金融廳要求仍使用照片查核的機構，在準備轉型期間仔細檢視證件與臉部影像。
換發申請為何增加
外洩事件公開後，各地警察署及駕照中心接獲大量詢問。民眾詢問是否能換發駕照及變更登記資料，反映出他們擔心外洩的身分證件可能遭人冒用。
駕照通常會因遺失、遭竊、毀損或登記資料變更等原因，在有效期限內換發。都道府縣公安委員會也可基於其他重大理由核准換發。據報導，Times Car 資料外洩後，幾乎所有相關機關都受理申請，並將遭冒用的風險視為換發理由。
石川縣駕照中心每天接獲數件詢問。民眾可在金澤縣立駕照中心，以及輪島、珠洲警察署提出申請。據報導，一般駕照換發費用為2,600日圓，整合駕照資訊與 My Number 卡的 My Number 駕照則為1,500日圓。
一名30多歲的金澤男子使用 Times Car 已兩年，收到9月29日通知後考慮換發駕照。據當地報導，他當時表示尚未收到詳細的後續說明。金澤另有一家與 Times Car 簽訂企業合約的公司，透過電子郵件提醒所有員工，但仍繼續使用該服務。
換發駕照實際改變了什麼
換發駕照並不會重置個人已外洩的身分資料。雖然照片及號碼末位數字會改變，但遭複製證件上的其他資料仍可能被用來冒充身分。換發也無法取回或刪除已從企業系統中取得的影像。
這項差異很重要，因為持有證件照片並不代表提交照片的人持有實體證件。如果企業在沒有充分進一步查核的情況下接受照片，合法持有人即使換發新卡，也可能無法阻止他人出示舊照片。
個人情報保護委員會警告，外洩的駕照影像可能被用於申辦信用卡、開設銀行帳戶或申辦手機門號。這些是可能的濫用方式，並不代表每份外洩證件都已遭到詐欺使用。
相關報導並未提供全國已完成換發的總數，也未指出有多少詐欺案件已確認與 Times Car 外洩事件直接相關。目前的證據顯示民眾普遍感到憂慮，且各地已有換發申請，但尚無法衡量有多少人因此蒙受財務損失。
為何呼籲銀行讀取證件晶片
晶片查核會讀取駕照或 My Number 卡等實體身分證件中的電子資料，而非只依賴申請人上傳的照片。因此，僅有遭竊影像不足以完成晶片讀取步驟。
金融服務大臣片山皋月呼籲金融機構在確認客戶身分時採用更嚴格的查核方式：
確實落實身分確認程序，包括讀取整合式電路晶片資料。
金融廳10月9日的通知也要求金融機構檢視網路安全措施，包括對承包商的監督。通知未點名任何特定外洩事件，但發布時間適逢 Times Car 入侵事件及其他涉及身分證件的事件曝光之後。
修正後的規定保留替代方式，供沒有晶片身分證件或不支援近距離無線通訊（NFC）的智慧型手機者使用。NFC 可讓相容手機與近距離持有的卡片通訊。其他可用方式包括郵寄身分證件正本，並採取防偽措施。
讀取晶片可堵住一種冒用身分的途徑，但無法讓外洩的地址、出生日期或電話號碼失去作用，金融機構仍須查驗可疑申請。
攻擊事件接連發生，但尚無證據指向共同犯嫌
Times Car 外洩事件發生之際，交通、零售及餐飲服務業也陸續公布資安事件。據報導，燒肉連鎖店 Yakiniku King 的訂位與集點 App 有超過1,000萬筆客戶資料遭複製；JR East 的 Eki-net 訂票系統則有約167萬個電子郵件地址外洩。
報導也提及東京地下鐵、Lawson 和日經的資安事件。福岡方面，零售商 MrMax 與 nimoca 交通卡服務公布資料外洩；JR 九州則表示，網路會員的電子郵件地址可能外洩。各起事件涉及的資料類型不盡相同，不應一概與含有身分證件照片的外洩事件視為相同。
數位大臣平將明召開緊急會議，並如此形容當前情勢：
網路空間的緊急狀態
網路安全大臣古川俊治也談及情勢的嚴重性：
極為嚴峻
經濟產業省已要求約1,000個產業團體檢查通訊設備及系統是否存在弱點。目前沒有團體宣稱對這波攻擊事件負責，調查人員也尚未確認有單一共同犯嫌。
目前已知的攻擊手法有哪些？
日本電腦緊急應變小組 JPCERT/CC 曾說明近期攻擊中出現的手法，包括尋找尚未修補的軟體漏洞、利用行動 App 發現的內部介面，以及利用分析工具 Metabase 中已知的 SQL 注入漏洞。
SQL 注入是指操弄資料庫請求，使有漏洞的應用程式執行非預期操作，可能導致儲存資料外洩。這些已報導的手法可作為了解近期攻擊活動的背景，但無法證明 Times Car 遭入侵時使用了哪種方法。
據報導，福岡工業大學資訊基礎設施中心曾在30分鐘內記錄到近9,000次遭阻擋的攻擊嘗試。這項觀察顯示單一機構面臨的惡意活動數量，但不代表成功入侵的次數，也不能作為全國遭竊資料的統計。
資安專家指出，人工智慧可能降低搜尋攻擊目標所需的成本。資安公司 Blackpanda 的平岡正樹提醒，這些攻擊尚未被明確證實與人工智慧有關。無論是這種可能性，或網路流量看似來自哪個地區，都無法據此確認犯嫌身分。
受影響民眾應留意什麼
日本警察廳預期，還會出現冒充遭外洩企業的詐騙電話及電子郵件。外洩的聯絡資料可能讓這些訊息更具說服力，尤其是來電者知道當事人的姓名、地址或會員資訊時。
警察廳長官楠芳伸在10月8日的記者會上表示，警察廳將同時推動調查與防範工作。他呼籲民眾採取基本防護措施，包括使用可阻擋詐騙電話的 App、更新密碼，以及避免點閱可疑電子郵件。
當局呼籲民眾若懷疑遭遇詐欺或資料遭到不當使用，應儘速聯絡警方。若發現不明合約或帳戶，個人情報保護委員會也建議向相關信用卡公司或銀行諮詢。外洩通知代表資料曾遭揭露；若發現不明帳戶、合約或交易，則需要另外處理。
下一個明確期限是2027年4月1日。預計明年4月也將公布修訂版隱私指引，涵蓋通行密鑰、入侵偵測及刪除非必要資料等措施。在此之前，防範責任由各方共同承擔：企業必須加強身分查核與資料保護，受影響民眾則應留意駕照換發也無法防止的資料濫用風險。
重點整理
- 約660萬筆 Times Car 帳戶受影響，其中約160萬筆紀錄包含身分證件資料。
- 換發駕照會更換照片及號碼末位數字，但多數已外洩的個人資料不會改變。
- 石川縣受理駕照換發申請；一般駕照費用據報為2,600日圓，My Number 駕照為1,500日圓。
- 金融機構已受要求，在2027年4月1日新規定生效前採用證件晶片查核。
- 當局警告民眾留意身分冒用、詐欺合約、詐騙電話及假電子郵件；若懷疑資料遭到不當使用，應儘速尋求協助。
- 目前沒有證據顯示這波攻擊由單一犯嫌所為，也尚未確認 Times Car 外洩事件造成的全國詐欺案件總數。
