3 000 yens pour un scan de permis : la fuite de Times Car au Japon et le prix de l’identité
Combien vaut la copie de votre permis de conduire ? Le Japon dispose désormais d’une réponse concrète, bien que contestée. Park24, le groupe de stationnement et de mobilité qui exploite le service d’autopartage Times Car, versera 3 000 yens en espèces ou en bons d’achat à environ 1,46 million d’utilisateurs dont les images de pièces d’identité ont été exfiltrées lors d’une cyberattaque détectée en septembre.
Les chiffres derrière les excuses
L’enquête technique publiée vendredi dresse un tableau étendu. Pour environ 6,6 millions de comptes Times Car, des données personnelles comme les noms, adresses, dates de naissance et informations de permis ont été consultées et transférées par les intrus. Un groupe plus restreint, d’environ 1,46 million, a également vu des scans chiffrés de permis et de documents similaires sortir des systèmes : c’est ce groupe qui recevra le paiement. Park24 en estime le coût à environ 4,4 milliards de yens et prévoit une perte exceptionnelle de 5,5 milliards de yens pour l’exercice qui se termine ce mois-ci, autres frais liés à l’incident compris.
L’entreprise souligne que les images étaient stockées chiffrées et que leur transfert ne signifie pas qu’elles soient lisibles aujourd’hui. Elle admet toutefois qu’un déchiffrement futur ne peut être exclu, et c’est précisément pour cela qu’elle paie.
Pourquoi 3 000 yens semblent peu à certains
Un cabinet d’avocats rassemble déjà des victimes en vue d’une action en dommages et intérêts ; plus de 90 000 personnes se seraient inscrites. Il juge le montant bien trop faible au regard du risque d’usurpation d’identité et du temps que les victimes devront consacrer aux conséquences. La critique pointe une vraie asymétrie : pour l’entreprise, 3 000 yens multipliés par 1,46 million représentent une charge ponctuelle douloureuse. Pour une personne dont l’image du permis réapparaît des années plus tard dans une demande frauduleuse de crédit ou de forfait mobile, le coût pourrait être bien plus élevé et bien plus difficile à prouver.
Le Japon connaît ce schéma. Les indemnités de quelques centaines à quelques milliers de yens sont devenues un rituel d’entreprise après les grandes fuites. Elles reconnaissent un préjudice sans admettre de perte précise et fixent un prix de marché informel de la vie privée que les tribunaux ont rarement contesté à grande échelle.
La vraie leçon : ne pas collecter ce qu’on ne peut pas protéger
Les services d’autopartage doivent vérifier qu’un conducteur est titulaire du permis, mais conserver indéfiniment des millions d’images complètes de documents est un choix de conception, pas une fatalité. La vérification pourrait être faite une fois, puis l’image supprimée ou remplacée par un simple indicateur de confirmation. Chaque scan conservé est un risque qui attend son attaquant.
La fuite survient aussi lors d’une semaine tendue pour la cybersécurité japonaise : le groupe internet GMO a demandé au gouvernement d’adopter une « cyberdéfense active » après des transactions non autorisées via ses services. Les entreprises découvrent que le coût d’un incident inclut désormais indemnisations, procès et perte de confiance, et pas seulement des réparations informatiques.
Pour les utilisateurs de Times Car, le conseil pratique est sans éclat : surveiller courriers et appels inhabituels, se méfier des messages évoquant la fuite et vérifier si possible ses dossiers de crédit. Pour tous les autres, l’affaire fournit une question utile à poser à toute application qui réclame une photo de votre pièce d’identité : avez-vous vraiment besoin de la garder ?