Japonya'da sızıntının bedeli kimlik doğrulamaya taşındı, bankalar çipe geçmeye zorlanıyor

Tokyo Kasumigaseki'de Finansal Hizmetler Ajansı'nın da bulunduğu cam cepheli yüksek hükümet binası — Finansal Hizmetler Ajansı ve Eğitim Bakanlığı'nın yer aldığı Kasumigaseki Common Gate, Tokyo (Ekim 2012) — arşiv fotoğrafıFotoğraf: Rs1421 / Wikimedia Commons · CC BY-SA 3.0 · boyutlandırıldı · Kaynak

Önemi

Gürültü: Japonya'yı yapay zekâ destekli bir hacker dalgası vuruyor. Sinyal: kısıt saldırganın aracında değil, kimlik katmanında. 9 Ekim itibarıyla saldırılarda yapay zekâ kullanıldığına dair kesin iz yok; buna karşılık yaklaşık 1,6 milyon hesabın ehliyet ve adres belgesi görüntüsü dolaşımda. Görüntüyle uzaktan hesap açma 1 Nisan 2027'ye kadar yasal. FSA bankalardan IC çip okumaya erken geçmelerini istedi, ama bu bir genelge, yasa değil. Sızan görüntü geri alınamıyor; ehliyet yenilemek yalnızca numarayı ve fotoğrafı değiştiriyor.

Etkiler

Park24'ün 29 Eylül açıklamasına göre Times Car sızıntısında yaklaşık 1,6 milyon hesabın ehliyet, adres belgesi ya da öğrenci kartı görüntüsü çalındı; en az 16 vilayet ehliyet numarasını değiştiren özel yenilemeye başladı.
FSA 9 Ekim'de bankalar, aracı kurumlar, sigortacılar ve kripto şirketlerinden görüntüyle kimlik doğrulamayı 1 Nisan 2027'den önce bırakıp IC çip okumaya geçmelerini istedi; METI uyarıyı yaklaşık 1.000 sektör derneğine iletti.
Temairazu'da 4,45 milyona kadar konuğun rezervasyon verisi risk altında ve sahte ödeme mesajları 21 Eylül'den beri gönderiliyor; çalınan veri doğrudan dolandırıcılığa çevriliyor.

Gürültü

Japonya'yı yapay zekâ destekli bir hacker dalgası vuruyor.

Sinyal

Kısıt kimlik katmanında: görüntüyle hesap açma 2027'ye kadar yasal ve FSA erken geçiş istiyor.

Sinyal ve Gürültü ›

Japonya'da sızıntının bedeli kimlik doğrulamaya taşındı, bankalar çipe geçmeye zorlanıyor haritası

Manşet saldırganı konuşuyor, kısıt kimlikte

Ekim'in ilk haftasında Japonya'da manşet tekti: 2–9 Ekim arasında en az 11 kurum ve bakanlık aynı sızıntı dalgası için ayrı uyarı yayımladı. Tartışmanın merkezinde saldırganın yapay zekâ kullanıp kullanmadığı vardı. Piyolog'un 11 Ekim derlemesine göre resmî uyarılarda 9 Ekim itibarıyla yapay zekâ kullanımını kesin gösteren bir iz yer almıyor. JPCERT/CC ise 8 Ekim'de saldırıların tek bir yöntemle yapıldığını gösteren bir bulgu olmadığını vurguladı.

Gözden kaçan parametre şu: sızıntının bedeli bilgisayar sisteminden kimlik doğrulama katmanına taşındı. Park24'ün 29 Eylül tarihli 3. açıklamasına göre Times Car sızıntısında yaklaşık 1,6 milyon hesabın ehliyet, fatura gibi adres belgesi ya da öğrenci kartı görüntüsü dışarı çıktı. Bu görüntüler, Japonya'da bankaların ve fintech şirketlerinin uzaktan hesap açarken bugün hâlâ kabul ettiği belgelerin ta kendisi.

Yasa 2027'yi bekliyor, genelge öne çekmeye çalışıyor

FSA'nın 9 Ekim tarihli yazısı bu boşluğu adıyla koyuyor. Suç gelirlerinin aklanmasını önleme yönetmeliği, kimlik belgesi görüntüsü göndererek uzaktan doğrulamayı 1 Nisan 2027'de kaldırıyor ve IC çip okumayı esas yöntem yapıyor. FSA bankalardan, aracı kurumlardan, sigortacılardan, kripto şirketlerinden ve para transferi şirketlerinden bu tarihi beklememelerini istedi. Ajans ayrıca görüntü ile yüz fotoğrafı arasındaki tutarsızlıkların yeniden kontrol edilmesini ve üçüncü taraf risk yönetiminin denetlenmesini talep etti.

Talep bağlayıcı değil. Jiji'ye göre Bakan Satsuki Katayama 9 Ekim'de IC çip okumayı son derece etkili bir önlem olarak tanımladı, ama geçiş için yeni bir tarih koymadı. Yani yaklaşık 6 ay boyunca iki rejim yan yana yaşayacak: erken geçen büyük kurumlar ve yönetmelik tarihini bekleyen küçük kurumlar. Sahtecilik ilk olarak ikinci gruba yönelir; bu yönelim yapısal, çünkü görüntü stoku 1,6 milyon hesapla zaten piyasada.

Sızan görüntü geri alınamıyor

Kurumların tek somut yanıtı ehliyet yenileme oldu. Rocket Boys'un 10 Ekim derlemesine göre en az 16 vilayet sızıntıdan etkilenenlere numarası ve fotoğrafı değişen özel yenileme yapıyor. Aichi'de 7 Ekim'e kadar 74 kişi yeni ehliyet aldı, Fukuoka'da 8 Ekim'e kadar 120 başvuru yapıldı. Bu rakamlar 1,6 milyonluk stokun yanında küçük; ehliyet yenilemek ad, adres ve doğum tarihini de değiştirmiyor.

Masraf da belirsiz. Aynı derlemeye göre olağan yenileme ücreti 1.500–2.700 yen arasında ve Park24 tazminat politikasını 10 Ekim itibarıyla açıklamadı; Niigata ücretin kişiye ait olduğunu duyurdu. Yani kimlik riskinin maliyeti şirketten bireye ve bireyden doğrulama yapan kuruma kayıyor.

Çalınan veri dolandırıcılığa dönüşüyor

İkinci halka hızla oluşuyor. Otel rezervasyon yazılımı Temairazu 9 Ekim'de en fazla yaklaşık 4,45 milyon konuğun ad, telefon, e-posta ve konaklama bilgisinin risk altında olduğunu açıkladı. Şirkete göre ilk işaret 21 Eylül'de, konuklara şüpheli mesaj gittiğinde geldi. Cybersecurity-jp'nin 11 Ekim haberine göre bu mesajlar WhatsApp, e-posta ve SMS ile gönderiliyor ve kart bilgisi ya da ödeme istiyor.

İki halka birleşince zincir kapanıyor. Adı, telefonu ve rezervasyonu bilinen bir kişiye inandırıcı sahte mesaj gidiyor; kimlik görüntüsü elde olan bir kişinin adına ise uzaktan hesap açılabiliyor. FSA'nın uyarısı tam bu ikinci adımı, yani sahte hesabı hedefliyor.

Sırada ne var

İzlenecek ilk gösterge, büyük bankaların görüntüyle uzaktan hesap açmayı kapatma tarihi açıklayıp açıklamaması. İkincisi, Ulusal Polis Ajansı'nın sızan belgelerle açılmış hesap vakası raporlayıp raporlamaması. Üçüncüsü, yönetmelikteki 1 Nisan 2027 tarihinin öne çekilmesi.

Talay okuması: en olası yol (%55) büyük kurumların gönüllü ve kademeli geçişi, küçük kurumların tarihi beklemesi. Yasal takvimin öne çekilmesi %30, sızan belgelerle açılan hesapların görünür bir dolandırıcılık dalgasına dönüşmesi %15. Bu son yol, sızıntının siber olay olmaktan çıkıp finansal suç verisine geçtiği yoldur.

Olasılıklar

Senaryolar

Senaryo	Olasılık	Tetikleyici	Piyasa etkisi
H1Gönüllü ve kademeli geçiş	%55	Büyük bankalar görüntüyle hesap açmayı 2027'den önce kapatır, küçük kurumlar 1 Nisan 2027'yi bekler; yeni yasal düzenleme gelmez.	Sahtecilik denemeleri küçük kurumlara kayar ama görünür bir dalgaya dönüşmez; uyum maliyeti kurumlar arasında eşitsiz dağılır.
H2Takvim yasal olarak öne çekilir	%30	Hükümet yönetmelikteki 1 Nisan 2027 tarihini öne alır ya da kripto ve para transferi şirketlerine ek zorunluluk getirir.	Tüm kurumlar aynı anda IC çipe geçer, uzaktan hesap açma kısa süre yavaşlar ve sahtecilik kanalı daralır.
H3Sahte hesap dalgası	%15	Sızan belgelerle açılmış hesaplar dolandırıcılık ya da kara para aracı olarak polis kayıtlarına geçer, FSA idari yaptırıma gider.	Olay siber güvenlikten finansal suç alanına taşınır; kurumların itibar ve tazminat maliyeti büyür.

Modül A

Kısıt Matrisi

YAPISAL ORT. 4,0 · OPERASYONEL ORT. 2,7Yapısal kısıtlar baskın: sonuç, aktörlerin tercihlerinden çok bu sınırlarla belirlenir.

Yapısal kısıtlarkalıcı · iradeden bağımsız

Geri alınamayan belge stoku · Japonya
5/5
Times Car sızıntısında yaklaşık 1,6 milyon hesabın kimlik belgesi görüntüsü çıktı; ehliyet yenileme numara ve fotoğrafı değiştiriyor ama ad, adres ve doğum tarihi aynı kalıyor.
Görüntüyle doğrulamanın yasal ömrü · Japonya
4/5
Suç gelirleri yönetmeliği görüntü göndererek uzaktan kimlik doğrulamayı ancak 1 Nisan 2027'de kaldırıyor; FSA'nın 9 Ekim talebi bağlayıcı değil.
Üçüncü taraf yazılım bağımlılığı
3/5
Temairazu gibi tek bir rezervasyon yazılımı sağlayıcısının açığı 4,45 milyona kadar konuğu etkiliyor; FSA üçüncü taraf risk yönetiminin denetlenmesini istedi.

Operasyonel sürtünmegeçici · zamanla çözülür

Parçalı uyarı sistemi haftalar
3/5
2–9 Ekim arasında en az 11 kurum ayrı uyarı yayımladı; JPCERT/CC 8 Ekim'de bilgi paylaşımı eksikliği nedeniyle tablonun sınırlı bilindiğini belirtti.
İkinci aşama oltalama haftalar
3/5
Temairazu konuklarına 21 Eylül'den beri WhatsApp, e-posta ve SMS ile kart bilgisi isteyen sahte mesajlar gidiyor.
Bireye kalan maliyet haftalar
2/5
Ehliyet yenileme ücreti 1.500–2.700 yen; Park24 10 Ekim itibarıyla tazminat politikasını açıklamadı ve Niigata ücretin kişiye ait olduğunu duyurdu.

Modül B

Sinyal ve Gürültü

SİNYAL %67 · GÜRÜLTÜ %33

GÜRÜLTÜ
Japonya'yı yapay zekâ destekli bir hacker dalgası vuruyor.
Piyolog'un 11 Ekim derlemesine göre resmî uyarılarda 9 Ekim itibarıyla yapay zekâ kullanımını kesin gösteren iz yok; JPCERT/CC tek bir yöntemin kullanıldığını gösteren bulgu olmadığını belirtti.
piyolog — 国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた (11 Ekim 2026)
SİNYAL
Kısıt kimlik katmanında: görüntüyle hesap açma 2027'ye kadar yasal ve FSA erken geçiş istiyor.
FSA 9 Ekim'de kurumlardan 1 Nisan 2027'yi beklemeden IC çip okumaya geçmelerini ve görüntü ile yüz fotoğrafı arasındaki tutarsızlıkları yeniden kontrol etmelerini istedi.
Finansal Hizmetler Ajansı (FSA) — 現下の情勢を踏まえたサイバーセキュリティ対策の強化 (9 Ekim 2026)
SİNYAL
Dolaşımdaki kimlik belgesi görüntüsü stoku büyük.
Park24'ün 29 Eylül tarihli 3. açıklamasına göre yaklaşık 1,6 milyon hesabın ehliyet, adres belgesi ya da öğrenci kartı görüntüsü sızdı.
Park24 — タイムズカーWebシステムへの不正アクセスに関する調査結果（第3報）(29 Eylül 2026)
GÜRÜLTÜ
Kötü niyetli sızıntı olaylarının sayısı patlıyor.
Dijital işler bakanının 2 Ekim'de verdiği rakama göre kötü niyetli sızıntı bildirimleri 2024 mali yılında 7.604, 2025'te 3.822 oldu; büyüyen olay sayısı değil olay başına kayıt hacmi.
piyolog — 国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた (11 Ekim 2026)
SİNYAL
Çalınan veri doğrudan dolandırıcılığa çevriliyor.
Temairazu konuklarına 21 Eylül'den beri otel kılığında WhatsApp, e-posta ve SMS ile kart bilgisi isteyen mesajlar gidiyor; risk altındaki konuk sayısı 4,45 milyona kadar.
Cybersecurity-jp — 手間いらずに不正アクセス、最大約445万人の宿泊予約情報が漏洩した可能性 (11 Ekim 2026)
SİNYAL
Kamunun tek somut yanıtı ehliyet yenileme ve ölçeği küçük.
En az 16 vilayet özel yenileme yapıyor; Aichi'de 7 Ekim'e kadar 74 kişi yeni ehliyet aldı, Fukuoka'da 8 Ekim'e kadar 120 başvuru yapıldı.
セキュリティ対策Lab (Rocket Boys) — タイムズカー情報漏えいで免許証の特例再交付、少なくとも16県 (10 Ekim 2026)

Modül C

Varlık Sınıfı ve Pozisyonlama Çıkarımları

Varlık sınıfı	Maruziyet	Aktarım kanalı	H1	H2	H3	Beklenen	Kanaat	Vade	İzlenecek
Hisse	Japon bankacılık ve dijital finans	IC çip geçiş maliyeti, yavaşlayan müşteri kazanımı ve sahtecilik karşılıkları	0	−	−−	−0,60	●●●	3–12 ay	FSA idari yaptırımları ve bankaların görüntüyle hesap açmayı kapatma tarihleri
Hisse	Japon kimlik doğrulama ve siber güvenlik hizmetleri	IC çip okuma ve tedarikçi denetimi talebinin 2027 öncesine çekilmesi	+	++	+	+1,30	●●●	3–12 ay	Yönetmelik tarihinde değişiklik ve büyük kurumların eKYC ihaleleri
Navlun ve sigorta	Japon siber sigorta primleri	Üçüncü taraf ve kimlik riskinin yeniden fiyatlanması	+	+	++	+1,15	●●●	3–12 ay	Sigortacıların siber poliçe şartı ya da prim değişikliği duyuruları
Kredi	Japon tüketici kredisi ve kart alacakları	Sahte hesap ve oltalama kaynaklı sahtekârlık kayıpları	0	0	−	−0,15	●●●	0–3 ay	Kart şirketlerinin ve Ulusal Polis Ajansı'nın sahtekârlık uyarıları

İkinci tur etkiler

Peki sonra ne olur?

Başlangıç

Times Car sızıntısında yaklaşık 1,6 milyon hesabın ehliyet ve adres belgesi görüntüsü dışarı çıktı; görüntüyle uzaktan hesap açma 1 Nisan 2027'ye kadar yasal kalıyor.

1
Uzaktan kimlik doğrulamahaftalar içinde
Sızan görüntüler, IC çipe henüz geçmemiş kurumlarda başkası adına uzaktan hesap açmak için denenir; saldırgan erken geçen büyük bankalar yerine küçük banka, kripto ve para transferi şirketlerine yönelir.
İzlenecek: Ulusal Polis Ajansı ya da FSA'nın sızan belgelerle açılmış hesap vakası açıklaması
2
Uyum maliyeti ve müşteri kazanımıaylar içinde
Sahte hesaplar dolandırıcılık gelirini taşıyan aracı hesaplara dönüşür; FSA genelgeyi idari yaptırımla destekler ve kurumlar IC çip yatırımını öne çeker, müşteri kazanımı yavaşlar.
İzlenecek: FSA'nın iş geliştirme ya da iş iyileştirme emri ve bankaların görüntüyle hesap açmayı kapatma duyuruları
3
Siber sigorta ve tedarikçi sözleşmeleriaylar içinde
Maliyet sigortaya ve sözleşmelere geçer: siber sigortacılar üçüncü taraf ve kimlik riskini yeniden fiyatlar, büyük şirketler SaaS ve bulut sağlayıcılarından sözleşmeyle güvenlik taahhüdü ister.
İzlenecek: Japon sigortacıların siber poliçe şartı ya da prim değişikliği duyuruları ve Kişisel Bilgileri Koruma Komisyonu'nun 2026 mali yılı ihlal raporu

Zinciri kıran

Kurumların çoğu 2026 sonuna kadar görüntüyle hesap açmayı gönüllü kapatırsa ya da hükümet yönetmelik tarihini öne çekerse sahte hesap kanalı ilk adımda daralır ve zincir durur.

Tetikleyiciler

İzlenecek eşikler

Gösterge	Eşik	Bugün	Anlamı
VIX oynaklık endeksi	> 25	15,41	8 Ekim'de 15,41 olan oynaklık endeksinin 25'i aşması, Asya'daki sızıntı dalgasının yerel bir uyum maliyeti olmaktan çıkıp küresel risk iştahını etkileyen bir olaya dönüştüğünü gösterir.

Kaynaklar

Kaynak ve doğrulama kuralları: metodoloji · Hata bildirimi: iletişim

İlgili raporlar

VTeknoloji ve YZ·Analiz·Asya-Pasifik

Pekin nadir toprağı yasakla değil, lisansın hızıyla yönetiyor

AB 9 Ekim'de lisanslarda yeşil kanal sözü aldı. Aynı dönemde Japonya'ya terbiyum sevkiyatı ocak–ağustosta sıfırdı. Kontrol tek bir yasak değil, alıcıya göre ayarlanan bir onay hızı.

Teknoloji Jeopolitiği Masası · 11 Ekim 2026 · 7 dk

VTeknoloji ve YZ·Analiz·Asya-Pasifik

Yapay zekâ donanımında kısıt çip değil, paketleme ve optik bağlantı

ABD bu hafta iki ucu birden çekti: Çinli optik alıcı-vericilere olası FCC kısıtı fiyatlandı, TSMC'nin paketlemesi için ilk ABD ara katman kaynağı açıklandı. İki adımın da ikamesi 2028'den önce gelmiyor.

Teknoloji Jeopolitiği Masası · 10 Ekim 2026 · 7 dk

IISiber ve Altyapı·Analiz·Asya-Pasifik

Japonya'nın siber kısıtı yedeklerin saldırıyla aynı altyapıda durması

IDCF Cloud saldırısında 495 müşteri etkilendi, ama ayrımı yedeğin yeri yaptı: Google Cloud'da yedeği olan Movable Type taşındı, yedeği aynı altyapıda duran Soliton yeniden kuruyor.

Siber ve Kritik Altyapı Masası · 9 Ekim 2026 · 6 dk