Para: personas registradas como socios de internet en el sistema de reservas por internet de Club Tourism (quien haya creado una cuenta web para reservar viajes); también pueden verse implicadas las personas indicadas como contacto de emergencia de alguien. Este artículo se basa en el aviso oficial de la empresa y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas registradas como socios de internet en el sistema de reservas por internet de Club Tourism (quien haya creado una cuenta web para reservar viajes); también pueden verse implicadas las personas indicadas como contacto de emergencia de alguien.
- Confirmado hasta ahoraVer la tabla ↓
- Acceso no autorizado
- Cifra
Señalado como posiblemente afectado
- Nombre (kanji/kana), nacionalidad, sexo, fecha de nacimiento, edad, dirección, teléfono, correo, número de socio, contacto de emergencia
- Si se extrajeron datos
- Aún sin confirmar
- Detalles de cómo ocurrió la intrusión y su causa
- Si los datos se extrajeron realmente (el aviso dice que pueden haberse filtrado)
- Cuándo llegarán los avisos individuales a los afectados
2 más
- Cuándo se reanudarán el sitio web, Mi Página y otros servicios
- Si se produce algún uso indebido
- Qué hacer ahoraVer los pasos ↓
- Sepa cómo saber si puede estar afectado
- Compruebe cualquier mensaje que diga proceder de la empresa sin usar sus enlaces ni números
- Compruebe si reutilizó una contraseña
2 más
- Avise a las personas que indicó como contactos de emergencia
- Use solo el contacto del aviso
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Club Tourism Co., Ltd., «Disculpas y aviso sobre la filtración de información personal por acceso no autorizado (primer informe)» (31 de octubre de 2026; consultado el 1 de noviembre; en japonés)
- Última comprobación
- A 1 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa llama «primer informe» a su aviso del 31 de octubre y dice que recoge los hechos conocidos hasta ahora. Afirma que contactará por turnos a las personas cuya información pueda haberse filtrado y que seguirá investigando con la ayuda de organismos de investigación y afines. El 1 de noviembre consultamos la página de avisos y el sitio de viajes de la empresa y no encontramos un segundo informe. El sitio de viajes decía estar en mantenimiento del sistema y que Mi Página, el pago con tarjeta de crédito y la comprobación de documentos de las solicitudes web no estaban disponibles.
Qué deben hacer los socios
Sepa cómo saber si puede estar afectado
Según el aviso, el alcance es la información de las personas registradas como socios de internet en el sistema de reservas por internet. No se ven afectadas las personas que nunca se registraron como socios de internet. La empresa dice que contactará por turnos a las personas cuya información pueda haberse filtrado.
Si alguna vez registró una cuenta web de socio, suponga que puede estar afectado y prepárese mientras espera noticias de la empresa.
Compruebe cualquier mensaje que diga proceder de la empresa sin usar sus enlaces ni números
El nombre, la dirección, el número de teléfono, el correo electrónico y el número de socio son material para una falsificación convincente. Si llega una llamada, un correo o un mensaje de texto sobre un «reembolso del pago de un tour», un «cambio o cancelación de un tour», la «confirmación de los datos de socio» o unas «disculpas», no use el enlace ni el número de teléfono que contiene. Compruébelo en el sitio oficial que usted mismo abra, en una sucursal o a través del contacto del aviso.
La empresa dice que, en relación con este incidente, nunca pedirá por teléfono, correo electrónico, SMS ni correo postal números de tarjetas de crédito, datos de cuentas bancarias, PIN, ID y contraseñas, ni el My Number. No abra URL sospechosas, no abra archivos adjuntos y no introduzca datos personales ni de autenticación.
Compruebe si reutilizó una contraseña
La empresa dice que no se incluyen contraseñas de inicio de sesión. Aun así, pide a quienes usan en otros servicios la misma contraseña que en el suyo que consideren cambiarla como precaución.
- Cambie a una contraseña distinta de la de sus otros servicios y difícil de adivinar (Cómo comprobar si su contraseña se filtró)
- Active la autenticación multifactor donde pueda
Avise a las personas que indicó como contactos de emergencia
El contacto de emergencia es uno de los datos afectados y el aviso no dice qué contiene. Si registró a familiares, dígales que tengan cuidado con los mensajes que digan proceder de la empresa o de una agencia de viajes (consejo de este sitio).
Use solo el contacto del aviso
La empresa ha habilitado una línea de atención específica: número gratuito 0120-335-255, abierta los días laborables (de lunes a viernes) de 9:30 a 17:00 y, en noviembre, también sábados, domingos y festivos en el mismo horario. Es el contacto para mensajes sospechosos que digan proceder de la empresa y para daños o cualquier anomalía que crea relacionada con este incidente.
1. Llamada / correo / SMS que dice ser de Club Tourism
Nombre, dirección, número de socio correctos → no decida aquí
↓
2. Ignore los enlaces y números; compruebe en el sitio oficial, en una sucursal o en el contacto del aviso
↓
3-A Nada en el lado oficial
Pide números de tarjeta, PIN, contraseñas → no cumpla
3-B El lado oficial muestra el mismo aviso
Siga las instrucciones oficiales
Qué ocurrió (según Club Tourism)
Esta sección se basa en el aviso de la empresa «Disculpas y aviso sobre la filtración de información personal por acceso no autorizado (primer informe)» del 31 de octubre de 2026 y en el mensaje de su sitio de viajes (consultado el 1 de noviembre).
30 de octubre de 2026, 5:45
Se detecta un acceso no autorizado desde el exterior. Comienza la investigación; se corta la comunicación con la parte afectada y se toman las medidas de seguridad necesarias30 de octubre
La investigación confirma que parte de la información de clientes que posee puede haberse filtrado al exterior (la fecha indicada en el aviso)31 de octubre
Se publica el primer informe. Dice que consultó a la policía e informó a la Comisión de Protección de Información Personal y a su autoridad supervisora1 de noviembre
El sitio de viajes decía estar en mantenimiento del sistema, con Mi Página, el pago con tarjeta de crédito y la comprobación de documentos de las solicitudes web no disponibles (comprobado por este sitio)
- Información afectada
- Nombre (kanji y kana), nacionalidad, sexo, fecha de nacimiento y edad, dirección, número de teléfono, dirección de correo electrónico, número de socio y contacto de emergencia de las personas registradas como socios de internet en el sistema de reservas por internet. Unos 4,32 millones de registros
- No incluido
- Contraseñas de inicio de sesión, datos de pasaporte, datos de tarjetas de crédito, números de cuentas bancarias. No se ven afectadas las personas que nunca se registraron como socios de internet
- Respuesta de la empresa
- Aisló el servidor afectado y cortó la comunicación desde el origen. Identificó la vía y el método de intrusión y realizó trabajos correctivos, entre ellos corregir los problemas y comprobar el alcance y la existencia de eventos similares. El sitio web está detenido para evitar más daños e investigar, y se reanudará cuando se confirme la seguridad
- Daño secundario
- Hasta ahora no se ha confirmado ningún daño secundario concreto atribuido a este incidente
- Próximos pasos
- Contactar por turnos a las personas cuya información pueda haberse filtrado. Policía consultada; informadas la Comisión de Protección de Información Personal y la autoridad supervisora. La investigación continúa con la ayuda de organismos de investigación y afines
En cuanto a la sociedad matriz de la empresa, KNT-CT Holdings Co., Ltd., el 1 de noviembre consultamos su lista de noticias de IR de 2026 y no encontramos ninguna comunicación sobre este incidente (la última entrada era un informe mensual de ventas del 9 de octubre). La página del aviso enlaza con el sitio de la sociedad matriz.
Qué se sabe y qué no
Este es el estado a 1 de noviembre de 2026. Reescribiremos esta tabla a medida que aparezcan novedades.
| Elemento | Lo que dijo la empresa | Estado |
|---|---|---|
| Acceso no autorizado | Detectado a las 5:45 del 30 de octubre de 2026; acceso no autorizado desde el exterior a parte de sus servidores | Confirmado (empresa) |
| Nombre (kanji/kana), nacionalidad, sexo, fecha de nacimiento, edad, dirección, teléfono, correo, número de socio, contacto de emergencia | La información de socios de internet en el sistema de reservas por internet puede haberse filtrado al exterior; unos 4,32 millones de registros | Posible (empresa) |
| Contraseñas de inicio de sesión | No incluidas | No incluidas (empresa) |
| Datos de pasaporte | No incluidos | No incluidos (empresa) |
| Datos de tarjetas de crédito | No incluidos (el sitio de viajes ha detenido el pago con tarjeta) | No incluidos (empresa) |
| Números de cuentas bancarias | No incluidos | No incluidos (empresa) |
| Personas que no son socios de internet | No afectadas | No incluidas (empresa) |
| Cifra | Unos 4,32 millones; el aviso dice «registros», no personas | Confirmada (empresa, primer informe) |
| Causa y vía | Vía y método identificados y corregidos; no se dan detalles | En investigación |
| Si se extrajeron datos | Dice «pueden haberse filtrado»; no dice que se haya confirmado la extracción | Posible (empresa) |
| Uso indebido / daño secundario | Hasta ahora no se ha confirmado ningún daño secundario concreto | No confirmado (empresa) |
| Contacto con los afectados | Contactará por turnos a las personas cuya información pueda haberse filtrado | En investigación (plazo no publicado) |
| Autoridades | La empresa dice que consultó a la policía e informó a la Comisión de Protección de Información Personal y a su autoridad supervisora. No encontramos ninguna declaración de las autoridades | No indicado (autoridades) |
| Comunicación de la sociedad matriz | Sin entrada en las noticias de IR de KNT-CT Holdings (consultado el 1 de noviembre) | No indicado |
Cómo leerlo: «pueden haberse filtrado» y «4,32 millones de registros»
La empresa escribe que la información «puede haberse filtrado al exterior»; no dice que haya confirmado que se extrajeron datos. Este sitio usa las palabras de la empresa. Además, 4,32 millones es una cifra de registros, no de socios, y el aviso no explica cómo se cuenta. En cualquier caso, lo más seguro es prepararse como si la información hubiera sido vista (consejo de este sitio).
Para qué pueden usarse nombres, direcciones, teléfonos y contactos de emergencia
Lo siguiente es a lo que pueden llevar, en general, este tipo de combinaciones. La empresa no ha dicho que nada de esto haya ocurrido en este incidente.
- Nombre + número de teléfono + correo electrónico: objetivos de llamadas, correos y mensajes de texto convincentes que dicen proceder de una empresa de viajes, en especial los que se hacen pasar por reembolsos o cambios del pago de un tour
- Número de socio + nombre: material para contactos que se hacen pasar por verificaciones de datos de socio o de identidad. Que el número de socio sea correcto no demuestra que un mensaje sea auténtico
- Fecha de nacimiento + dirección: material para pretextos de verificación de identidad o avisos falsos enviados por correo postal
- Contacto de emergencia: material para llamar al familiar registrado, y no al viajero, con una historia inventada de que le ha pasado algo al viajero
La empresa dice que no se incluyen datos de pasaporte ni de tarjetas. Aun así, trate como probablemente falso cualquier mensaje que le pida un pasaporte o un número de tarjeta.
Qué deben revisar los operadores
Como no se han publicado los detalles de la intrusión, enumeramos solo lo que se desprende de lo divulgado.
- Cuántos registros de socios conserva y durante cuánto tiempo: aquí se trata de unos 4,32 millones de registros. Decida cuánto tiempo conserva los datos de socios que dejaron de usar el servicio tras registrarse
- Datos de terceros, como los contactos de emergencia: un campo que guarda a alguien que no es el cliente afecta a esas personas cuando se filtra. Consérvelo solo mientras sea necesario y tenga una forma de revisarlo
- Limitar el daño de una filtración: la empresa dice que no se incluyen contraseñas, datos de pasaporte, datos de tarjetas ni números de cuentas. Mantener los datos sensibles separados de los datos de socios del sistema de reservas reduce el daño
- Contacto alternativo mientras un sitio está caído: mientras el sitio de viajes está detenido, no están disponibles la comprobación de documentos ni el pago con tarjeta. Compruebe que puede indicar por teléfono a los clientes con reservas existentes cómo contactarle
Fuentes (registros públicos)
Los hechos aquí expuestos se basan en la siguiente información pública. No hemos supuesto cómo ocurrió la intrusión ni si los datos se extrajeron realmente.
- Club Tourism Co., Ltd., «Disculpas y aviso sobre la filtración de información personal por acceso no autorizado (primer informe)» (31 de octubre de 2026; consultado el 1 de noviembre; en japonés) — club-tourism.co.jp
- Sitio de viajes de Club Tourism, aviso de mantenimiento del sistema (consultado el 1 de noviembre; en japonés) — club-t.com
- KNT-CT Holdings Co., Ltd., noticias de IR 2026 (consultado el 1 de noviembre; no se encontró comunicación sobre este incidente; en japonés) — kntcthd.co.jp
Historial de actualizaciones
2026-11-01: Primera versión, basada en el aviso de la empresa del 31 de octubre (primer informe; consultado el 1 de noviembre, sin segundo informe). También se comprobaron el mensaje de mantenimiento del sitio de viajes y que las noticias de IR de la sociedad matriz no contienen ninguna comunicación.
Lectura recomendada
- El mismo patrón de sistema de reservas: Acceso no autorizado al proveedor del sistema de reservas de JAL, ANA y otras
- Datos de números de socio filtrados: La filtración de datos personales de H2O ID
- Mensajes fraudulentos: ¿Qué es el phishing?
- Proteger sus cuentas: Elegir la autenticación multifactor / Elegir un gestor de contraseñas
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026 (Japón y el mundo)