ญี่ปุ่นยื่นขอใบขับขี่ใหม่เพิ่ม หลังข้อมูลบัตรประจำตัว 1.6 ล้านรายการรั่วไหลจากเหตุโจมตี Times Car

ใบอนุญาตใหม่ไม่อาจลบข้อมูลที่รั่วไหล

การโจมตีทางไซเบอร์ต่อบริการ Times Car ของญี่ปุ่นทำให้เอกสารยืนยันตัวตนในข้อมูลสมาชิกประมาณ 1.6 ล้านรายการถูกเปิดเผย ส่งผลให้มีคำขอออกใบขับขี่ใหม่ แม้ตำรวจเตือนว่าการออกบัตรใหม่ช่วยป้องกันการฉ้อโกงได้จำกัด รายงานระบุว่าเหตุข้อมูลรั่วไหลครั้งใหญ่ส่งผลกระทบต่อบัญชีสมาชิกทั้งปัจจุบันและอดีตราว 6.6 ล้านบัญชี ตามข้อมูลที่บริษัทเปิดเผย

ปัญหาเฉพาะหน้าคือการออกบัตรใหม่ไม่อาจเปลี่ยนแปลงอะไรได้บ้าง การออกใบขับขี่ญี่ปุ่นใหม่จะเปลี่ยนรูปถ่ายและตัวเลขหลักสุดท้ายเพียงหลักเดียวจากหมายเลข 12 หลัก ซึ่งใช้บันทึกจำนวนครั้งที่ออกบัตรใหม่ ชื่อ ที่อยู่ และวันเกิดที่อาชญากรคัดลอกไปแล้วก็ยังคงถูกเปิดเผย และธุรกิจที่ตรวจสอบภาพบัตรซึ่งถูกขโมยไปไม่มีวิธีที่เชื่อถือได้ในการยืนยันว่าใบขับขี่นั้นถูกออกใหม่แล้ว

สำนักงานตำรวจแห่งชาติญี่ปุ่นกำลังกระตุ้นให้สถาบันการเงินและธุรกิจอื่น ๆ ยกระดับการตรวจสอบตัวตน พร้อมขอให้ประชาชนปรึกษาตำรวจโดยเร็วหากสงสัยว่าข้อมูลของตนถูกนำไปใช้ในทางมิชอบ ขณะเดียวกัน สำนักงานบริการทางการเงินได้ขอให้สถาบันต่าง ๆ เมื่อวันที่ 9 ตุลาคม เร่งเปลี่ยนจากการตรวจสอบภาพถ่ายเอกสารยืนยันตัวตนที่อัปโหลด มาเป็นการอ่านข้อมูลจากชิปอิเล็กทรอนิกส์ภายในบัตรจริง

การเปลี่ยนแปลงดังกล่าวมีกำหนดอยู่แล้วภายใต้กฎระเบียบที่แก้ไขเพิ่มเติมเพื่อบังคับใช้กฎหมายป้องกันการโอนทรัพย์สินที่ได้จากอาชญากรรม ตั้งแต่วันที่ 1 เมษายน 2027 การส่งภาพถ่ายเอกสารยืนยันตัวตนจะไม่เป็นวิธีที่ยอมรับได้อีกต่อไปภายใต้กฎที่เกี่ยวข้องสำหรับการยืนยันตัวตนโดยไม่พบลูกค้าต่อหน้า การอ่านชิปจะกลายเป็นมาตรฐาน โดยยังคงมีวิธีอื่นสำหรับผู้ที่ไม่มีเอกสารหรือสมาร์ตโฟนที่เหมาะสม

ข้อมูลรั่วไหลมีขอบเขตแค่ไหน?

Times Car ดำเนินงานโดยบริษัทในเครือของ Park24 Co. บริการตรวจพบการบุกรุกเมื่อวันที่ 25 กันยายน รายงานระบุว่ามีบัญชีหรือข้อมูลที่รั่วไหลได้รับผลกระทบราว 6.6 ล้านรายการ รวมถึงประมาณ 1.6 ล้านรายการที่มีเอกสารยืนยันตัวตน เช่น ภาพใบขับขี่

ตัวเลขเหล่านี้กล่าวถึงคนละส่วนของเหตุข้อมูลรั่วไหล ไม่ใช่ตัวเลขประมาณการที่แข่งขันกันเพื่อระบุยอดรวมเดียวกัน จากจำนวนบัญชีที่มีรายงาน เอกสารยืนยันตัวตนปรากฏอยู่ในข้อมูลที่ได้รับผลกระทบราว 24% หรือเกือบหนึ่งในสี่ ไม่มีตัวเลขใดระบุจำนวนบุคคลที่ไม่ซ้ำกันได้อย่างแน่ชัด และผลการสอบสวนอาจทำให้ยอดรวมเปลี่ยนแปลง

ข้อมูลที่ถูกเปิดเผยอาจประกอบด้วยชื่อ ที่อยู่บ้าน วันเกิด หมายเลขโทรศัพท์ ที่อยู่อีเมล และรายละเอียดใบขับขี่ ผู้ใช้ Times Car รายหนึ่งในเมืองฟุกุโอกะได้รับแจ้งว่าข้อมูลที่เปิดเผยมีที่อยู่ วันเกิด หมายเลขโทรศัพท์ ที่อยู่อีเมล และภาพใบขับขี่ของเขา

ลูกค้าเก่าก็ได้รับผลกระทบเช่นกัน มีรายงานว่าข้อมูลของพวกเขาถูกเก็บไว้นานประมาณเจ็ดปี ทำให้เกิดความสนใจว่าบริษัทต่าง ๆ ยังคงเก็บเอกสารสำคัญหลังหมดวัตถุประสงค์เดิมแล้วหรือไม่ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นได้เรียกร้องให้ธุรกิจลบข้อมูลส่วนบุคคลที่ไม่จำเป็นต้องใช้อีกต่อไป

ลำดับเหตุการณ์ของการรับมือ

การผลักดันให้ยกระดับการตรวจสอบตัวตนเกิดขึ้นหลังการเปลี่ยนแปลงด้านกฎระเบียบที่มีมาก่อนเหตุบุกรุก Times Car เหตุข้อมูลรั่วไหลทำให้แรงกดดันเพิ่มขึ้นในการดำเนินการเปลี่ยนแปลงดังกล่าวก่อนวันที่กฎหมายเริ่มมีผล

• มิถุนายน 2025: ประกาศแก้ไขกฎระเบียบการยืนยันตัวตน โดยกำหนดให้ยุติวิธีที่เกี่ยวข้องกับการใช้ภาพเอกสารที่อัปโหลดในอนาคต
• 25 กันยายน 2026: Times Car ตรวจพบการบุกรุก
• 29 กันยายน: ลูกค้าที่ได้รับผลกระทบรายหนึ่งในคานาซาวะได้รับอีเมลยืนยันว่าข้อมูลส่วนบุคคลของเขารั่วไหล
• 8 ตุลาคม: โยชิโนบุ คุสึโนกิ ผู้บัญชาการสำนักงานตำรวจแห่งชาติ กล่าวถึงความมั่นคงปลอดภัยทางไซเบอร์และการป้องกันการฉ้อโกงในการแถลงข่าว
• 9 ตุลาคม: สำนักงานบริการทางการเงินขอให้เร่งนำการตรวจสอบตัวตนด้วยชิปบนบัตรมาใช้
• 11 ตุลาคม: รายงานระบุว่ามีการสอบถามและยื่นคำขอออกใบขับขี่ใหม่เพิ่มขึ้นทั่วญี่ปุ่น
• 1 เมษายน 2027: กฎการยืนยันตัวตนฉบับแก้ไขมีกำหนดเริ่มมีผล

คำขอเมื่อวันที่ 9 ตุลาคมเป็นการเรียกร้องให้ดำเนินการเร็วขึ้น ไม่ใช่การห้ามใช้วิธีตรวจสอบที่มีอยู่ในทันที สถาบันที่ยังใช้ภาพถ่ายได้รับการขอให้ตรวจสอบภาพเอกสารและใบหน้าอย่างรอบคอบ พร้อมเตรียมเปลี่ยนผ่านไปสู่วิธีใหม่

เหตุใดคำขอออกบัตรใหม่จึงเพิ่มขึ้น

สถานีตำรวจและศูนย์ใบขับขี่ได้รับคำสอบถามจำนวนมากนับตั้งแต่ข่าวเหตุข้อมูลรั่วไหลเผยแพร่ ประชาชนสอบถามเรื่องการออกใบขับขี่ใหม่และการเปลี่ยนแปลงข้อมูลที่บันทึกไว้ สะท้อนความกังวลว่าเอกสารยืนยันตัวตนที่ถูกเปิดเผยอาจถูกนำไปใช้สวมรอย

โดยปกติสามารถออกใบขับขี่ใหม่ระหว่างที่ยังมีอายุใช้งานได้ในกรณีต่าง ๆ เช่น สูญหาย ถูกขโมย ชำรุด หรือมีการเปลี่ยนแปลงรายละเอียดที่บันทึกไว้ คณะกรรมการความปลอดภัยสาธารณะระดับจังหวัดยังสามารถอนุมัติการออกบัตรใหม่ด้วยเหตุผลสำคัญอื่น ๆ ได้ด้วย มีรายงานว่าหลังข้อมูล Times Car รั่วไหล สำนักงานเกือบทุกแห่งรับคำขอ โดยถือว่าความเสี่ยงจากการนำข้อมูลไปใช้ในทางมิชอบเป็นเหตุให้ออกบัตรใหม่ได้

ในจังหวัดอิชิกาวะ ศูนย์ใบขับขี่ได้รับคำสอบถามวันละหลายราย โดยรับคำขอที่ศูนย์ใบขับขี่ประจำจังหวัดในคานาซาวะ และสถานีตำรวจวาจิมะกับซูซุ มีรายงานว่าค่าธรรมเนียมอยู่ที่ 2,600 เยนสำหรับใบขับขี่แบบทั่วไป และ 1,500 เยนสำหรับใบขับขี่ My Number ซึ่งเชื่อมโยงข้อมูลใบขับขี่กับบัตร My Number

ชายวัย 30 กว่าปีในคานาซาวะซึ่งใช้ Times Car มาสองปี กำลังพิจารณาขอใบขับขี่ใหม่หลังได้รับแจ้งเมื่อวันที่ 29 กันยายน ในช่วงเวลาที่รายงานท้องถิ่นเผยแพร่ เขากล่าวว่ายังไม่ได้รับคำชี้แจงติดตามผลอย่างละเอียด ส่วนบริษัทอีกแห่งหนึ่งในคานาซาวะที่ทำสัญญา Times Car ในนามองค์กรได้แจ้งเตือนพนักงานทุกคนทางอีเมล แต่ยังคงใช้บริการต่อไป

การออกใบขับขี่ใหม่เปลี่ยนอะไรได้จริง

ใบขับขี่ใหม่ไม่ได้ล้างข้อมูลยืนยันตัวตนของบุคคลที่ถูกเปิดเผย แม้รูปถ่ายและตัวเลขหลักสุดท้ายจะเปลี่ยน แต่รายละเอียดส่วนที่เหลือบนเอกสารที่ถูกคัดลอกยังอาจช่วยให้มีการสวมรอยได้ การออกบัตรใหม่ยังไม่สามารถเรียกคืนหรือลบภาพที่ถูกนำออกจากระบบของบริษัทไปแล้ว

ประเด็นนี้สำคัญเพราะการมีภาพถ่ายไม่ได้พิสูจน์ว่าผู้ยื่นภาพนั้นครอบครองบัตรจริง หากธุรกิจยอมรับภาพโดยไม่มีการตรวจสอบเพิ่มเติมอย่างเพียงพอ การออกบัตรใหม่ให้ผู้ถือบัตรที่ถูกต้องตามกฎหมายก็อาจแทบไม่ช่วยหยุดผู้ที่นำภาพบัตรเก่ามาแสดง

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเตือนว่าภาพใบขับขี่ที่รั่วไหลอาจถูกนำไปใช้โดยมิชอบเพื่อขอบัตรเครดิต เปิดบัญชีธนาคาร หรือทำสัญญาโทรศัพท์มือถือ สิ่งเหล่านี้เป็นรูปแบบความเสี่ยงที่อาจเกิดขึ้น ไม่ใช่หลักฐานว่าเอกสารที่ถูกเปิดเผยทุกรายการถูกนำไปใช้ฉ้อโกงแล้ว

รายงานไม่ได้ระบุยอดรวมทั่วประเทศของการออกใบขับขี่ใหม่ที่เสร็จสมบูรณ์ หรือการฉ้อโกงที่ยืนยันแล้วว่าเชื่อมโยงโดยเฉพาะกับเหตุข้อมูล Times Car รั่วไหล หลักฐานแสดงให้เห็นความกังวลอย่างกว้างขวางและการยื่นคำขอในบางพื้นที่ แต่ยังไม่ได้บอกจำนวนผู้ที่ได้รับความเสียหายทางการเงิน

เหตุใดจึงเรียกร้องให้ธนาคารอ่านชิปบนบัตร

การตรวจสอบชิปเป็นการอ่านข้อมูลอิเล็กทรอนิกส์จากเอกสารยืนยันตัวตนจริง เช่น ใบขับขี่หรือบัตร My Number แทนการพึ่งพาเพียงภาพถ่ายที่ผู้สมัครอัปโหลด ทำให้ภาพที่ถูกขโมยเพียงอย่างเดียวไม่เพียงพอสำหรับการผ่านขั้นตอนอ่านชิป

ซัตสึกิ คาตายามะ รัฐมนตรีว่าการกระทรวงบริการทางการเงิน เรียกร้องให้สถาบันต่าง ๆ ใช้วิธีตรวจสอบที่เข้มงวดขึ้นเมื่อตรวจสอบตัวตนลูกค้า:

ดำเนินกระบวนการยืนยันตัวตนอย่างเหมาะสม รวมถึงการอ่านข้อมูลจากชิปวงจรรวม

หนังสือแจ้งของสำนักงานบริการทางการเงินเมื่อวันที่ 9 ตุลาคมยังขอให้สถาบันทบทวนมาตรการความมั่นคงปลอดภัยทางไซเบอร์ รวมถึงการกำกับดูแลผู้รับจ้าง หนังสือดังกล่าวไม่ได้ระบุชื่อเหตุข้อมูลรั่วไหลใดเป็นการเฉพาะ แม้ออกมาหลังการเปิดเผยเหตุบุกรุก Times Car และเหตุอื่น ๆ ที่เกี่ยวข้องกับเอกสารยืนยันตัวตน

กฎระเบียบฉบับแก้ไขยังคงมีวิธีอื่นสำหรับผู้ที่ไม่มีเอกสารยืนยันตัวตนที่มีชิป หรือไม่มีสมาร์ตโฟนที่รองรับการสื่อสารระยะใกล้ หรือ NFC ซึ่งช่วยให้โทรศัพท์ที่รองรับสื่อสารกับบัตรที่อยู่ใกล้ได้ วิธีที่ยังใช้ได้รวมถึงการส่งเอกสารยืนยันตัวตนฉบับจริงทางไปรษณีย์โดยมีมาตรการป้องกันการปลอมแปลง

การอ่านชิปช่วยจัดการความเสี่ยงจากการสวมรอยได้ช่องทางหนึ่ง แต่ไม่ได้ทำให้ที่อยู่ วันเกิด หรือหมายเลขโทรศัพท์ที่รั่วไหลหมดประโยชน์ และไม่ได้ลดความจำเป็นที่สถาบันต่าง ๆ ต้องตรวจสอบคำขอที่น่าสงสัย

กระแสการโจมตีที่กว้างขึ้น โดยยังไม่มีหลักฐานว่ามีผู้ก่อเหตุร่วมกัน

เหตุข้อมูล Times Car รั่วไหลเกิดขึ้นพร้อมกับการเปิดเผยเหตุที่กระทบบริการขนส่ง ค้าปลีก และร้านอาหาร เหตุที่มีรายงานรวมถึงข้อมูลลูกค้ามากกว่า 10 ล้านรายการที่ถูกคัดลอกจากแอปจองและสะสมแต้มของเครือร้านอาหาร Yakiniku King และที่อยู่อีเมลประมาณ 1.67 ล้านรายการที่รั่วไหลจากระบบจอง Eki-net ของ JR East

รายงานยังกล่าวถึงเหตุที่เกี่ยวข้องกับ Tokyo Metro, Lawson และ Nikkei ส่วนในฟุกุโอกะมีการเปิดเผยเหตุที่เกี่ยวข้องกับร้านค้าปลีก MrMax และบริการบัตรโดยสาร nimoca ขณะที่ JR Kyushu ระบุว่าที่อยู่อีเมลของสมาชิกเว็บไซต์อาจรั่วไหล เหตุเหล่านี้มีข้อมูลที่ถูกเปิดเผยแตกต่างกัน และไม่ควรถูกมองว่าเทียบเท่ากับเหตุที่มีภาพถ่ายเอกสารยืนยันตัวตนรั่วไหล

มาซาอากิ ไทระ รัฐมนตรีดิจิทัล เรียกประชุมฉุกเฉินและบรรยายสถานการณ์ไว้ดังนี้:

ภาวะฉุกเฉินในโลกไซเบอร์

โทชิฮารุ ฟุรุคาวะ รัฐมนตรีผู้รับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์ กล่าวถึงความรุนแรงของสถานการณ์ด้วยว่า:

วิกฤตอย่างยิ่ง

กระทรวงอุตสาหกรรมได้ขอให้สมาคมอุตสาหกรรมประมาณ 1,000 แห่งตรวจสอบอุปกรณ์สื่อสารและระบบเพื่อหาจุดอ่อน ยังไม่มีกลุ่มใดอ้างความรับผิดชอบต่อการโจมตีที่กล่าวถึงในกระแสเหตุการณ์วงกว้าง และผู้สอบสวนยังไม่พบผู้ก่อเหตุรายเดียวกัน

ทราบอะไรบ้างเกี่ยวกับวิธีการโจมตี?

ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของญี่ปุ่น JPCERT/CC ได้อธิบายเทคนิคที่พบในการโจมตีเมื่อไม่นานมานี้ ซึ่งรวมถึงการค้นหาช่องโหว่ของซอฟต์แวร์ที่ยังไม่ได้รับการอุด การใช้ส่วนติดต่อภายในที่ค้นพบผ่านแอปมือถือในทางมิชอบ และการใช้ประโยชน์จากช่องโหว่ SQL injection ที่เป็นที่รู้จักในเครื่องมือวิเคราะห์ Metabase

SQL injection หมายถึงการปรับเปลี่ยนคำขอไปยังฐานข้อมูลเพื่อให้แอปพลิเคชันที่มีช่องโหว่ดำเนินการโดยไม่ตั้งใจ ซึ่งอาจทำให้ข้อมูลที่จัดเก็บไว้ถูกเปิดเผย เทคนิคที่มีรายงานช่วยให้เห็นบริบทของกิจกรรมโจมตีในวงกว้าง แต่ไม่ได้ยืนยันว่ามีการใช้วิธีใดกับ Times Car

มีรายงานว่าศูนย์โครงสร้างพื้นฐานสารสนเทศของสถาบันเทคโนโลยีฟุกุโอกะบันทึกความพยายามโจมตีที่ถูกสกัดไว้เกือบ 9,000 ครั้งในช่วงเวลา 30 นาที เหตุการณ์ดังกล่าวสะท้อนปริมาณกิจกรรมที่เป็นภัยซึ่งสถาบันแห่งหนึ่งต้องเผชิญ ไม่ใช่จำนวนเหตุบุกรุกที่สำเร็จหรือการวัดจำนวนข้อมูลที่ถูกขโมยในระดับประเทศ

ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยเสนอว่าปัญญาประดิษฐ์อาจช่วยลดความพยายามที่ต้องใช้ในการค้นหาเป้าหมาย มาซากิ ฮิราโอกะ จากบริษัทความมั่นคงปลอดภัย Blackpanda เตือนว่ายังไม่มีการเชื่อมโยงการโจมตีเหล่านี้กับ AI อย่างชัดเจน ทั้งความเป็นไปได้นี้และแหล่งที่มาทางภูมิศาสตร์ของการรับส่งข้อมูลเครือข่ายที่ปรากฏให้เห็น ไม่อาจยืนยันได้ว่าใครเป็นผู้รับผิดชอบ

สิ่งที่ผู้ได้รับผลกระทบควรระวัง

สำนักงานตำรวจแห่งชาติคาดว่าจะมีสายหลอกลวงและอีเมลฉ้อโกงเพิ่มขึ้น โดยแอบอ้างเป็นธุรกิจที่ได้รับผลกระทบจากเหตุข้อมูลรั่วไหล รายละเอียดการติดต่อที่ถูกเปิดเผยอาจทำให้ข้อความเหล่านี้ดูน่าเชื่อถือขึ้น โดยเฉพาะเมื่อผู้โทรรู้ชื่อ ที่อยู่ หรือการเป็นสมาชิกบริการของบุคคลนั้น

ในการแถลงข่าวเมื่อวันที่ 8 ตุลาคม ผู้บัญชาการโยชิโนบุ คุสึโนกิกล่าวว่าหน่วยงานจะดำเนินการทั้งการสอบสวนและการป้องกัน พร้อมแนะนำมาตรการพื้นฐาน เช่น แอปที่บล็อกสายหลอกลวง การเปลี่ยนรหัสผ่าน และการหลีกเลี่ยงอีเมลที่น่าสงสัย

ทางการขอให้ประชาชนติดต่อตำรวจโดยเร็วเมื่อสงสัยว่ามีการฉ้อโกงหรือใช้ข้อมูลในทางมิชอบ หากพบสัญญาหรือบัญชีที่ไม่คุ้นเคย คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังแนะนำให้ปรึกษาบริษัทบัตรเครดิตหรือธนาคารที่เกี่ยวข้อง การแจ้งเหตุข้อมูลรั่วไหลยืนยันว่าข้อมูลถูกเปิดเผย ส่วนบัญชี สัญญา หรือธุรกรรมที่ไม่คาดคิดต้องได้รับการจัดการแยกต่างหาก

กำหนดเวลาถัดไปที่แน่นอนคือวันที่ 1 เมษายน 2027 และคาดว่าจะมีแนวทางความเป็นส่วนตัวฉบับปรับปรุงในเดือนเมษายนปีหน้า ซึ่งครอบคลุมมาตรการต่าง ๆ เช่น พาสคีย์ การตรวจจับการบุกรุก และการลบข้อมูลที่ไม่จำเป็น ก่อนถึงเวลานั้น ทุกฝ่ายมีหน้าที่ร่วมกัน: ธุรกิจต้องยกระดับการตรวจสอบและการคุ้มครองข้อมูล ขณะที่ผู้ได้รับผลกระทบควรระวังการนำข้อมูลไปใช้ในทางมิชอบ ซึ่งการเปลี่ยนใบขับขี่ไม่อาจป้องกันได้

ประเด็นสำคัญ

• บัญชี Times Car ราว 6.6 ล้านบัญชีได้รับผลกระทบ รวมถึงข้อมูลประมาณ 1.6 ล้านรายการที่มีเอกสารยืนยันตัวตน
• ใบขับขี่ที่ออกใหม่เปลี่ยนรูปถ่ายและตัวเลขหลักสุดท้าย แต่ข้อมูลส่วนบุคคลที่รั่วไหลส่วนใหญ่ยังคงเดิม
• อิชิกาวะเปิดรับคำขอออกใบขับขี่ใหม่ โดยมีรายงานค่าธรรมเนียม 2,600 เยนสำหรับใบขับขี่แบบทั่วไป และ 1,500 เยนสำหรับใบขับขี่ My Number
• สถาบันการเงินได้รับการขอให้เริ่มใช้การตรวจสอบชิปบนบัตรก่อนกฎใหม่มีผลในวันที่ 1 เมษายน 2027
• ทางการเตือนเรื่องการสวมรอย สัญญาฉ้อโกง สายหลอกลวง และอีเมลปลอม พร้อมขอให้ปรึกษาหน่วยงานที่เกี่ยวข้องโดยเร็วเมื่อสงสัยว่ามีการนำข้อมูลไปใช้ในทางมิชอบ
• ยังไม่มีการเชื่อมโยงกระแสการโจมตีที่มีรายงานเข้ากับผู้ก่อเหตุรายเดียว และยังไม่มีการสรุปยอดความเสียหายจากการฉ้อโกงทั่วประเทศที่เกิดจากเหตุข้อมูล Times Car รั่วไหล