Club Tourism: Hackerangriff, bis zu 4,32 Mio. Datensätze betroffen

Der japanische Reiseveranstalter Club Tourism hat am 31. Oktober bekannt gegeben, dass nach einem unbefugten Zugriff von außen persönliche Daten von rund 4,32 Millionen Online-Mitgliedern abgeflossen sein könnten. Die Website des Unternehmens ist vorerst abgeschaltet.

Welche Daten betroffen sind

Betroffen sind Kundinnen und Kunden, die im Online-Buchungssystem als Mitglieder registriert sind. Die Daten umfassen Name, Staatsangehörigkeit, Geschlecht, Geburtsdatum bzw. Alter, Adresse, Telefonnummer, E-Mail-Adresse, Mitglieds-ID und Notfallkontakte.

Laut Unternehmen sind Personen, die nie ein Online-Konto angelegt haben, nicht betroffen. Passwörter, Passdaten, Kreditkarteninformationen und Bankkontonummern gehören nicht zu den möglicherweise abgeflossenen Daten.

Reaktion und Ablauf

Club Tourism bemerkte den unbefugten Zugriff am 30. Oktober um 5:45 Uhr Ortszeit. Eine anschließende Untersuchung ergab, dass Informationen möglicherweise nach außen gelangt sind.

Das Unternehmen isolierte den betroffenen Server und blockierte die Verbindungen der Angreifer. Nach eigenen Angaben wurden Einfallstor und Vorgehensweise identifiziert und die Schwachstellen behoben. Die Untersuchung läuft gemeinsam mit externen Prüfern und zuständigen Behörden weiter.

Um weiteren Schaden zu verhindern und die Ermittlungen zu unterstützen, bleibt die Website gesperrt. Sie soll wieder online gehen, sobald die Sicherheit erneut bestätigt ist.

Warum das wichtig ist

Auch ohne Passwörter und Zahlungsdaten reichen Namen, Adressen, Telefonnummern, E-Mail-Adressen und Notfallkontakte aus, um gezielte Phishing- und Betrugsversuche zu starten. Betroffene sollten bei unerwarteten Nachrichten mit Bezug zu Reisebuchungen oder Mitgliedschaft misstrauisch sein.

Der Vorfall reiht sich in mehrere Datenpannen bei japanischen Reise- und Konsumdienstleistern ein und lenkt den Blick auf die Sicherheit von Buchungsplattformen. Einen Termin für die Wiedereröffnung der Seite nennt Club Tourism bislang nicht.