旅行会社のクラブツーリズム（東京都江東区）は10月31日、同社サーバーの一部が外部から不正アクセスを受け、インターネット予約システムに会員登録した顧客の情報が漏えいした可能性があると発表した。対象は約432万件で、氏名や住所、生年月日、電話番号、メールアドレス、緊急連絡先などが含まれる。ログインパスワード、パスポート（旅券）の情報、クレジットカード情報、金融機関の口座番号は含まれていないという。同社は被害の拡大防止と調査のためホームページを停止しており、警察に相談し、個人情報保護委員会と監督官庁に報告した。発表は「第1信」と題しており、調査を続けて続報を出すとみられる。
30日早朝に検知、通信を遮断しホームページを停止
同社の発表によると、不正なアクセスを検知したのは10月30日午前5時45分。直ちに調査を始め、不正アクセスを受けた箇所の通信を遮断し、必要なセキュリティー対策を取った。その後の調査で、保有する顧客情報の一部が外部に漏えいした可能性があることを確認した。
発生後の対応として、同社は不正アクセスを受けたサーバーを隔離し、攻撃元からの通信を遮断したと説明している。あわせて侵入経路と手段を特定し、問題点の修正、影響範囲の確認、同様の事象が起きていないかの点検といった是正対応を「実施済み」としている。ただ、侵入経路や手段が具体的に何だったのか、いつから侵入されていたのかは、今回の発表には書かれていない。
被害の拡大を防ぎ調査を進めるため、同社はホームページを停止している。安全性を再確認したうえで再開する予定で、時期は示していない。
クラブツーリズムは、1980年に近畿日本ツーリスト渋谷営業所を母体として始まった旅の通信販売（ダイレクトマーケティング）事業を源流とする。1985年に会員向けの旅行情報誌「旅の友」を創刊し、2004年に近畿日本ツーリストからクラブツーリズム事業を譲り受けて新会社として発足した。2013年には持ち株会社KNT-CTホールディングスのもとで近畿日本ツーリストと経営統合しており、現在は同ホールディングスのグループ会社にあたる。
対象はネット会員、9項目の情報
漏えいした可能性があるのは、インターネット予約システムで「インターネット会員」として登録された顧客の情報だ。同社が挙げた項目は次の9つ。
- 氏名（漢字・カナ）
- 国籍
- 性別
- 生年月日、年齢
- 住所
- 電話番号
- メールアドレス
- 会員ID
- 緊急連絡先
一方、ログインパスワード、旅券情報、クレジットカード情報、金融機関の口座番号は含まれていないとしている。インターネット会員に登録したことがない顧客の情報には影響がないという。店頭や電話、情報誌を通じてだけ申し込んできた顧客は、ネット会員の登録をしていなければ対象外になる。
対象件数は約432万件。同社は「件」で示しており、何人分にあたるのかは発表に書かれていない。漏えいした情報が悪用された具体的な二次被害は、発表の時点では確認されていない。
項目には、本人の電話番号やメールアドレスとは別に「緊急連絡先」も含まれている。会員が緊急連絡先として届けた番号も、漏えいの恐れがある範囲に入る。
同社を装う連絡と、パスワードの使い回しに注意
同社は顧客に3つのことを求めている。
1つ目は不審な連絡への注意だ。同社はこの件に関連して、電話やメール、SMS、郵便などでクレジットカード番号、銀行口座情報、暗証番号、ID・パスワード、マイナンバーを尋ねることは「一切ございません」としている。同社を装った電話やメール、SMSに注意し、不審なURLへのアクセスや添付ファイルの開封、個人情報や認証情報の入力をしないよう呼びかけた。判断に迷う場合は店頭や電話窓口、公式サイトで事実を確かめるよう求めている。
2つ目はパスワードの変更だ。ログインパスワードは漏えいの対象に含まれていないものの、同社は同じパスワードを他のサービスでも使っている場合は念のため変更を検討するよう求めた。サービスごとに異なる推測されにくいパスワードを設定し、多要素認証が使える場合は設定するよう勧めている。
3つ目は、同社を名乗る不審な連絡を受けたり、この件に関連するとみられる被害や異常を確認したりした場合の連絡だ。問い合わせ先は同社の「お客様特設窓口」で、電話番号はフリーダイヤル0120-335-255。受付は平日（月〜金曜日）の午前9時30分から午後5時までで、11月中は土曜・日曜・祝日も同じ時間に受け付ける。
情報が漏えいした可能性のある顧客には、同社から順次連絡するという。
法律が定める委員会への報告と本人への通知
個人情報保護法は、事業者が持つ個人データの漏えいやその恐れが生じ、個人の権利や利益を害する恐れが大きい場合、事業者に個人情報保護委員会への報告と本人への通知を義務付けている（第26条）。
委員会によると、報告が必要になるのは、要配慮個人情報が含まれる場合、財産的被害が生じる恐れがある場合、不正の目的をもって行われた恐れがある行為による場合、本人の数が1,000人を超える場合などだ。委員会は、サーバーに外部から不正アクセスされデータが盗まれた場合を、不正の目的による漏えいの例に挙げている。今回は外部からの不正アクセスで、件数も約432万件にのぼる。
報告は2段階になっている。施行規則第8条によると、事業者は事態を知った後「速やかに」その時点で把握している事項を報告し、事態を知った日から30日以内に改めて報告しなければならない。不正の目的による漏えいの場合、この期限は60日以内になる。同社は10月30日に不正アクセスを検知しており、60日の期限は12月下旬にあたる。報告する事項には、漏えいした個人データの項目や本人の数が含まれる。
同社はすでに個人情報保護委員会と監督官庁に報告し、警察にも相談したと発表した。今後も「個人情報保護に関わる法令に則り、適切な措置」をとるとしており、調査機関や関係機関の協力を受けて調査を続ける。
10月は会員情報の大規模な漏えいが相次ぐ
10月下旬には、会員情報が数百万件規模で漏えいする事案が続いた。
ソニーネットワークコミュニケーションズは10月27日、インターネット接続サービス「So-net」の会員データベースが不正アクセスを受けたと発表した。So-net会員の情報が214万1986件、plala（Sコース）会員の情報が44万3495件、計258万5481件漏えいした（So-net会員データに不正アクセス、258万件漏えい メール5.4万件はパスワードも）。
牛丼チェーンの松屋フーズホールディングスは10月30日、公式アプリの管理システムへの不正アクセスで、モバイルオーダーや宅配の利用者の情報237万7127件と、アプリ会員の情報2000件（最大3000件）が漏えいしたと発表した（松屋アプリに不正アクセス、注文利用者237万件の住所・氏名漏えい アプリは停止続く）。
| 事業者 | 発表日 | 件数 | 対象 |
|---|---|---|---|
| クラブツーリズム | 10月31日 | 約432万件（漏えいの可能性） | インターネット会員 |
| ソニーネットワークコミュニケーションズ | 10月27日 | 258万5481件 | So-net会員・plala（Sコース）会員 |
| 松屋フーズホールディングス | 10月30日 | 237万7127件＋2000件（最大3000件） | 注文利用者・アプリ会員 |
クラブツーリズムの約432万件はこの中で最も多い。ただし同社の件数は「漏えいした可能性がある」範囲で、他の2社は漏えいを確認した件数として示している。数え方の前提が異なるため、単純には比べられない。
3社とも、漏れた情報を使った不審な連絡に注意するよう呼びかけている。旅行会社の会員情報には生年月日や国籍、緊急連絡先といった旅行の手配に使う項目が含まれる。侵入の経路や、いつから情報が持ち出されていたのかは、同社の続報で示されるかが焦点になる。