クラブツーリズムは、システム構築を委託している会社から、構築中のサーバの一部が不正アクセスを受けたと10月30日に報告を受け、顧客の個人情報が漏えいした可能性があると公表しました。海外ツアーの申込者のローマ字氏名、生年月日、旅券番号などと、写真コンテスト応募者の氏名などが対象です。専門会社の調査では、情報が送出された明確な痕跡は確認されなかったとしています。
目次
事故の概要
- 組織
- クラブツーリズム株式会社この組織の事故はほかに1件
- 件数
- 不明海外ツアーの航空券手配ログに含まれる情報3,349件、「旅の思い出」写真大募集の応募情報5,078件（最初の公表では約4,000件、11月26日の公表では写真コンテスト応募の約5,330件）
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 可能性あり
- 原因
- 不正アクセス（委託先：社名非公表）
推奨される対応
クラブツーリズム株式会社からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいしたおそれがある情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
クラブツーリズム株式会社からの案内を確かめる
個別の連絡と問い合わせ窓口は、会社の発表でご確認ください。
クラブツーリズム株式会社の発表を開くリンク先：club-tourism.co.jp
- STEP 2
ご自身でできる対応
- 1
本人確認書類の画像が漏えいしたおそれがあるため
優先本人確認書類などが悪用され、身に覚えのない契約や口座開設が行われていないかご確認ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知10/30
- 初動対応—
- 公表11/1
- 続報11/26
- 調査結果12/6
- 再発防止策—
検知2024年10月30日
10月30日19時過ぎに、委託しているシステム会社から、構築中のサーバの一部が不正アクセスを受けたとの報告を受けました。クラブツーリズムはそのサーバの隔離を実施し、対策本部を設置したとしています。
公表2024年11月1日
クラブツーリズムは、10月30日に確認したサーバへの不正アクセスで、外部に漏えいした可能性のあるデータに個人情報が含まれていたと公表しました。被害を受けたのはサービス提供前の新規構築中のサーバで、同社のウェブサイトなどには影響がないとしています。
漏えいの可能性があるのは、海外ツアーの申込みから帰国までの期間が2020年3月〜8月、2023年10月、2024年9月に含まれる一部の参加者のローマ字氏名、性別、年齢、生年月日、航空券予約番号、旅券番号で、約4,000件です。クレジットカード情報などの決済情報は含まれないとしています。
警察に相談し、同日、個人情報保護委員会に報告しました。対象者には個別にメールか手紙で連絡するとしています。
続報2024年11月26日
第2信として、調査で、外部に漏えいした可能性のあるデータに、写真コンテストの応募者の個人情報が含まれていたことが分かったと公表しました。1998年11月から2024年11月までに応募した人の氏名、ペンネーム、居住する都道府県で、約5,330件です。
住所、メールアドレスなどの連絡先、決済情報、応募した写真そのものは含まれないとしています。専門会社の調査では、現時点で外部に漏えいした痕跡は確認されておらず、二次被害のおそれは低いと考えているとしています。
調査結果2024年12月6日
外部の専門調査会社の調査結果を踏まえ、経緯、原因、再発防止策を公表しました。サーバへの不正なアクセスは確認され、対象の顧客情報は閲覧できる状態にあったものの、情報が送出された明確な痕跡は確認されなかったとしています。ほかのサーバへ被害が広がった痕跡もないとしています。
対象は、航空券手配に関するログ（2020年3月〜8月、2023年10月）に含まれる3,349件と、写真大募集の応募情報5,078件です。住所、電話番号、メールアドレスなどの連絡先と決済情報は含まれず、個人情報を悪用された被害の報告は入っていないとしています。
原因は、システム構築を委託している外部業者が、構築中のサーバに適切なセキュリティ対策をとらなかったこととしています。再発防止として、委託先のアクセス制限の確認と管理・監督の強化、侵入されたサーバ環境の破棄と再構築、検知・監視システムの導入を進めるとしています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。