适用对象：在Club Tourism网络预订系统中注册为网络会员的人（为预订旅行而创建过网络会员账户的人）；被他人列为紧急联系人的人也可能涉及。本文基于公司的官方公告，不涉及攻击方法。
事件仍在发展：本文将随机构发布更多信息而更新
- 适用对象
在Club Tourism网络预订系统中注册为网络会员的人（为预订旅行而创建过网络会员账户的人）；被他人列为紧急联系人的人也可能涉及。
- 已确认的影响范围查看表格 ↓
- 未经授权访问
- 数量
被列为可能涉及的项目
- 姓名（汉字/假名）、国籍、性别、出生日期、年龄、地址、电话、电子邮件、会员ID、紧急联系人
- 数据是否被带走
- 尚未确认的事项
- 入侵如何发生及其原因的细节
- 数据是否确实被带走（公告写的是可能外泄）
- 个别通知何时送达受影响的人
另外2项
- 网站、会员专页等服务何时恢复
- 是否发生任何滥用
- 现在要做的事查看步骤 ↓
- 了解如何判断自己是否可能受影响
- 核实任何自称来自公司的联系时，不要使用其中的链接或号码
- 检查您是否重复使用过密码
另外2项
- 告知被您列为紧急联系人的人
- 只使用公告中列出的联系方式
- 核实来源（出处）全部来源 ↓
- Club Tourism Co., Ltd.，《关于因未经授权访问导致个人信息泄露的致歉及通知（第一次报告）》（2026年10月31日；11月1日查看；日文）— club-tourism.co.jp
- 最后核实
- 截至2026年11月1日
续报计划与核实记录
公司将其10月31日的公告称为“第一次报告”，并表示其内容为目前已知的事实。公司称将依次联系信息可能外泄的人，并在调查及相关机构的协助下继续调查。11月1日，我们查看了公告页面和公司的旅游网站，未发现第二次报告。旅游网站显示正在进行系统维护，会员专页、信用卡支付以及网络申请材料的查看均无法使用。
会员应该做什么
了解如何判断自己是否可能受影响
根据公告，范围是在网络预订系统中注册为网络会员的人的信息。从未注册为网络会员的人不受影响。公司称将依次联系信息可能外泄的人。
如果您曾经注册过网络会员账户，请假定自己可能受到影响，并在等待公司联系期间做好准备。
核实任何自称来自公司的联系时，不要使用其中的链接或号码
姓名、地址、电话号码、电子邮件地址和会员ID都是制作逼真假冒消息的材料。如果收到关于“旅行团款项退款”“旅行团变更或取消”“确认会员信息”或“致歉”的电话、邮件或短信，请勿使用其中的链接或电话号码。请在您自行打开的官方网站、门店或公告中列出的联系方式核实。
公司表示，就本事件而言，绝不会通过电话、电子邮件、短信或邮寄方式索要信用卡号、银行账户信息、密码（PIN）、ID和密码，或My Number。请勿打开可疑的URL，请勿打开附件，也不要输入个人信息或认证信息。
检查您是否重复使用过密码
公司表示，登录密码未包含在内。但仍请在其他服务中使用与该公司服务相同密码的人，作为预防措施考虑更改密码。
- 改用与其他服务不同且不易猜到的密码（如何检查您的密码是否已泄露）
- 在可以的地方开启多因素认证
告知被您列为紧急联系人的人
紧急联系人是受影响项目之一，而公告没有说明其包含什么。如果您登记了家人，请提醒他们警惕自称来自该公司或旅行社的消息（本站建议）。
只使用公告中列出的联系方式
公司设立了专用客服专线：免费电话0120-335-255，工作日（周一至周五）9:30至17:00开通，11月份周六、周日和节假日也在相同时间开通。对于自称来自该公司的可疑消息，以及您认为与本事件有关的损害或异常情况，都可以通过该专线联系。
1. 自称来自Club Tourism的电话 / 邮件 / 短信
姓名、地址、会员ID都正确 → 不要就此下结论
↓
2. 不用其中的链接和号码；在官方网站、门店或通过公告中的联系方式核实
↓
3-A 官方方面没有相关信息
索要卡号、密码（PIN）、密码 → 不要照做
3-B 官方方面显示相同的通知
按官方指示操作
事件经过（来自Club Tourism）
本节基于公司2026年10月31日的公告《关于因未经授权访问导致个人信息泄露的致歉及通知（第一次报告）》，以及其旅游网站上的消息（11月1日查看）。
2026年10月30日5:45
检测到来自外部的未经授权访问。开始调查；切断了受影响部分的通信，并采取了必要的安全措施10月30日
调查确认其持有的部分客户信息可能已外泄（日期取自公告）10月31日
发布第一次报告。公司表示已咨询警方，并已向个人信息保护委员会及主管部门报告11月1日
旅游网站显示正在进行系统维护，会员专页、信用卡支付以及网络申请材料的查看均无法使用（本站查看）
- 受影响的信息
- 在网络预订系统中注册为网络会员的人的姓名（汉字及假名）、国籍、性别、出生日期及年龄、地址、电话号码、电子邮件地址、会员ID和紧急联系人。约432万条记录
- 未包含
- 登录密码、护照信息、信用卡信息、银行账号。从未注册为网络会员的人不受影响
- 公司的应对
- 隔离了受影响的服务器，并切断了来源方的通信。查明了入侵路径和方法并开展了纠正工作，包括修复问题、确认范围以及排查类似事件。为防止损害扩大并开展调查，网站已停止，确认安全后将恢复
- 次生损害
- 目前尚未确认有归因于本事件的具体次生损害
- 后续步骤
- 依次联系信息可能外泄的人。已咨询警方；已通知个人信息保护委员会及主管部门。在调查及相关机构的协助下继续调查
关于该公司的控股公司KNT-CT Holdings Co., Ltd.，我们于11月1日查看了其2026年IR新闻列表，未发现关于本事件的披露（最新一条是10月9日的月度销售报告）。公告页面链接到控股公司的网站。
已知与未知
以下为截至2026年11月1日的状态。随着更新的出现，我们将改写此表。
| 项目 | 公司的说法 | 状态 |
|---|---|---|
| 未经授权访问 | 2026年10月30日5:45检测到；来自外部、针对部分服务器的未经授权访问 | 已确认（公司） |
| 姓名（汉字/假名）、国籍、性别、出生日期、年龄、地址、电话、电子邮件、会员ID、紧急联系人 | 网络预订系统中的网络会员信息可能已外泄；约432万条记录 | 可能（公司） |
| 登录密码 | 未包含 | 未包含（公司） |
| 护照信息 | 未包含 | 未包含（公司） |
| 信用卡信息 | 未包含（旅游网站已停止卡片支付） | 未包含（公司） |
| 银行账号 | 未包含 | 未包含（公司） |
| 非网络会员的人 | 不受影响 | 未包含（公司） |
| 数量 | 约432万；公告写的是“记录”而非人数 | 已确认（公司，第一次报告） |
| 原因和路径 | 已查明并修复路径和方法；未给出具体细节 | 调查中 |
| 数据是否被带走 | 写的是“可能外泄”；未说已确认被带走 | 可能（公司） |
| 滥用 / 次生损害 | 目前尚未确认有具体次生损害 | 未确认（公司） |
| 与受影响的人联系 | 将依次联系信息可能外泄的人 | 调查中（时间未公布） |
| 监管机构 | 公司表示已咨询警方，并已向个人信息保护委员会及主管部门报告。我们未发现有关部门的声明 | 未说明（有关部门） |
| 控股公司的披露 | KNT-CT Holdings的IR新闻中没有相关条目（11月1日查看） | 未说明 |
如何理解：“可能外泄”与“432万条记录”
公司写的是信息“可能已外泄”；并未说已确认数据被带走。本站沿用公司的措辞。另外，432万是记录数而非会员数，公告也没有说明其计数方式。无论哪种情况，最稳妥的做法都是按信息已被他人看到来做准备（本站建议）。
姓名、地址、电话号码和紧急联系人信息可被用来做什么
以下是此类组合通常可能导致的情况。公司并未表示本事件中发生了其中任何一项。
- 姓名 + 电话号码 + 电子邮件地址：成为冒充旅行社、令人信服的电话、邮件和短信的目标，尤其是冒充旅行团款项退款或变更的消息
- 会员ID + 姓名：成为冒充会员信息或身份核实的联系的材料。会员ID正确并不能证明消息是真实的
- 出生日期 + 地址：成为身份核实借口或邮寄假通知的材料
- 紧急联系人：成为联系登记的家人而非旅客本人，并编造旅客出事了的说法的材料
公司表示护照和卡片信息未包含在内。尽管如此，凡是要求您提供护照或卡号的消息，仍应视为很可能是假冒。
运营方应检查什么
由于入侵的细节尚未公布，我们只列出从已披露内容中可以推出的事项。
- 保存多少会员记录、保存多久：此次涉及约432万条记录。请确定注册后不再使用服务的会员的信息保存多长时间
- 紧急联系人等第三方的信息：保存客户以外之人信息的字段，一旦泄露会影响到这些人。仅在需要时保存，并建立复查机制
- 限制泄露造成的损害：公司表示密码、护照信息、卡片信息和账号未包含在内。把敏感项目与预订系统的会员数据分开保存，可以缩小损害
- 网站停止期间的替代联系方式：旅游网站停止期间，无法查看材料和使用卡片支付。请确认已有预订的客户能够得知如何通过电话联系您
信息来源（公开记录）
本文的事实依据下列公开信息。我们没有猜测入侵是如何发生的，或数据是否确实被带走。
- Club Tourism Co., Ltd.，《关于因未经授权访问导致个人信息泄露的致歉及通知（第一次报告）》（2026年10月31日；11月1日查看；日文）— club-tourism.co.jp
- Club Tourism旅游网站，系统维护通知（11月1日查看；日文）— club-t.com
- KNT-CT Holdings Co., Ltd.，2026年IR新闻（11月1日查看；未发现关于本事件的披露；日文）— kntcthd.co.jp
更新记录
2026-11-01：首版，基于公司10月31日的公告（第一次报告；11月1日查看，未发现第二次报告）。同时查看了旅游网站的维护消息，以及控股公司的IR新闻中没有相关披露。
延伸阅读
- 同样的预订系统模式：JAL、ANA等公司预订系统供应商遭未经授权访问
- 会员ID数据泄露：H2O ID个人数据泄露事件
- 诈骗消息：什么是网络钓鱼？
- 保护您的账户：如何选择多因素认证 / 如何选择密码管理器
- 其他2026年事件：2026年数据泄露与网络攻击事件一览（日本及全球）