Permintaan Penerbitan Ulang SIM di Jepang Meningkat Setelah Kebocoran Times Car Membuka Data Identitas 1,6 Juta Catatan

Lisensi baru tak dapat menghapus detail yang bocor

Serangan siber terhadap layanan Times Car di Jepang telah mengekspos dokumen identitas dalam sekitar 1,6 juta catatan anggota, sehingga mendorong permintaan penerbitan ulang SIM meski polisi memperingatkan bahwa penggantian kartu hanya memberi perlindungan terbatas terhadap penipuan. Menurut pengungkapan perusahaan yang dikutip dalam sejumlah laporan, kebocoran yang lebih luas berdampak pada sekitar 6,6 juta akun anggota aktif maupun mantan anggota.

Masalah langsungnya adalah hal-hal yang tidak bisa diubah dengan kartu pengganti. Penerbitan ulang SIM Jepang mengubah foto dan hanya digit terakhir dari nomor 12 digitnya, yang mencatat jumlah penerbitan ulang. Nama, alamat, dan tanggal lahir yang sudah disalin pelaku kejahatan tetap terekspos, sementara perusahaan yang memeriksa gambar SIM curian tidak memiliki cara yang andal untuk mengetahui bahwa SIM tersebut telah diganti.

Badan Kepolisian Nasional meminta lembaga keuangan dan perusahaan lain memperkuat pemeriksaan identitas serta meminta masyarakat segera berkonsultasi dengan polisi jika mencurigai informasi mereka disalahgunakan. Secara terpisah, Badan Jasa Keuangan pada 9 Oktober meminta lembaga keuangan mempercepat peralihan dari foto dokumen identitas yang diunggah ke pemeriksaan dengan membaca cip elektronik pada kartu fisik.

Perubahan itu sudah dijadwalkan dalam peraturan yang diamendemen untuk menerapkan Undang-Undang Pencegahan Pengalihan Hasil Kejahatan. Mulai 1 April 2027, pengiriman foto dokumen identitas tidak lagi diterima sebagai metode verifikasi identitas jarak jauh berdasarkan aturan terkait. Pembacaan cip akan menjadi standar, dengan alternatif tetap tersedia bagi orang yang tidak memiliki dokumen atau ponsel pintar yang sesuai.

Seberapa luas kebocorannya?

Times Car dioperasikan oleh afiliasi Park24 Co. Layanan itu mendeteksi penyusupan pada 25 September. Laporan menyebut sekitar 6,6 juta akun terdampak atau catatan bocor, termasuk sekitar 1,6 juta yang memuat dokumen identitas seperti gambar SIM.

Angka-angka tersebut menggambarkan bagian kebocoran yang berbeda, bukan perkiraan yang saling bertentangan atas jumlah total yang sama. Berdasarkan jumlah akun yang dilaporkan, dokumen identitas terdapat dalam sekitar 24% catatan terdampak, atau hampir satu dari empat. Tidak satu pun angka tersebut memastikan jumlah pasti individu yang berbeda, dan penyelidikan dapat mengubah totalnya.

Informasi yang terekspos dapat mencakup nama, alamat rumah, tanggal lahir, nomor telepon, alamat email, dan detail SIM. Seorang pengguna Times Car di Kota Fukuoka menerima pemberitahuan yang mencantumkan alamat, tanggal lahir, nomor telepon, alamat email, dan gambar SIM-nya sebagai informasi yang terungkap.

Mantan pelanggan juga terdampak. Data mereka dilaporkan disimpan selama sekitar tujuh tahun, sehingga memunculkan perhatian terhadap praktik perusahaan yang terus menyimpan dokumen sensitif setelah tujuan awalnya berakhir. Komisi Perlindungan Informasi Pribadi Jepang telah meminta perusahaan menghapus informasi pribadi yang tidak lagi mereka perlukan.

Tanggal-tanggal penting dalam penanganan

Dorongan untuk memperkuat pemeriksaan identitas mengikuti perubahan peraturan yang terjadi sebelum penyusupan ke Times Car. Kebocoran ini meningkatkan tekanan untuk menerapkan perubahan tersebut sebelum tanggal mulai berlakunya.

• Juni 2025: Amendemen peraturan verifikasi identitas diundangkan, menetapkan penghentian di masa mendatang atas metode terkait yang menggunakan gambar dokumen yang diunggah.
• 25 September 2026: Times Car mendeteksi penyusupan.
• 29 September: Seorang pelanggan terdampak di Kanazawa menerima email yang mengonfirmasi bahwa informasi pribadinya bocor.
• 8 Oktober: Kepala Badan Kepolisian Nasional Yoshinobu Kusunoki membahas keamanan siber dan pencegahan penipuan dalam konferensi pers.
• 9 Oktober: Badan Jasa Keuangan meminta lembaga keuangan lebih awal mengadopsi pemeriksaan identitas dengan membaca cip kartu.
• 11 Oktober: Laporan menyebut meningkatnya pertanyaan dan permohonan penerbitan ulang SIM di seluruh Jepang.
• 1 April 2027: Peraturan verifikasi identitas yang diamendemen dijadwalkan mulai berlaku.

Permintaan pada 9 Oktober merupakan imbauan untuk mempercepat penerapan, bukan larangan baru yang langsung menghentikan metode verifikasi yang ada. Lembaga keuangan yang masih menggunakan foto diminta memeriksa dokumen dan gambar wajah dengan cermat sambil mempersiapkan peralihan.

Mengapa permohonan penggantian SIM meningkat

Kantor polisi dan pusat SIM menerima banyak pertanyaan sejak kebocoran tersebut diketahui publik. Masyarakat menanyakan penggantian SIM dan perubahan informasi yang tercatat, karena khawatir dokumen identitas yang terekspos dapat digunakan untuk menyamar sebagai mereka.

SIM biasanya diterbitkan ulang selama masa berlakunya karena alasan seperti hilang, dicuri, rusak, atau perubahan pada informasi yang tercatat. Komisi keselamatan publik prefektur juga dapat menyetujui penggantian karena alasan lain yang kuat. Setelah kebocoran Times Car, hampir semua kantor dilaporkan menerima permohonan, dengan risiko penyalahgunaan dijadikan alasan penerbitan ulang.

Di Prefektur Ishikawa, pusat SIM menerima beberapa pertanyaan setiap hari. Permohonan diterima di pusat SIM prefektur di Kanazawa serta kantor polisi Wajima dan Suzu. Biaya yang dilaporkan sebesar 2.600 yen untuk SIM konvensional dan 1.500 yen untuk SIM My Number, yang mengintegrasikan informasi SIM dengan kartu My Number.

Seorang pria berusia 30-an di Kanazawa, yang telah menggunakan Times Car selama dua tahun, mempertimbangkan untuk mengganti SIM setelah menerima pemberitahuan pada 29 September. Dalam laporan lokal saat itu, ia mengatakan belum menerima penjelasan lanjutan secara terperinci. Sebuah perusahaan lain di Kanazawa yang memiliki kontrak Times Car korporat memperingatkan seluruh karyawannya melalui email, tetapi tetap menggunakan layanan tersebut.

Apa yang sebenarnya berubah saat SIM diterbitkan ulang

SIM pengganti tidak mengatur ulang identitas seseorang yang terekspos. Meski foto dan digit terakhir nomornya berubah, detail lainnya pada dokumen yang telah disalin masih dapat mendukung upaya penyamaran. Penerbitan ulang juga tidak menarik kembali atau menghapus gambar yang sudah diambil dari sistem perusahaan.

Perbedaan ini penting karena kepemilikan foto bukan bukti bahwa orang yang menyerahkannya memiliki kartu aslinya. Jika perusahaan menerima gambar tanpa pemeriksaan tambahan yang memadai, penerbitan kartu baru kepada pemilik yang sah mungkin tidak banyak membantu mencegah orang lain menggunakan gambar lama.

Komisi Perlindungan Informasi Pribadi telah memperingatkan bahwa gambar SIM yang bocor dapat disalahgunakan untuk mendapatkan kartu kredit, membuka rekening bank, atau mengurus kontrak telepon seluler. Hal-hal tersebut merupakan kemungkinan bentuk penyalahgunaan, bukan bukti bahwa setiap dokumen yang terekspos sudah digunakan untuk penipuan.

Laporan tidak menyebutkan jumlah nasional SIM yang telah selesai diterbitkan ulang atau penipuan terkonfirmasi yang secara khusus terkait dengan kebocoran Times Car. Bukti yang ada menunjukkan kekhawatiran luas dan aktivitas permohonan di sejumlah daerah, tetapi belum mengukur berapa banyak orang yang mengalami kerugian finansial.

Mengapa bank diminta membaca cip kartu

Verifikasi cip membaca informasi elektronik dari dokumen identitas fisik, seperti SIM atau kartu My Number, alih-alih hanya mengandalkan foto yang diunggah pemohon. Dengan demikian, gambar curian saja tidak cukup untuk menyelesaikan tahap pembacaan cip.

Menteri Jasa Keuangan Satsuki Katayama mendesak lembaga keuangan menggunakan pemeriksaan yang lebih kuat saat mengonfirmasi identitas nasabah:

menerapkan proses verifikasi identitas dengan semestinya, termasuk membaca data cip sirkuit terpadu.

Pemberitahuan Badan Jasa Keuangan pada 9 Oktober juga meminta lembaga meninjau langkah-langkah keamanan siber, termasuk pengawasan terhadap kontraktor. Permintaan itu tidak menyebut nama insiden tertentu, meski disampaikan setelah pengungkapan penyusupan Times Car dan insiden lain yang melibatkan dokumen identitas.

Peraturan yang diamendemen tetap menyediakan alternatif bagi orang yang tidak memiliki dokumen identitas bercip atau ponsel pintar yang mendukung komunikasi jarak dekat, yang dikenal sebagai NFC. NFC memungkinkan ponsel yang kompatibel berkomunikasi dengan kartu yang didekatkan. Metode lain yang tetap tersedia mencakup pengiriman dokumen identitas asli melalui pos dengan perlindungan terhadap pemalsuan.

Pembacaan cip menangani salah satu cara penyamaran. Namun, metode ini tidak membuat alamat, tanggal lahir, atau nomor telepon yang bocor menjadi tak berguna, dan tidak menghilangkan kewajiban lembaga untuk memeriksa permohonan yang mencurigakan.

Gelombang serangan yang lebih luas, tanpa pelaku bersama yang terbukti

Kebocoran Times Car muncul bersamaan dengan pengungkapan insiden yang berdampak pada layanan transportasi, ritel, dan restoran. Insiden yang dilaporkan mencakup lebih dari 10 juta catatan pelanggan yang disalin dari aplikasi pemesanan dan program hadiah jaringan restoran Yakiniku King, serta sekitar 1,67 juta alamat email yang terekspos dari sistem pemesanan Eki-net milik JR East.

Laporan juga menyebut insiden yang melibatkan Tokyo Metro, Lawson, dan Nikkei. Di Fukuoka, pengungkapan melibatkan peritel MrMax dan layanan kartu transportasi nimoca, sementara JR Kyushu mengatakan alamat email anggota web mungkin telah bocor. Informasi yang terekspos dalam insiden-insiden ini berbeda-beda dan tidak boleh disamakan dengan kebocoran yang mencakup foto dokumen identitas.

Menteri Digital Masaaki Taira menggelar rapat darurat dan menggambarkan situasi tersebut dengan istilah:

situasi darurat di dunia maya

Menteri Keamanan Siber Toshiharu Furukawa juga membahas tingkat keseriusan situasi tersebut:

sangat kritis

Kementerian Perindustrian meminta sekitar 1.000 kelompok industri memeriksa kelemahan pada peralatan komunikasi dan sistem mereka. Belum ada kelompok yang mengaku bertanggung jawab atas serangan-serangan dalam gelombang yang lebih luas tersebut, dan penyidik belum menetapkan satu pelaku bersama.

Apa yang diketahui tentang metode serangannya?

Tim tanggap darurat komputer Jepang, JPCERT/CC, telah menjelaskan teknik yang terlihat dalam serangan baru-baru ini, termasuk pencarian kelemahan perangkat lunak yang belum ditambal, penyalahgunaan antarmuka internal yang ditemukan melalui aplikasi seluler, dan eksploitasi kerentanan injeksi SQL yang diketahui pada perangkat analitik Metabase.

Injeksi SQL berarti memanipulasi permintaan basis data sehingga aplikasi yang rentan melakukan tindakan yang tidak semestinya dan berpotensi mengekspos informasi yang tersimpan. Teknik-teknik yang dilaporkan memberi konteks untuk aktivitas serangan yang lebih luas, tetapi tidak memastikan metode apa yang digunakan terhadap Times Car.

Di Institut Teknologi Fukuoka, Pusat Infrastruktur Informasi dilaporkan mencatat hampir 9.000 upaya serangan yang diblokir selama periode 30 menit. Pengamatan itu menggambarkan volume aktivitas berbahaya yang dihadapi sebuah institusi. Angka tersebut bukan jumlah kebocoran yang berhasil atau ukuran nasional atas catatan yang dicuri.

Pakar keamanan menyebut kecerdasan buatan mungkin mengurangi upaya yang dibutuhkan untuk mencari sasaran. Masaki Hiraoka dari perusahaan keamanan Blackpanda mengingatkan bahwa serangan tersebut belum secara eksplisit dikaitkan dengan AI. Kemungkinan itu maupun dugaan asal geografis lalu lintas jaringan tidak memastikan siapa yang bertanggung jawab.

Hal yang perlu diwaspadai orang terdampak

Badan Kepolisian Nasional memperkirakan akan ada lebih banyak panggilan penipuan dan email palsu yang menyamar sebagai perusahaan yang mengalami kebocoran. Detail kontak yang terekspos dapat membuat pesan semacam itu lebih meyakinkan, terutama jika penelepon mengetahui nama, alamat, atau keanggotaan layanan seseorang.

Dalam konferensi pers pada 8 Oktober, Kepala Badan Kepolisian Nasional Yoshinobu Kusunoki mengatakan badan tersebut akan mengupayakan penyelidikan sekaligus pencegahan. Ia mendorong langkah pencegahan dasar, termasuk menggunakan aplikasi pemblokir panggilan penipuan, memperbarui kata sandi, dan menghindari email mencurigakan.

Pihak berwenang meminta masyarakat segera menghubungi polisi jika mencurigai adanya penipuan atau penyalahgunaan. Jika ditemukan kontrak atau rekening yang tidak dikenal, Komisi Perlindungan Informasi Pribadi juga menyarankan agar masyarakat berkonsultasi dengan perusahaan kartu kredit atau bank terkait. Pemberitahuan kebocoran memastikan bahwa informasi terekspos; rekening, kontrak, atau transaksi tak terduga memerlukan penanganan terpisah.

Tenggat waktu berikutnya yang telah ditetapkan adalah 1 April 2027. Panduan privasi yang diperbarui, mencakup langkah-langkah seperti kunci sandi, deteksi penyusupan, dan penghapusan data yang tidak diperlukan, juga diperkirakan terbit April mendatang. Hingga saat itu, tugas utama dibagi bersama: perusahaan harus memperkuat verifikasi dan perlindungan data, sementara orang-orang terdampak perlu waspada terhadap penyalahgunaan yang tidak dapat dicegah dengan mengganti SIM.

Poin-Poin Utama

• Sekitar 6,6 juta akun Times Car terdampak, termasuk kira-kira 1,6 juta catatan yang memuat dokumen identitas.
• SIM pengganti mengubah foto dan digit terakhir nomor, sementara sebagian besar informasi pribadi yang terekspos tetap sama.
• Ishikawa menerima permohonan penerbitan ulang, dengan biaya yang dilaporkan sebesar 2.600 yen untuk SIM konvensional dan 1.500 yen untuk SIM My Number.
• Lembaga keuangan diminta mengadopsi verifikasi dengan membaca cip kartu sebelum aturan baru berlaku pada 1 April 2027.
• Pihak berwenang memperingatkan tentang penyamaran, kontrak penipuan, panggilan penipuan, dan email palsu, serta meminta masyarakat segera berkonsultasi jika mencurigai adanya penyalahgunaan.
• Gelombang serangan yang dilaporkan belum dikaitkan dengan satu pelaku, dan jumlah nasional penipuan akibat kebocoran Times Car belum ditetapkan.