Imagens de CNH de 1,6 mi expostas no maior vazamento japonês de mobilidade

O incidente envolve a Times Mobility, subsidiária operacional da Park24 (東証プライム, ticker 4666), empresa listada na bolsa de Tóquio que opera a maior rede de car-sharing do Japão — cerca de 84 mil veículos em 29 mil estações distribuídas pelas 47 prefeituras. Em agosto de 2026, a empresa havia anunciado 4 milhões de membros ativos. O número de 6,6 milhões de contas afetadas é, portanto, 65% maior que a base ativa declarada, o que só faz sentido quando se considera que o escopo inclui ex-membros, candidatos que não completaram o cadastro e membros corporativos do Times Business Service — todos mantidos no mesmo sistema web.

A empresa confirmou que o acesso foi detectado no dia 25 de setembro às 9h07 (JST) e bloqueado até as 7h25 do dia seguinte — uma janela de contenção de aproximadamente 22 horas. O que não foi declarado é quando o invasor entrou pela primeira vez: a Teiss e a Mallory.ai citam que 'o intruso havia acessado os sistemas mais cedo no mês', sugerindo que a detecção pode ter ocorrido dias ou semanas após o acesso inicial. Park24 não confirmou nem negou esse detalhe — e a investigação forense ainda corre.

O ângulo mais relevante deste caso não é o volume de 6,6 milhões: é a natureza do dado exposto. Imagens de CNH estão entre os ativos de identidade mais difíceis de substituir. Combinadas com nome, endereço e data de nascimento — todos expostos — elas permitem impersonation em serviços que aceitam foto de documento como prova de identidade. A Park24 confirmou que os documentos de 1,6 milhão de contas incluem CNHs, comprovantes de residência (contas de energia/gás), carteiras de estudante e documentos familiares (para planos família). A empresa disse explicitamente que não há como 'revogar' esses documentos da forma que se troca uma senha.

A questão da retenção de dados é o segundo vetor de risco — desta vez regulatório. A Park24 admitiu manter imagens de CNH de ex-membros por até sete anos com base no artigo 126 da Lei do Imposto Corporativo, que exige a preservação de registros contábeis e transacionais. A própria empresa reconheceu, no entanto, que essa norma não oferece fundamento legal para a retenção de imagens biométricas de identidade. A APPI (Lei de Proteção de Informações Pessoais do Japão) determina que dados sejam eliminados quando não mais necessários — e imagens de CNH de candidatos que nunca se tornaram membros são o exemplo mais difícil de justificar. A Comissão de Proteção de Informações Pessoais (PPC) recebeu notificação e pode iniciar investigação própria.

Não há reivindicação pública de nenhum grupo ou ator. A Park24 não divulgou o vetor técnico de entrada, o método de exfiltração ou qualquer indicador de comprometimento. A investigação forense com especialistas externos está em andamento, e a empresa sinalizou que divulgará medidas de prevenção de recorrência somente após a conclusão. Neste ponto, qualquer especulação sobre técnica ATT&CK específica ou exploração de CVE seria engenharia reversa sem base.

Aproximadamente 6,6 milhões de contas de pessoas físicas e jurídicas que usaram ou tentaram usar o Times Car tiveram dados pessoais extraídos. Desse total, 1,6 milhão tiveram imagens de documentos de identidade expostas — incluindo CNHs com foto, endereço, número de registro e data de nascimento em um único arquivo. O risco imediato identificado pela própria empresa e por especialistas japoneses é de phishing dirigido e impersonação. O risco de médio prazo é a abertura fraudulenta de contas ou contratos que aceitam foto de documento como prova de identidade. Os IDs de nove serviços parceiros vinculados às contas — incluindo o WESTER ID da JR West — também foram expostos, embora a JR West tenha declarado que seus próprios sistemas não foram comprometidos. Informações de cartão de crédito não foram afetadas. Senhas foram armazenadas em formato não reversível, reduzindo (mas não eliminando) o risco de reutilização de credenciais em outros serviços. Os bureaus de crédito japoneses CIC e JICC registraram sobrecarga de requisições de auto-proteção de consumidores nos dias seguintes à divulgação. Nenhuma compensação financeira foi anunciada pela empresa até o momento.