个人信息泄露新闻多到让人麻木。看到“姓名和邮箱泄露”，很多人的第一反应已经变成“又来了”。
但2026年9月的Times Car事件性质更重。
Park24于9月28日公布，Times Car网页系统遭到未经授权的访问，约660万个账户的部分信息已被第三方实际取得。受影响者不仅包括现有会员，还包括已退会用户、申请加入但没有完成入会的人，以及企业会员和已退会企业会员。
泄露项目因人而异，但可能包括姓名、地址、出生日期、电话号码、邮箱、驾驶证信息、身份核验文件信息和驾驶证图像。
这已经不只是“通讯录”，而更像一套“身份核验资料包”。
1. 比660万这个数字更重要的是数据组合
邮箱单独泄露，主要风险通常是垃圾邮件和钓鱼。
如果姓名、地址、生日、电话和身份证明文件彼此关联，第三方就能更像一个真实的人。
日本个人信息保护委员会也区分普通联系方式泄露与可能通过冒充本人导致财产损失的情形。
因此，这起事件真正令人不安的是身份材料被成套关联。
2. 连退会用户都在其中，心理冲击特别大
退会后企业仍保留部分数据，并不自动等于违法。合同、会计、反欺诈或争议处理都可能构成一定期限保留的合理理由。
但用户很难接受这样的体验：早已不用的服务，几年后却通知你，旧账户里的身份证明资料也在受影响范围内。
真正的问题是企业能否解释清楚：保存什么、为什么保存、保存多久。
数据是资产，保存得过多过久时，一旦泄露也会变成负债。
3. 驾驶证图片泄露不等于可以立刻开银行账户
这一点需要避免夸张。
日本的远程身份核验并不是一种统一流程。不同服务可能组合使用证件图像、实时人脸拍摄、IC芯片、公的电子认证等方式。
因此，仅持有一张保存下来的驾驶证图片，并不意味着可以轻松通过所有金融机构的身份核验。
日本金融监管部门也正在淘汰风险较高的远程核验方式，相关改革计划于2027年4月1日实施。
活体确认和芯片核验，本来就是为了降低静态被盗图片的价值。
4. 真正长期麻烦的是它能提高冒充的可信度
一张驾驶证照片并不是万能钥匙。
但姓名、住址、生日、电话和证件信息组合在一起，会让定向诈骗和冒充联系显得更可信。
信用卡号可以停用重发，出生日期和历史地址却很难更换。
日本信用信息机构JICC明确允许在“证件本体没有丢失、但图片等信息泄露”的情况下登记“防止名义滥用”的本人申报信息，最长可登记五年。
这不是说一定会被滥用，而是制度本身已经把这种情况视为需要防范的风险。
5. 信用卡泄露与身份资料泄露，是两种不同的地狱
Park24表示，本次事件未确认信用卡信息泄露。这一点非常重要。
信用卡泄露的风险更偏向短期、直接的财产损失，但可以停卡、补发、换号。
问题是之后要把流媒体、电商、手机支付、水电费、交通、云服务以及早已忘记的订阅全部改成新卡号。
身份资料则不同。它不一定立刻造成扣款，但很多信息无法更换。
信用卡是短时间高强度的善后，身份资料是长期低强度的警戒。
6. 真正的损失应该把“善后税”算进去
事故通知常写“目前未确认金钱损失”。
这当然重要，但并不是全部成本。
用户仍可能要检查密码、辨别异常短信、研究信用信息机构的防范机制、更换支付信息、阅读后续公告，并在几个月后仍对可疑联系保持警惕。
这些工作完全可能吃掉几个小时甚至整整一天。
企业发生的是安全事件，用户接到的却是一份突然出现、没有工资的安全行政工作。
7. AI是不是让这种犯罪变多了
截至2026年9月30日，没有公开证据显示Times Car此次入侵由AI造成，原因仍在调查。
但从一般趋势看，官方网络安全评估越来越明确地认为AI会提高犯罪效率。
英国NCSC在2025年的评估中指出，AI已经能提高侦察、漏洞研究、社会工程、基础恶意代码生成和泄露数据处理等环节的效率，并可能在2027年前提升网络入侵的频率和影响。
重点不是“AI自己变成超级黑客”。
更现实的是，人提供知识和意图，AI降低搜索、整理、写作和重复操作的成本。
NCSC同时认为，到2027年高级网络攻击从头到尾完全自动化仍不太可能，熟练人员仍需参与。
8. 主流AI有安全限制，也不能让问题消失
犯罪者并不一定需要一个AI完成全部工作。
已有知识、公开信息、被盗数据、普通软件、专用工具和人的判断可以被组合起来。
Europol的2025年IOCTA指出，被盗数据本身已经成为网络犯罪经济的重要商品，为诈骗、勒索和勒索软件等活动提供燃料。
因此，与其说AI发明了新的犯罪，不如说它可能减少既有犯罪中的繁琐步骤。
9. “最近泄露太多了”在统计上比体感复杂
东京商工调查数据显示，2025年日本上市公司及其子公司公开的个人信息泄露和丢失事故为180起，比2024年的189起下降4.7%。
但受影响人数约3064万人，比上一年增加93.1%，主要因为出现了6起涉及100万人以上的大型事故。
日本个人信息保护委员会2025年度处理的民间数据泄露报告也为17,139件，低于上一年度的19,056件。
所以，并不能简单说事故数量每年都在暴涨。
更准确的说法是：一次大型事故就可能覆盖几百万人，而且泄露数据越来越有再次利用的价值。
10. 结论——把被偷走的周末也算进损失
Times Car事件真正麻烦的，不只是660万这个数字。
退会用户也被卷入，身份文件被涉及，很多字段无法更换，而且即使暂时没有确认滥用，用户仍要长期保持警惕。
信用卡泄露，可能毁掉一个周末去改卡号。
身份资料包泄露，则可能变成更长时间的背景任务。
企业叫它“事件响应”。
用户感受到的，是突然被安排的一份无薪安全工作。
计算数据泄露的真实损失时，不能只数被偷的钱。
被浪费的周末也应该算进去。
参考资料
- Park24，Times Car未经授权访问第二次报告，2026-09-28
https://www.park24.co.jp/news/2026/09/20260928-1.html - 日本个人信息保护委员会，2025年度年报
https://www.ppc.go.jp/aboutus/report/annual_report_2025/ - 日本个人信息保护委员会FAQ
https://www.ppc.go.jp/all_faq_index/faq1-q6-11_/ - 日本金融厅身份核验改革资料
https://www.fsa.go.jp/common/ronten/202510/05.pdf - JICC防止名义滥用申报
https://www.jicc.co.jp/comment/ - UK NCSC, Impact of AI on cyber threat from now to 2027
https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027 - Europol, IOCTA 2025
https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data - 东京商工调查，2025年上市公司个人信息泄露调查
https://www.tsr-net.co.jp/data/detail/1202348_1527.html
