ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、クラブツーリズムは10月31日、外部からの不正アクセスによりインターネット予約システムの会員情報約432万件が流出した可能性があると発表しました。氏名や住所のほか緊急連絡先などが対象に含まれており、同社はホームページを停止して調査と復旧を進めています。
ビジネス＋IT（Yahoo!ニュース）：クラブツーリズム、会員432万件が漏えいか…緊急連絡先まで含む被害の中身とは？
Web予約システムや会員向けポータルの脆弱性悪用による情報漏えいが懸念される場合は、専門家による網羅的な診断をご検討ください。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人）クラブツーリズムのインターネット予約システムに登録している会員（約432万件）
- （個人）流出した可能性があるデータ：氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先
- （個人）影響の対象外：インターネット会員に未登録の方、ログインパスワード、パスポート情報、クレジットカード情報、金融機関の口座番号
今すぐ取るべき対応
- （個人）同社を装ってクレジットカード番号や暗証番号、パスワードを聞き出そうとする不審な電話、メール、SMSを警戒し、一切回答しないようにします。
- （個人）他社サービスでクラブツーリズムと同じパスワードを使い回している場合はパスワードを変更し、利用可能なサービスでは多要素認証を有効化します。
- （企業）インターネット予約システムなどで不正通信を検知した際は、該当通信の遮断とサーバー隔離を即座に実施し、侵入経路の特定とパッチ適用を完了させます。
この記事に出てくる専門用語
- 多要素認証（MFA）：パスワードだけでなくSMSや専用アプリによる確認コードを組み合わせてログインする仕組みです。今回の事案を受け、他サービスへの不正ログインを防ぐ自衛策として設定が呼びかけられています。
- サーバー隔離：不正アクセスを受けた端末をネットワークから切り離し、被害の拡大や内部ネットワークへの横展開を防ぐ措置です。クラブツーリズムは検知直後に通信遮断と隔離を行いました。
不正アクセスを検知してから通信遮断に至るまでの経緯
ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、クラブツーリズムは10月30日の午前5時45分に外部からの不正アクセスを検知しました。同社は直ちに調査に着手し、攻撃元からの通信と不正アクセスを受けた箇所の通信を遮断したうえで、対象サーバーの隔離を実施しています。
攻撃の侵入経路と手段はすでに特定され、システムの修正作業に加えて同様の問題が存在しないかの点検も行われました。被害拡大を防ぐ措置として同社はホームページの公開を一時停止しており、安全性を再確認した段階で再開する方針を固めています。
私たち診断側の視点から見ても、早朝の不正アクセス検知から速やかにサーバーの切り離しと通信遮断へ移行した判断は被害を局所化するうえで適切です。侵入経路の具体的な脆弱性の種別は一次情報で明らかにされていませんが、Webアプリケーションの脆弱性から侵入を許した場合は迅速な封じ込めがさらなる情報流出の抑止につながります。
流出した可能性がある登録情報と漏えいを免れたデータの内訳
同社の発表によると、流出の懸念があるデータはインターネット予約システムに登録された会員情報のうち約432万件です。該当する項目には、漢字およびカナの氏名、国籍、性別、生年月日、年齢、住所、電話番号、メールアドレス、会員ID、そして旅行予約に伴う緊急連絡先が含まれます。
一方で、ログインパスワードやパスポート情報、クレジットカード情報、金融機関の口座番号は漏えいデータに含まれていないことが確認されています。インターネット会員として一度も登録したことがない利用者に対しても、本件による影響は及んでいません。
パスワードや決済情報が無事だった点は不幸中の幸いですが、緊急連絡先まで揃った個人情報はフィッシング詐欺に悪用されやすい特徴を持ちます。攻撃者が旅行関係者や家族を騙って連絡を仕掛けてくる危険性があるため、連絡先として登録された電話番号やメールアドレスの警戒を強める行動が欠かせません。
クラブツーリズムの会員が二次被害を防ぐために取るべき対応
同社は警察への相談および個人情報保護委員会や監督官庁への報告を済ませており、対象者へは順次個別の連絡を行う予定です。現時点でこの事案に起因する具体的な二次被害は確認されていませんが、同社を装った不審な電話やメール、SMSへの注意が呼びかけられています。
クラブツーリズムが今回の件に関連して、電話やメールなどでクレジットカード番号や暗証番号、パスワードの入力を求めることはありません。旅行会社を名乗る不審な連絡があっても、機密情報を回答しない姿勢を徹底してください。
会員側で直ちに確認すべき事項としては、予約システムと同じパスワードを他サービスで流用していないかの確認が挙げられます。使い回しがある場合は速やかに別々の強固な文字列へ変更し、多要素認証を設定できるサービスでは直ちに有効化して不正ログインを防ぎます。
参考文献・記事一覧
外部公開Webシステムの侵入経路となり得る不備を事前に把握し塞ぐため、Webアプリケーションペネトレーションテストの活用をお勧めします。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
