Para: pessoas cadastradas como membros de internet no sistema de reservas pela internet da Club Tourism (quem criou uma conta web para reservar viagens); pessoas indicadas como contato de emergência de alguém também podem estar envolvidas. Este artigo se baseia no comunicado oficial da empresa e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
pessoas cadastradas como membros de internet no sistema de reservas pela internet da Club Tourism (quem criou uma conta web para reservar viagens); pessoas indicadas como contato de emergência de alguém também podem estar envolvidas.
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado
- Volume
Apontado como possivelmente afetado
- Nome (kanji/kana), nacionalidade, sexo, data de nascimento, idade, endereço, telefone, e-mail, número de membro, contato de emergência
- Se os dados foram retirados
- Ainda não confirmado
- Detalhes de como a intrusão ocorreu e a causa
- Se os dados foram de fato retirados (o comunicado diz que podem ter vazado)
- Quando os avisos individuais chegarão aos afetados
Mais 2
- Quando o site, a Minha Página e outros serviços serão retomados
- Se ocorrerá algum uso indevido
- O que fazer agoraVer os passos ↓
- Saiba como perceber se você pode ter sido afetado
- Confirme qualquer mensagem que diga ser da empresa sem usar seus links ou números
- Verifique se você reutilizou uma senha
Mais 2
- Avise as pessoas que você indicou como contatos de emergência
- Use apenas o contato do comunicado
- Onde verificar (fonte)Todas as fontes ↓
- Club Tourism Co., Ltd., "Pedido de desculpas e aviso sobre o vazamento de informações pessoais por acesso não autorizado (primeiro comunicado)" (31 de outubro de 2026; consultado em 1º de novembro; em japonês)
- Última verificação
- Em 1º de novembro de 2026
Próximos avisos e o que verificamos
A empresa chama de "primeiro comunicado" seu aviso de 31 de outubro e diz que ele cobre os fatos conhecidos até agora. Afirma que entrará em contato, em sequência, com as pessoas cujas informações possam ter vazado e que continuará investigando com a ajuda de órgãos de investigação e afins. Em 1º de novembro consultamos a página de avisos e o site de viagens da empresa e não encontramos um segundo comunicado. O site de viagens dizia estar em manutenção do sistema e que a Minha Página, o pagamento com cartão de crédito e a verificação de documentos das solicitações web não estavam disponíveis.
O que os membros devem fazer
Saiba como perceber se você pode ter sido afetado
Segundo o comunicado, o alcance são as informações das pessoas cadastradas como membros de internet no sistema de reservas pela internet. Quem nunca se cadastrou como membro de internet não é afetado. A empresa diz que entrará em contato, em sequência, com as pessoas cujas informações possam ter vazado.
Se você já registrou uma conta web de membro, presuma que pode ter sido afetado e se prepare enquanto aguarda notícias da empresa.
Confirme qualquer mensagem que diga ser da empresa sem usar seus links ou números
Nome, endereço, número de telefone, endereço de e-mail e número de membro são material para uma falsificação convincente. Se chegar uma ligação, e-mail ou mensagem de texto sobre um "reembolso do pagamento de um tour", uma "alteração ou cancelamento de tour", a "confirmação dos dados de membro" ou um "pedido de desculpas", não use o link nem o número de telefone que ele traz. Confirme no site oficial que você mesmo abriu, em uma agência ou pelo contato do comunicado.
A empresa diz que, em relação a este incidente, nunca pedirá por telefone, e-mail, SMS ou correio números de cartão de crédito, dados de conta bancária, PINs, IDs e senhas, nem o My Number. Não abra URLs suspeitas, não abra anexos e não digite dados pessoais ou de autenticação.
Verifique se você reutilizou uma senha
A empresa diz que as senhas de login não estão incluídas. Ainda assim, pede a quem usa em outros serviços a mesma senha que usa no dela que considere trocá-la por precaução.
- Troque por uma senha diferente da de seus outros serviços e difícil de adivinhar (Como verificar se sua senha vazou)
- Ative a autenticação multifator onde puder
Avise as pessoas que você indicou como contatos de emergência
O contato de emergência é um dos itens afetados e o comunicado não diz o que ele contém. Se você cadastrou familiares, avise-os para terem cuidado com mensagens que digam ser da empresa ou de uma agência de viagens (conselho deste site).
Use apenas o contato do comunicado
A empresa montou uma linha de atendimento exclusiva: número gratuito 0120-335-255, aberta em dias úteis (de segunda a sexta) das 9:30 às 17:00 e, em novembro, também aos sábados, domingos e feriados no mesmo horário. É o contato para mensagens suspeitas que digam ser da empresa e para danos ou qualquer anormalidade que você ache relacionada a este incidente.
1. Ligação / e-mail / SMS que diz ser da Club Tourism
Nome, endereço, número de membro corretos → não decida aqui
↓
2. Ignore os links e números; confirme no site oficial, em uma agência ou pelo contato do comunicado
↓
3-A Nada no lado oficial
Pede números de cartão, PINs, senhas → não atenda
3-B O lado oficial mostra o mesmo aviso
Siga as instruções oficiais
O que aconteceu (segundo a Club Tourism)
Esta seção se baseia no comunicado da empresa "Pedido de desculpas e aviso sobre o vazamento de informações pessoais por acesso não autorizado (primeiro comunicado)" de 31 de outubro de 2026 e na mensagem de seu site de viagens (consultada em 1º de novembro).
30 de outubro de 2026, 5:45
Acesso não autorizado vindo de fora é detectado. A investigação começa; a comunicação com a parte afetada é cortada e as medidas de segurança necessárias são tomadas30 de outubro
A investigação confirma que parte das informações de clientes que a empresa mantém pode ter vazado para fora (a data indicada no comunicado)31 de outubro
O primeiro comunicado é publicado. Diz que consultou a polícia e comunicou a Comissão de Proteção de Informações Pessoais e sua autoridade supervisora1º de novembro
O site de viagens dizia estar em manutenção do sistema, com Minha Página, pagamento com cartão de crédito e verificação de documentos das solicitações web indisponíveis (verificado por este site)
- Informações afetadas
- Nome (kanji e kana), nacionalidade, sexo, data de nascimento e idade, endereço, número de telefone, endereço de e-mail, número de membro e contato de emergência das pessoas cadastradas como membros de internet no sistema de reservas pela internet. Cerca de 4,32 milhões de registros
- Não incluído
- Senhas de login, dados de passaporte, dados de cartão de crédito, números de contas bancárias. Quem nunca se cadastrou como membro de internet não é afetado
- Resposta da empresa
- Isolou o servidor afetado e cortou a comunicação a partir da origem. Identificou a via e o método de intrusão e realizou trabalhos corretivos, incluindo corrigir os problemas e verificar o alcance e a existência de eventos semelhantes. O site está suspenso para evitar mais danos e investigar, e será retomado quando a segurança for confirmada
- Dano secundário
- Até agora não foi confirmado nenhum dano secundário específico atribuído a este incidente
- Próximos passos
- Entrar em contato, em sequência, com as pessoas cujas informações possam ter vazado. Polícia consultada; Comissão de Proteção de Informações Pessoais e autoridade supervisora informadas. A investigação continua com a ajuda de órgãos de investigação e afins
Quanto à controladora da empresa, a KNT-CT Holdings Co., Ltd., consultamos em 1º de novembro sua lista de notícias de RI de 2026 e não encontramos nenhuma divulgação sobre este incidente (a entrada mais recente era um relatório mensal de vendas de 9 de outubro). A página do comunicado tem link para o site da controladora.
O que se sabe e o que não se sabe
Este é o estado em 1º de novembro de 2026. Reescreveremos esta tabela conforme surgirem novidades.
| Item | O que a empresa disse | Situação |
|---|---|---|
| Acesso não autorizado | Detectado às 5:45 de 30 de outubro de 2026; acesso não autorizado vindo de fora a parte de seus servidores | Confirmado (empresa) |
| Nome (kanji/kana), nacionalidade, sexo, data de nascimento, idade, endereço, telefone, e-mail, número de membro, contato de emergência | As informações de membros de internet no sistema de reservas pela internet podem ter vazado para fora; cerca de 4,32 milhões de registros | Possível (empresa) |
| Senhas de login | Não incluídas | Não incluídas (empresa) |
| Dados de passaporte | Não incluídos | Não incluídos (empresa) |
| Dados de cartão de crédito | Não incluídos (o site de viagens suspendeu o pagamento com cartão) | Não incluídos (empresa) |
| Números de contas bancárias | Não incluídos | Não incluídos (empresa) |
| Pessoas que não são membros de internet | Não afetadas | Não incluídas (empresa) |
| Volume | Cerca de 4,32 milhões; o comunicado diz "registros", não pessoas | Confirmado (empresa, primeiro comunicado) |
| Causa e via | Via e método identificados e corrigidos; detalhes não informados | Em investigação |
| Se os dados foram retirados | Diz "podem ter vazado"; não diz que a retirada tenha sido confirmada | Possível (empresa) |
| Uso indevido / dano secundário | Até agora nenhum dano secundário específico foi confirmado | Não confirmado (empresa) |
| Contato com os afetados | Entrará em contato, em sequência, com as pessoas cujas informações possam ter vazado | Em investigação (prazo não divulgado) |
| Autoridades | A empresa diz que consultou a polícia e comunicou a Comissão de Proteção de Informações Pessoais e sua autoridade supervisora. Não encontramos nenhuma declaração das autoridades | Não informado (autoridades) |
| Divulgação da controladora | Sem entrada nas notícias de RI da KNT-CT Holdings (consultado em 1º de novembro) | Não informado |
Como ler isto: "podem ter vazado" e "4,32 milhões de registros"
A empresa escreve que as informações "podem ter vazado para fora"; não diz que tenha confirmado a retirada dos dados. Este site usa as palavras da empresa. Além disso, 4,32 milhões é uma contagem de registros, não de membros, e o comunicado não explica como é contada. Em ambos os casos, o mais seguro é se preparar como se as informações tivessem sido vistas (conselho deste site).
Para que nomes, endereços, telefones e contatos de emergência podem ser usados
O que segue é aonde esse tipo de combinação pode levar, em geral. A empresa não disse que nada disso tenha ocorrido neste incidente.
- Nome + número de telefone + e-mail: alvos de ligações, e-mails e mensagens de texto convincentes que dizem ser de uma empresa de viagens, em especial os que se passam por reembolsos ou alterações do pagamento de um tour
- Número de membro + nome: material para contatos que se passam por verificações de dados de membro ou de identidade. Um número de membro correto não prova que a mensagem seja genuína
- Data de nascimento + endereço: material para pretextos de verificação de identidade ou avisos falsos enviados pelo correio
- Contato de emergência: material para ligar para o familiar cadastrado, e não para o viajante, com uma história inventada de que algo aconteceu ao viajante
A empresa diz que dados de passaporte e de cartão não estão incluídos. Ainda assim, trate como provavelmente falsa qualquer mensagem que peça um passaporte ou um número de cartão.
O que os operadores devem revisar
Como os detalhes da intrusão não foram divulgados, listamos apenas o que decorre do que foi divulgado.
- Quantos registros de membros você guarda e por quanto tempo: aqui são cerca de 4,32 milhões de registros. Decida por quanto tempo manter as informações de membros que deixaram de usar o serviço após o cadastro
- Informações de terceiros, como contatos de emergência: um campo que guarda alguém que não é o cliente afeta essas pessoas quando vaza. Guarde-o só enquanto for necessário e tenha uma forma de revisá-lo
- Limitar o dano de um vazamento: a empresa diz que senhas, dados de passaporte, dados de cartão e números de contas não estão incluídos. Manter itens sensíveis separados dos dados de membros do sistema de reservas reduz o dano
- Contato alternativo enquanto um site está fora do ar: enquanto o site de viagens está suspenso, a verificação de documentos e o pagamento com cartão estão indisponíveis. Confirme que consegue informar por telefone aos clientes com reservas existentes como falar com você
Fontes (registros públicos)
Os fatos aqui se apoiam nas informações públicas abaixo. Não supusemos como a intrusão ocorreu nem se os dados foram de fato retirados.
- Club Tourism Co., Ltd., "Pedido de desculpas e aviso sobre o vazamento de informações pessoais por acesso não autorizado (primeiro comunicado)" (31 de outubro de 2026; consultado em 1º de novembro; em japonês) — club-tourism.co.jp
- Site de viagens da Club Tourism, aviso de manutenção do sistema (consultado em 1º de novembro; em japonês) — club-t.com
- KNT-CT Holdings Co., Ltd., notícias de RI 2026 (consultado em 1º de novembro; nenhuma divulgação sobre este incidente encontrada; em japonês) — kntcthd.co.jp
Histórico de atualizações
2026-11-01: Primeira versão, baseada no comunicado da empresa de 31 de outubro (primeiro comunicado; consultado em 1º de novembro, sem segundo comunicado). Também foram verificados a mensagem de manutenção do site de viagens e que as notícias de RI da controladora não trazem nenhuma divulgação.
Leia em seguida
- O mesmo padrão de sistema de reservas: Acesso não autorizado ao fornecedor do sistema de reservas da JAL, ANA e outras
- Dados de números de membro vazados: O vazamento de dados pessoais do H2O ID
- Mensagens fraudulentas: O que é phishing?
- Protegendo suas contas: Escolhendo a autenticação multifator / Escolhendo um gerenciador de senhas
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos em 2026 (Japão e mundo)