会員になったことがなくても、今回の流出と無関係とは限りません。クラブツーリズムが10月31日に公表した約432万件の項目には、会員の「緊急連絡先」が入っているからです。
旅行会社にとって緊急連絡先は、旅先で会員本人に何かあったときの連絡先です。多くの場合は家族など、会員とは別の人でしょう。その人が会員とは限らず、自分の情報が預けられていたことも、流出したかもしれないことも、知らない可能性があります。
検知の翌日に公表、ホームページは止めたまま
クラブツーリズムによると、10月30日5時45分に外部からの不正なアクセスを検知しました。すぐに調べ始め、不正アクセスを受けた箇所の通信を遮断したうえで、お客さまの情報の一部が外部に漏えいした可能性を確認しました。公表は翌31日の「第1信」です。
| 項目 |
10月31日の発表 |
| 対象 |
インターネット予約システムに、インターネット会員として登録した人の情報。約432万件 |
| 項目 |
氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先 |
| 含まれないもの |
ログインパスワード、パスポート（旅券）の情報、クレジットカード情報、金融機関の口座番号 |
| 影響が無いとした人 |
インターネット会員に登録したことがないお客さま |
| 対応 |
サーバーを隔離し、攻撃元からの通信を遮断。侵入の経路と手段を特定し、問題点を修正。ホームページを停止 |
| 届け出 |
警察に相談し、個人情報保護委員会と監督官庁に報告 |
| 窓口 |
0120-335-255（平日9時30分〜17時。11月中は土日祝日も） |
クラブツーリズムの10月31日の発表（第1信）。項目に緊急連絡先出典: クラブツーリズム株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」(引用)
侵入の経路と手段を「特定し」、問題点を修正したとしながら、その中身にはふれていません。1日あまりで経路まで特定できたのなら、対応は早かったとみています。ただ、同じように会員の情報を預かる会社が、自社の点検に使える材料はまだ出ていません。
発表から分からないことは、ほかにもあります。緊急連絡先として何を登録していたか（名前か、電話番号か、続柄か）、緊急連絡先の人にも連絡が行くのか、退会した人や社員旅行・団体旅行の申し込みの情報が含まれるか、の3つです。第2信以降で、経路と合わせて示されるかに注目しています。
ホームページは、安全性を確認してから再開する予定です。旅行の予約サイト（club-t.com）は、11月3日7時すぎに当社から開こうとしたところ、つながりませんでした。
緊急連絡先は、会員とは別の人の情報
発表には「インターネット会員に登録をされたことがないお客様の情報に影響はございません」ともあります。これは、お客さまとして自分で預けた情報の話と読めます。会員が緊急連絡先として書いた家族などの連絡先は、会員の登録情報の一部として、漏えいの項目に入っています。
約432万件は会員の登録の件数とみられ、緊急連絡先に書かれた人の数は示されていません。その人たちに連絡が行かなければ、自分が対象かもしれないと知らないまま、不審な電話を受けることもありえます。
10月末から続いた漏えいのうち、会員以外の人の情報まで項目に入ったのは、3件のうちクラブツーリズムだけです。
| 公表 |
漏れた（可能性がある）項目の特徴 |
| MUJIアプリ（10月30日・報道） |
メールアドレス、生年月日、性別。氏名・住所・電話番号は含まない |
| アットコスメ（11月2日） |
名前、住所、電話番号に加え、ニックネーム、肌質、髪質 |
| クラブツーリズム（10月31日） |
名前、住所、電話番号に加え、国籍と緊急連絡先 |
家族の情報を本人とは別に数えた例もあります。社内で使用を禁止している生成AIに従業員らの情報が上げられた、パナソニックの子会社の件です（10月23日・報道から）。報道によると、緊急連絡先として登録された従業員の家族約5万5000人と、2016年以降に退職した人の家族約2万6000人が含まれ、従業員とは別の人数として示されました（パナソニックの件の記事）。会社が社員から預かる緊急連絡先も、何かあれば社員とは別の人の情報として扱うことになります。
どの会社も、サービスに要る項目を集めています。旅行会社なら国籍と緊急連絡先、化粧品のサイトなら肌質です。そのサービスでしか集めない項目ほど、漏れたときに、ほかの事故には無い使われ方をしかねません。緊急連絡先は、旅行会社を名乗って家族に電話をかける、といった詐欺の材料になりうるとみています。会員の名前と生年月日、住所までそろっているからです。
対象になる人は、会員と緊急連絡先の家族
- インターネット会員として登録した人。
- 会員の緊急連絡先として登録された人。会員でなくても、会員の登録情報の一部として項目に入っています。
社員は2つの立場で関わりえます。社員本人が会員の場合と、社員の親や家族が会員で、社員の電話番号を緊急連絡先に書いていた場合です。後者の社員は、自分では心当たりが無いまま、不審な電話を受けるかもしれません。家族の緊急連絡先に会社の携帯電話の番号を書いていれば、会社の番号も含まれます。
社員への周知と、緊急連絡先の棚卸しの手順
- 全社員に短い注意を流します。文面の例は次のとおりです。
クラブツーリズムが、インターネット会員約432万件の情報が流出した可能性を公表しました。項目には緊急連絡先も入っています。ご家族が会員の場合、ご自身の電話番号が緊急連絡先として含まれている可能性があります。
クラブツーリズムは、この件で電話・メール・SMSを使ってカード番号やパスワード、暗証番号を聞くことはないとしています。旅行会社や家族を名乗る不審な電話は、いったん切り、公式の窓口（0120-335-255）かご家族本人に確認してください。
- 受付と総務に、会社の代表番号や携帯電話に旅行会社を名乗る電話が来たときの受け方を伝えます。社員の家族の旅行について聞かれても、社員の予定や連絡先は答えません。
- 自社が預かる社員の緊急連絡先の置き場所を一覧にします。人事のシステム、安否確認のサービス、出張の手配を頼む旅行会社、研修やイベントの申し込みなどです。だれが出力できるか、退職した社員の分をいつ消すかも、同じ一覧に入れます。パナソニックの子会社の件では、2016年以降に退職した人の家族の情報まで残っていました。
- 外部に渡している緊急連絡先は、委託先の一覧に加えます。旅行会社や安否確認のサービスに渡した家族の情報は、漏れれば社員ではない人に影響が及びます。自社で漏れたとき、緊急連絡先の人にどう知らせるかも、前もって決めておきます。
