Для кого: людей, зарегистрированных как интернет-участники в системе интернет-бронирования Club Tourism (всех, кто создал веб-аккаунт для бронирования поездок); могут быть затронуты и люди, указанные чьим-либо экстренным контактом. Статья основана на официальном объявлении компании и не описывает методы атак.
В развитии: статья будет обновляться по мере публикации новых данных организацией
- Кого это касается
людей, зарегистрированных как интернет-участники в системе интернет-бронирования Club Tourism (всех, кто создал веб-аккаунт для бронирования поездок); могут быть затронуты и люди, указанные чьим-либо экстренным контактом.
- ПодтвержденоСмотреть таблицу ↓
- Несанкционированный доступ
- Количество
Названо как возможно затронутое
- Имя (кандзи/кана), гражданство, пол, дата рождения, возраст, адрес, телефон, e-mail, идентификатор участника, экстренный контакт
- Был ли вынос данных
- Пока не подтверждено
- Подробности того, как произошло вторжение, и причина
- Были ли данные действительно вынесены (в объявлении сказано, что они могли утечь)
- Когда индивидуальные уведомления дойдут до затронутых людей
Ещё 2
- Когда возобновят работу сайт, личный кабинет и другие сервисы
- Будут ли данные использованы во вред
- Что сделать сейчасСмотреть шаги ↓
- Как понять, что вы могли быть затронуты
- Проверяйте всё, что выдаёт себя за компанию, не используя ссылки и номера из сообщения
- Проверьте, не использовали ли вы тот же пароль в других местах
Ещё 2
- Предупредите тех, кого вы указали экстренными контактами
- Пользуйтесь только контактом из объявления
- Где проверить (источник)Все источники ↓
- Club Tourism Co., Ltd., «Извинения и уведомление об утечке персональных данных из-за несанкционированного доступа (первое сообщение)» (31 октября 2026; проверено 1 ноября; на японском)
- Последняя проверка
- По состоянию на 1 ноября 2026 года
Планы обновлений и что мы проверили
Компания называет своё объявление от 31 октября «первым сообщением» и говорит, что в нём изложены факты, известные на данный момент. Она обещает по очереди связываться с теми, чьи данные могли утечь, и продолжать расследование с помощью следственных и иных органов. 1 ноября мы проверили страницу объявления и туристический сайт компании и не нашли второго сообщения. На туристическом сайте было написано, что идёт техническое обслуживание системы, а личный кабинет, оплата кредитной картой и проверка документов по веб-заявкам недоступны.
Что делать участникам
Как понять, что вы могли быть затронуты
Согласно объявлению, под инцидент подпадают данные людей, зарегистрированных как интернет-участники в системе интернет-бронирования. Те, кто никогда не регистрировался как интернет-участник, не затронуты. Компания обещает по очереди связываться с теми, чьи данные могли утечь.
Если вы когда-либо создавали веб-аккаунт участника, считайте, что могли быть затронуты, и готовьтесь, пока ждёте сообщения от компании.
Проверяйте всё, что выдаёт себя за компанию, не используя ссылки и номера из сообщения
Имя, адрес, телефон, адрес электронной почты и идентификатор участника — всё это материал для убедительной подделки. Если приходит звонок, письмо или SMS о «возврате оплаты за тур», «изменении или отмене тура», «подтверждении данных участника» или «извинениях», не используйте ссылку или номер телефона из него. Проверяйте на официальном сайте, который вы открыли сами, в офисе или по контакту из объявления.
Компания говорит, что в связи с этим инцидентом она никогда не будет по телефону, e-mail, SMS или почте запрашивать номера кредитных карт, данные банковских счетов, PIN-коды, идентификаторы и пароли или My Number. Не открывайте подозрительные ссылки и вложения и не вводите личные или аутентификационные данные.
Проверьте, не использовали ли вы тот же пароль в других местах
Компания говорит, что пароли для входа не входят в утечку. Тем не менее она просит тех, кто использует тот же пароль, что и для её сервиса, в других сервисах рассмотреть его смену в качестве меры предосторожности.
- Смените его на пароль, отличный от паролей в других сервисах и трудный для подбора (Как проверить, утекал ли ваш пароль)
- Включите многофакторную аутентификацию, где это возможно
Предупредите тех, кого вы указали экстренными контактами
Экстренный контакт — одно из затронутых данных, и в объявлении не сказано, что именно оно содержит. Если вы указали членов семьи, предупредите их быть осторожными с сообщениями от имени компании или турагентства (совет этого сайта).
Пользуйтесь только контактом из объявления
Компания открыла специальную линию для клиентов: бесплатный номер 0120-335-255, по будним дням (с понедельника по пятницу) с 9:30 до 17:00, а в ноябре также по субботам, воскресеньям и праздничным дням в те же часы. Это контакт для подозрительных сообщений от имени компании, а также для ущерба или чего-либо необычного, что, по вашему мнению, связано с этим инцидентом.
1. Звонок / письмо / SMS от имени Club Tourism
Имя, адрес, идентификатор участника верны → не принимайте решение здесь
↓
2. Не используйте ссылки и номера; проверьте на официальном сайте, в офисе или по контакту из объявления
↓
3-A На официальной стороне ничего нет
Просят номер карты, PIN, пароль → не выполняйте
3-B На официальной стороне то же объявление
Следуйте официальным указаниям
Что произошло (по данным Club Tourism)
Раздел основан на объявлении компании «Извинения и уведомление об утечке персональных данных из-за несанкционированного доступа (первое сообщение)» от 31 октября 2026 года и сообщении на её туристическом сайте (проверено 1 ноября).
30 октября 2026, 5:45
Обнаружен несанкционированный доступ извне. Началось расследование; связь с затронутой частью была отключена и приняты необходимые меры безопасности30 октября
Расследование подтвердило, что часть хранимых данных клиентов могла утечь за пределы компании (дата, указанная в объявлении)31 октября
Опубликовано первое сообщение. В нём сказано, что компания обратилась в полицию и уведомила Комиссию по защите персональных данных и надзорный орган1 ноября
На туристическом сайте было написано, что идёт техническое обслуживание системы, личный кабинет, оплата кредитной картой и проверка документов по веб-заявкам недоступны (проверено этим сайтом)
- Затронутые данные
- Имя (кандзи и кана), гражданство, пол, дата рождения и возраст, адрес, телефон, адрес электронной почты, идентификатор участника и экстренный контакт людей, зарегистрированных как интернет-участники в системе интернет-бронирования. Около 4,32 млн записей
- Не входят
- Пароли для входа, паспортные данные, данные кредитных карт, номера банковских счетов. Люди, никогда не регистрировавшиеся как интернет-участники, не затронуты
- Действия компании
- Изолировала затронутый сервер и отключила связь с источником. Выявила путь и метод вторжения и провела корректирующие работы, включая устранение проблем, проверку масштаба и поиск подобных случаев. Сайт остановлен, чтобы предотвратить дальнейший ущерб и провести расследование, и возобновит работу после подтверждения безопасности
- Вторичный ущерб
- Пока не подтверждено конкретного вторичного ущерба, связанного с этим инцидентом
- Дальнейшие шаги
- По очереди связываться с теми, чьи данные могли утечь. Обращение в полицию; Комиссия по защите персональных данных и надзорный орган уведомлены. Расследование продолжается с помощью следственных и иных органов
Что касается материнской компании KNT-CT Holdings Co., Ltd., 1 ноября мы проверили список IR-новостей за 2026 год и не нашли раскрытия по этому инциденту (последней записью был ежемесячный отчёт о продажах от 9 октября). На странице объявления есть ссылка на сайт материнской компании.
Что известно и чего пока нет
Это состояние на 1 ноября 2026 года. Мы будем переписывать эту таблицу по мере появления обновлений.
| Пункт | Что сказала компания | Статус |
|---|---|---|
| Несанкционированный доступ | Обнаружен в 5:45 30 октября 2026 года; несанкционированный доступ извне к части серверов | Подтверждено (компания) |
| Имя (кандзи/кана), гражданство, пол, дата рождения, возраст, адрес, телефон, e-mail, идентификатор участника, экстренный контакт | Данные интернет-участников в системе интернет-бронирования могли утечь; около 4,32 млн записей | Возможно (компания) |
| Пароли для входа | Не входят | Не входят (компания) |
| Паспортные данные | Не входят | Не входят (компания) |
| Данные кредитных карт | Не входят (туристический сайт остановил оплату картой) | Не входят (компания) |
| Номера банковских счетов | Не входят | Не входят (компания) |
| Люди, не являющиеся интернет-участниками | Не затронуты | Не входят (компания) |
| Количество | Около 4,32 млн; в объявлении сказано «записей», а не людей | Подтверждено (компания, первое сообщение) |
| Причина и путь | Путь и метод выявлены и устранены; подробности не приведены | Расследуется |
| Был ли вынос данных | Сказано «могли утечь»; не сказано, что вынос подтверждён | Возможно (компания) |
| Злоупотребления / вторичный ущерб | Пока конкретного вторичного ущерба не подтверждено | Не подтверждено (компания) |
| Связь с затронутыми людьми | По очереди свяжутся с теми, чьи данные могли утечь | Расследуется (сроки не опубликованы) |
| Регуляторы | Компания говорит, что обратилась в полицию и уведомила Комиссию по защите персональных данных и надзорный орган. Заявлений самих органов мы не нашли | Не указано (органы) |
| Раскрытие материнской компании | В IR-новостях KNT-CT Holdings записи нет (проверено 1 ноября) | Не указано |
Как читать: «могли утечь» и «4,32 млн записей»
Компания пишет, что данные «могли утечь за пределы компании»; она не говорит, что подтвердила вынос данных. Этот сайт использует формулировку компании. Кроме того, 4,32 млн — это число записей, а не участников, и в объявлении не объясняется, как оно подсчитано. В любом случае безопаснее готовиться так, как будто данные уже кто-то видел (совет этого сайта).
Для чего можно использовать имена, адреса, телефоны и экстренные контакты
Ниже — то, к чему такие сочетания данных обычно могут привести. Компания не говорила, что что-либо из этого произошло в данном инциденте.
- Имя + телефон + адрес электронной почты: цели для убедительных звонков, писем и SMS от имени турфирмы, особенно под видом возврата оплаты за тур или его изменения
- Идентификатор участника + имя: материал для обращений под видом проверки данных участника или личности. Верный идентификатор участника не доказывает, что сообщение настоящее
- Дата рождения + адрес: материал для предлогов проверки личности или поддельных уведомлений по почте
- Экстренный контакт: материал для звонка указанному родственнику, а не путешественнику, с выдуманной историей о том, что с путешественником что-то случилось
Компания говорит, что паспортные данные и данные карт не входят. Тем не менее считайте любое сообщение с просьбой назвать номер паспорта или карты, скорее всего, поддельным.
Что операторам стоит пересмотреть
Поскольку подробности вторжения не опубликованы, мы перечисляем только то, что следует из раскрытого.
- Сколько записей участников вы храните и как долго: здесь речь о примерно 4,32 млн записей. Решите, как долго хранить данные участников, переставших пользоваться сервисом после регистрации
- Данные третьих лиц, например экстренных контактов: поле, где хранится не клиент, а другой человек, при утечке затрагивает этих людей. Храните его только пока нужно и предусмотрите способ пересмотра
- Ограничение вреда от утечки: компания говорит, что пароли, паспортные данные, данные карт и номера счетов не входят. Хранение чувствительных данных отдельно от данных участников системы бронирования сужает ущерб
- Альтернативный канал связи, пока сайт не работает: пока туристический сайт остановлен, проверка документов и оплата картой недоступны. Убедитесь, что клиентам с действующими бронированиями можно сообщить, как связаться с вами по телефону
Источники (публичные материалы)
Факты здесь основаны на приведённой ниже публичной информации. Мы не гадали о том, как произошло вторжение и были ли данные действительно вынесены.
- Club Tourism Co., Ltd., «Извинения и уведомление об утечке персональных данных из-за несанкционированного доступа (первое сообщение)» (31 октября 2026; проверено 1 ноября; на японском) — club-tourism.co.jp
- Туристический сайт Club Tourism, уведомление о техническом обслуживании системы (проверено 1 ноября; на японском) — club-t.com
- KNT-CT Holdings Co., Ltd., IR-новости 2026 (проверено 1 ноября; раскрытия по этому инциденту не найдено; на японском) — kntcthd.co.jp
История обновлений
2026-11-01: первая версия на основе объявления компании от 31 октября (первое сообщение; проверено 1 ноября, второго сообщения не найдено). Также проверены сообщение о техническом обслуживании на туристическом сайте и отсутствие раскрытия в IR-новостях материнской компании.
Читайте далее
- Тот же тип системы бронирования: Несанкционированный доступ к поставщику систем бронирования JAL, ANA и других
- Утечка данных с идентификаторами участников: Утечка персональных данных H2O ID
- Мошеннические сообщения: Что такое фишинг?
- Защита ваших аккаунтов: Выбор многофакторной аутентификации / Выбор менеджера паролей
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году (Япония и мир)