Vazamento da Times Car vira conta de ¥5,5 bilhões

Correção ao registro. A entrada trata como 'alegação' (claimed/unverified) uma matéria que é, na verdade, a cobertura de um incidente já confirmado. A data 2026-10-28 é a da matéria do Japan Times, não a do incidente, que foi detectado em 25/09/2026. Ninguém reivindicou o ataque, então não há alegação de ator a confrontar. O 'claimed' do registro herdou a natureza da fonte (um agregador), não do fato.

O que a vítima admite: a Park24 confirmou em seu 5º boletim, também enviado à bolsa, que o ataque explorou uma vulnerabilidade do sistema web. Segundo ela, o atacante explorou o sistema por dentro e usou informações obtidas para alcançar o banco de dados e a área de arquivos. Os números finais são 6.628.007 contas com traço de acesso e envio externo e 1.464.800 imagens de documentos criptografadas com traço de envio. Entre os dados confirmados estão nome, endereço, data de nascimento, telefone, e-mail e informações de CNH. Segundo o ITmedia, também entram 135.436 IDs de serviços vinculados, 19.510 números de cartão Times Club, 28 casos com os 4 últimos dígitos de cartão de crédito e 12 números de cartão Times Business. A empresa diz que não guardava dados completos de cartão e que as senhas eram armazenadas em formato não recuperável.

O que o regulador afirma: não achamos ato formal da PPC (ordem, recomendação ou multa). O que há é a declaração do governo, em 30/09, de que a PPC e a polícia seguem exigindo relatórios, e a afirmação da própria empresa de que notificou a PPC no dia 25/09. Para um caso desta escala, a ausência de ação pública da PPC até 28/10 é uma lacuna a monitorar, não evidência de que nada vai acontecer.

Onde a cobertura embaralha: o Japan Times diz que foram vazadas 'as CNHs de 1,46 milhão de pessoas'. O comunicado fala de 1.464.800 imagens de documentos, uma unidade de arquivos. Um mesmo membro pode ter mais de um documento (CNH, comprovante de endereço, carteira de estudante, documento de familiar, segundo escritório de advocacia que resume o 3º boletim). Fontes secundárias, como o Rocket Boys e o issoh.co.jp, relatam ainda 891.602 imagens com acesso confirmado, mas sem traço de envio, num total de 2.356.402. Não conseguimos abrir o texto integral do 5º boletim para confirmar essa tabela, então tratamos esse número como provável, não confirmado. O outro dado que pede cuidado é o total de 6,6 milhões de contas, que supera os 4 milhões de membros ativos citados pela empresa em agosto. A diferença é explicada pelo escopo: o total inclui ex-membros, candidatos que não concluíram o cadastro e clientes do Times Business Service que só contrataram estacionamento. Esse é um fato tecnicamente consistente, mas a Park24 não informou o número de pessoas distintas.

Sobre o custo: a perda extraordinária de ¥5,5 bi é um número oficial. Mas ¥4,4 bi de 'pagamento simbólico' vem de multiplicar 1.464.800 por ¥3.000, conta feita pela imprensa (ITmedia, Nikkei) e não detalhada pela empresa. O resto dos custos fica sem abertura. A Park24 diz que o valor é um gesto por causa do risco de decifração futura, e que pagará caso a caso se houver dano concreto. A cifra é, portanto, um piso de custo, não um teto: há ação coletiva anunciada pedindo até ¥50.000 por vítima, e mais de 100 mil pessoas já se cadastraram no site da ação (um cadastro de interessados, não de autores ajuizados).

O ângulo investigativo é a retenção. O Nikkei publicou que a empresa guardava imagens de documentos por 7 anos após a saída do membro, alegando base na lei do imposto de renda de pessoa jurídica, e que concorrentes apagam logo após a verificação. Não verificamos o enquadramento jurídico dessa alegação. O fato de a Park24 ter mudado a regra para 'excluir logo após o cadastro' em 16/10 sugere que a política antiga não era inevitável. Surgiram dúvidas sobre se apagar tudo até 31/10 atrapalha a apuração. A empresa respondeu ao J-CAST que não, o que é declaração da vítima, não verificação independente.

Sobre a criptografia: a Park24 afirma que as imagens enviadas estavam criptografadas e que isso não significa leitura imediata. Ela também diz que a decifração futura não pode ser descartada. Esquema, algoritmo e guarda das chaves não foram divulgados. Sem isso, ninguém de fora consegue avaliar o risco. E se a chave ficava no mesmo ambiente que o atacante já explorou (algo que a empresa não disse), a proteção seria fraca. Isto é hipótese a ser testada, não achado.

O risco real: dados de CNH com imagem permitem fraude de identidade (KYC, contratos). Já há relatos de pessoas com chamadas suspeitas após a notificação, mas sem prova de causalidade. Não achamos base à venda nem reivindicação. O vetor é descrito só em linhas gerais, e nenhum CVE foi atribuído publicamente.

Quem usou ou se cadastrou no Times Car ou no Times Business Service, incluindo ex-membros e quem não concluiu o cadastro, pode ter tido dados pessoais e de CNH levados. Os números oficiais são 6.628.007 contas e 1.464.800 imagens de documentos criptografadas com envio externo. Quem está nesse segundo grupo receberá ¥3.000 em dinheiro ou vale. A Park24 provisiona perda extraordinária de cerca de ¥5,5 bilhões para o exercício até outubro de 2026 e enfrenta ação coletiva anunciada. Na prática, vítimas têm risco de phishing, vishing e uso fraudulento de identidade. O dano concreto por fraude ainda não foi quantificado por fonte oficial.