Las filtraciones de datos se han vuelto tan frecuentes que una noticia sobre nombres y correos electrónicos apenas sorprende.
El incidente de Times Car de septiembre de 2026 fue distinto.
Según el informe de Park24 del 28 de septiembre, un tercero accedió sin autorización al sistema web de Times Car y obtuvo información asociada a unos 6,6 millones de cuentas. Entre las personas afectadas había miembros actuales, antiguos miembros, solicitantes que no completaron el alta y clientes corporativos, incluidos antiguos clientes.
Los campos variaban según la persona, pero incluían nombre, dirección, fecha de nacimiento, teléfono, correo electrónico, datos del permiso de conducir, información de documentos de identidad e imágenes del permiso.
Eso se parece mucho más a un paquete de identidad que a una simple lista de contactos.
1. Importa más la combinación de datos que el número 6,6 millones
Un correo electrónico filtrado aumenta sobre todo el riesgo de spam y phishing.
Cuando nombre, dirección, fecha de nacimiento, teléfono y documentos de identidad quedan vinculados, resulta más fácil construir una suplantación convincente.
La autoridad japonesa de protección de datos distingue entre una mera exposición de datos de contacto y situaciones en las que los datos pueden utilizarse para hacerse pasar por una persona y causar daños patrimoniales.
El problema central del caso Times Car es, por tanto, la riqueza del conjunto filtrado.
2. Que también afecte a antiguos clientes resulta especialmente irritante
Que una empresa conserve ciertos datos después de una baja no significa automáticamente que esté actuando ilegalmente. Puede haber motivos relacionados con contratos, contabilidad, prevención del fraude o litigios.
Aun así, para un usuario es difícil aceptar que un servicio que ya no utiliza le informe años después de que antiguos documentos de identidad seguían dentro del sistema afectado.
La pregunta de gobernanza es simple: qué se conserva, por qué y durante cuánto tiempo.
Los datos son un activo; los datos innecesarios conservados demasiado tiempo también amplían el daño potencial.
3. Una imagen filtrada del permiso no significa que se pueda abrir automáticamente una cuenta bancaria
La verificación remota de identidad en Japón no funciona de una sola manera.
Según el servicio, puede combinar imágenes de documentos, captura facial en tiempo real, chips IC o autenticación digital pública.
Por eso, poseer una imagen guardada de un permiso no equivale a poder superar fácilmente la verificación de cualquier institución financiera.
Japón también está endureciendo las reglas y prevé eliminar métodos remotos de mayor riesgo a partir del 1 de abril de 2027.
Las comprobaciones de vivacidad y los chips existen precisamente para reducir el valor de una imagen estática robada.
4. El riesgo duradero es que la suplantación parezca más creíble
Una foto del permiso no es una llave maestra.
Pero una combinación de nombre, dirección, fecha de nacimiento, teléfono y documento hace más verosímiles las estafas dirigidas.
Una tarjeta puede cancelarse y sustituirse. La fecha de nacimiento o una dirección histórica no.
JICC permite registrar una declaración preventiva por posible uso indebido del nombre incluso cuando el documento físico sigue en manos del titular pero su imagen se ha filtrado. El registro puede mantenerse cinco años.
5. Filtrar una tarjeta y filtrar una identidad son dos infiernos distintos
Park24 afirma que no se confirmó la filtración de datos de tarjetas de crédito. Es una diferencia importante.
Una filtración de tarjeta puede provocar un riesgo financiero inmediato, pero la tarjeta puede bloquearse y reemitirse.
Después llega el trabajo: actualizar streaming, comercio electrónico, pagos móviles, suministros, transporte, nube y suscripciones olvidadas.
Los datos de identidad pueden ser menos fáciles de monetizar al instante, pero muchos no se pueden cambiar.
La tarjeta genera una limpieza breve e intensa. La identidad puede exigir vigilancia durante mucho más tiempo.
6. El daño real incluye un “impuesto de limpieza”
Los comunicados suelen decir que no hay pérdidas económicas confirmadas.
Eso importa, pero no cuenta todo.
El usuario puede tener que revisar contraseñas, vigilar mensajes sospechosos, investigar sistemas preventivos de crédito, cambiar datos de pago, leer actualizaciones y mantenerse alerta meses después.
Todo eso puede consumir horas o un día entero.
La empresa tiene un incidente. El cliente hereda trabajo administrativo de seguridad no remunerado.
7. ¿La IA está provocando más ciberdelincuencia?
A 30 de septiembre de 2026 no existe información pública que demuestre que la IA causó la intrusión de Times Car. La causa sigue investigándose.
En términos generales, sin embargo, las evaluaciones oficiales consideran cada vez más que la IA aumenta la eficiencia de los atacantes.
El NCSC británico señaló en 2025 que la IA ya mejora tareas de reconocimiento, investigación de vulnerabilidades, ingeniería social, generación básica de malware y procesamiento de datos robados, y que puede aumentar la frecuencia y el impacto de las intrusiones hasta 2027.
No se trata tanto de una “IA hacker autónoma” como de colaboración humano-máquina: la persona aporta intención y experiencia, mientras la IA reduce costes de búsqueda, clasificación, redacción y trabajo repetitivo.
El NCSC también considera improbable que los ataques avanzados estén totalmente automatizados de extremo a extremo antes de 2027.
8. Los controles de seguridad de la IA comercial no eliminan el problema
Un delincuente no necesita que una sola IA haga todo.
Puede combinar conocimiento previo, información pública, datos robados, software normal, herramientas especializadas y juicio humano.
El IOCTA 2025 de Europol describe los datos robados como una mercancía que alimenta fraude, extorsión y ransomware.
En este contexto, la IA se entiende mejor como una tecnología que reduce la fricción de delitos existentes.
9. “Hay filtraciones por todas partes” es estadísticamente más complejo
Tokyo Shoko Research registró 180 incidentes de pérdida o filtración de datos personales divulgados por empresas cotizadas japonesas y sus filiales en 2025, un 4,7% menos que los 189 de 2024.
Sin embargo, el número de personas afectadas casi se duplicó hasta unos 30,64 millones, debido a seis grandes incidentes con más de un millón de afectados cada uno.
La autoridad japonesa de protección de datos también procesó 17.139 informes del sector privado en el ejercicio 2025, frente a 19.056 el año anterior.
La sensación de saturación no viene necesariamente de un aumento continuo del número de incidentes, sino del enorme alcance de algunos de ellos y del valor reutilizable de los datos.
10. Conclusión: contemos también el fin de semana perdido
El caso Times Car no es incómodo solo por el número 6,6 millones.
Incluye antiguos clientes, documentos de identidad y datos difíciles de cambiar. Incluso sin uso fraudulento confirmado, queda un coste de vigilancia.
Si se filtra una tarjeta, quizá desaparezca un sábado actualizando números.
Si se filtra un paquete de identidad, la tarea puede durar mucho más.
Para la empresa es respuesta a incidentes.
Para el usuario es trabajo de seguridad inesperado y no remunerado.
El coste real de una filtración no debería medirse solo en dinero robado.
También debería contar el fin de semana perdido.
- Park24, segundo informe sobre el acceso no autorizado a Times Car, 2026-09-28
https://www.park24.co.jp/news/2026/09/20260928-1.html - Comisión japonesa de Protección de Información Personal, informe anual FY2025
https://www.ppc.go.jp/aboutus/report/annual_report_2025/ - FAQ de la autoridad japonesa sobre datos filtrados y daño patrimonial
https://www.ppc.go.jp/all_faq_index/faq1-q6-11_/ - Agencia de Servicios Financieros de Japón, reforma de verificación de identidad
https://www.fsa.go.jp/common/ronten/202510/05.pdf - JICC, sistema de declaración preventiva
https://www.jicc.co.jp/comment/ - UK NCSC, Impact of AI on cyber threat from now to 2027
https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027 - Europol, IOCTA 2025
https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data - Tokyo Shoko Research, incidentes de datos personales en 2025
https://www.tsr-net.co.jp/data/detail/1202348_1527.html
