一分钟新闻
▶ 日本汽车共享服务 Times Car 约660万个账户的个人信息遭到泄露。其中，约160万个账户的资料包含驾驶证等身份验证文件的照片。
▶ 日本民众接连申请补办驾驶证，但警方认为，由于证件号码只有部分发生变化，补办对防止身份冒用的效果有限。
◆ 发生了什么
在日本，连已经退出汽车共享服务的用户的驾驶证照片也遭到泄露。
Times Car运营商Times Mobility的母公司Park24表示，外部人员于今年9月未经授权访问其信息系统，获取了约660万个账户的信息。受影响的不仅有现有会员，还包括已退会的会员和尚未完成注册的申请者。
泄露的信息因账户而异，包括姓名、地址、出生日期、联系方式和驾驶证信息等。约160万个账户的驾驶证等身份验证文件照片也被窃取。公司称，信用卡信息没有泄露。
消息公布后，日本各地警察署和驾驶证中心接到大量补办驾驶证的咨询。许多人担心照片已经泄露，认为换领新证会更安全。但日本警方表示，仅靠补办证件难以防止身份冒用。
◆ 意义分析
此次事件值得关注的一点是，退会用户的照片为何仍被留存。Park24在用户退会后仍保存其个人信息约7年。
公司向日本IT媒体ITmedia解释称，这是为了履行税法规定的交易记录保存义务。不过，税法并未要求公司将驾驶证照片也保存7年。公司表示，留存照片是为了防止冒名使用并应对客户咨询。
Times Car也留存了已退会用户的驾驶证照片，这些资料在遭到黑客攻击时一并泄露。
在日本，即使补办驾驶证，通常也只是证件号码末尾几位和照片发生变化。姓名、出生日期等已经泄露的信息仍然不变。犯罪分子仍可能在其他场合冒充受害者，因此日本警方认为，与其补办证件，不如加强金融机构的身份核验。
◆ 不同观点
用户希望补办证件，理由不难理解。照片上有本人面容和驾驶证号码，一旦落入陌生人手中，继续使用原来的证件难免令人不安。
日本警方也允许民众补办证件。不过，拿到新驾驶证，并不等于在金融交易中就能防止他人冒名，这是两回事。
对于信息保存期限，各方看法也不一致。企业认为需要留存资料，以便核查过往交易、处理纠纷；用户则很难预料，注册时提交的身份证件照片在退会后仍会长期保留。
◆ 启示
Times Car事件表明，数据泄露造成的影响可能不会止于遭到攻击的公司。从汽车共享公司泄露的身份证件照片，可能会在其他服务的身份核验过程中被滥用。日本金融厅要求金融机构更严格地核对证件照片与申请人本人，也是出于同样的考虑。
这也是韩国读者熟悉的问题。使用汽车共享、电信、住宿和金融服务时，人们经常需要提交身份证件照片。韩国个人信息保护委员会去年收到447起数据泄露报告，今年仅上半年就收到432起。
这并不意味着韩国发生了与Times Car相同的事件，但企业确实有必要检查服务器中存储的个人信息数量及其保存期限。
目前尚未公开此次黑客攻击的具体途径，因此不能将勒索软件或某种特定安全设备的漏洞认定为事故原因。主要启示在于，敏感资料被保存了很长时间。
◆ 应对之道
企业应将交易记录与身份证件照片分开管理。即使法律要求保存交易记录，也应审视是否有必要在同样期限内留存照片原件。
如果确实必须保存照片，就应明确说明保存理由和期限；期限届满后，还应确认照片是否已从工作文件和备份中一并删除。
身份核验方式也在发生变化。日本金融厅计划从明年4月起，取消非面对面身份核验中上传身份证件图像的方式，原则上改为读取卡片内置IC芯片的信息。
这一做法利用了仅凭泄露的照片无法读取实体卡芯片信息这一点。金融厅也已要求金融机构不要等到实施日期，而应尽早完成转型。
如果在韩国收到身份证件照片泄露通知，应首先通过相关公司的官方网站或客服中心确认具体泄露了哪些信息。随后还应留意是否出现以本人名义进行的陌生金融交易。
如果担心有人发起新的交易，可以通过所使用的金融机构应用程序或“账户信息”平台，申请“非面对面开户安心拦截”和“信贷交易安心拦截”。前者可阻止未经本人同意的非面对面开户，后者则会限制贷款、发卡等相关交易。由于有需要时必须解除拦截，申请前最好先确认具体限制范围。