La empresa japonesa de alquiler de autos Times Car reportó una pérdida de ¥5.500 millones (aproximadamente USD 36 millones) tras la filtración de datos personales —incluyendo licencias de conducir— de 1,46 millones de personas, ocurrida en septiembre de 2026. El caso se convierte en una referencia concreta sobre el costo financiero real de una brecha con datos sensibles a escala masiva.
La filtración fue divulgada según se informó en septiembre de 2026 y comprometió información de identidad de alta sensibilidad: licencias de conducir, documentos que en la mayoría de los sistemas legales constituyen datos personales con protección reforzada. El impacto económico declarado por la compañía —¥5.500 millones— posiciona al incidente entre los más costosos en el sector de servicios de movilidad a nivel regional en Asia-Pacífico. Según reportó DataBreaches.net, el caso está generando alarma en el empresariado japonés sobre la exposición financiera derivada de sistemas de ciberseguridad deficientes.
Datos confirmados del incidente Times Car
- Registros comprometidos: 1.460.000 personas
- Tipo de dato expuesto: datos personales, incluyendo licencias de conducir
- Fecha del incidente: septiembre de 2026
- Pérdida financiera declarada: ¥5.500 millones (aprox. USD 36 millones)
- Causa señalada: según se informó, deficiencias en los sistemas de ciberseguridad de la empresa
Qué se sabe y qué falta confirmar
La cifra de pérdida de ¥5.500 millones fue reportada por la propia empresa, aunque no se detallaron públicamente los componentes exactos de ese cálculo: si incluye costos de respuesta al incidente, indemnizaciones, multas regulatorias o daño reputacional proyectado. Tampoco se confirmó si la Comisión de Protección de Información Personal de Japón (PPC, por sus siglas en inglés) abrió una investigación formal ni cuál es el plazo de notificación regulatoria aplicable bajo la Ley de Protección de Información Personal (APPI) vigente. El vector de ataque tampoco fue especificado en la información disponible.
El caso tiene resonancia directa para empresas de LATAM que operan con datos de identidad documental —licencias, DNI, pasaportes— bajo marcos como la Ley 25.326 de Argentina, la LGPD brasileña o la Ley Estatutaria 1581 de Colombia. En esas jurisdicciones, la exposición de documentos de identidad activa obligaciones de notificación a la autoridad de control y, en algunos casos, a los titulares afectados, con plazos que van de 72 horas (LGPD, artículo 48) a criterios más amplios como los del INAI en México. La magnitud del daño financiero reportado por Times Car —equivalente a aproximadamente USD 24,60 por registro comprometido— puede ser un parámetro útil para ejercicios de cuantificación de riesgo en organizaciones de la región.
El próximo hito a seguir es si la PPC japonesa emite una resolución formal con multa o requerimiento de adecuación, lo que fijaría un precedente regulatorio sobre el costo institucional de controles insuficientes sobre datos de identidad.
