【約432万件】クラブツーリズムに不正アクセス、会員の住所・国籍・緊急連絡先などが流出の可能性

旅行会社のクラブツーリズムは2026年10月31日、サーバーの一部が外部から不正アクセスを受け、インターネット会員の情報約432万件が外部に流出した可能性があると公表しました。氏名や住所、電話番号に加えて、国籍や緊急連絡先も対象です。

ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関の口座番号は含まれていません。インターネット会員に登録したことがない人の情報にも影響はないとしています。

対象はインターネット会員の約432万件
10月30日早朝に検知、ホームページは停止中
会員がとるべき対応
1. 1. クラブツーリズムを装った連絡に応じない
2. 2. 同じパスワードを使っているサービスを変更する
問い合わせ先
まとめ

対象はインターネット会員の約432万件

項目	内容
対象	インターネット予約システムにインターネット会員として登録している人
件数	約432万件
漏えいした可能性がある情報	氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先
含まれない情報	ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号
二次被害	本件が原因とみられる具体的な被害は確認されていない

緊急連絡先として登録した家族などの情報も、対象に含まれる点に注意が必要です。情報が漏洩した可能性のある人には、順次連絡するとしています。

10月30日早朝に検知、ホームページは停止中

クラブツーリズムは2026年10月30日5時45分に外部からの不正なアクセスを検知し、すぐに通信の遮断などの対策を行いました。その後の調査で、会員情報が漏えいした可能性を確認しています。

不正アクセスを受けたサーバーを隔離し、攻撃元からの通信を遮断した
侵入経路と手段を特定し、問題点を修正した。影響範囲や同様の事象の点検も実施済み
被害拡大の防止と調査のため、ホームページを停止している。安全性を再確認したうえで再開する予定
警察に相談し、個人情報保護委員会と監督官庁に報告した

侵入経路を特定したとしていますが、その中身は公表されていません。クラブツーリズムは2024年10月にも、構築中のサーバーへの不正アクセスを公表していました。

会員がとるべき対応

1. クラブツーリズムを装った連絡に応じない

クラブツーリズムは、本件に関して電話・メール・SMS・郵便などで、カード番号、銀行口座情報、暗証番号、ID・パスワード、マイナンバーを尋ねることは一切ないとしています。不審なURLを開いたり、添付ファイルを開いたり、個人情報を入力したりしないよう求めています。迷ったときは、店頭や電話窓口、公式サイトで確かめるよう案内しています。

2. 同じパスワードを使っているサービスを変更する

パスワードは対象外ですが、クラブツーリズムと同じパスワードをほかのサービスで使っている場合は、念のため変更を検討するよう呼びかけています。サービスごとに推測しにくいパスワードを設定し、多要素認証が使える場合は設定することもすすめています。

ここからは公式発表には書かれていない、筆者の見解です。漏えいの可能性がある情報には、生年月日や国籍、緊急連絡先までそろっています。ツアーの参加者を装って「旅行代金の返金」「ツアー変更の確認」を持ちかける連絡や、緊急連絡先の家族に「旅先でトラブルがあった」と連絡する手口も考えられます。家族を緊急連絡先に登録している人は、本件のことを家族にも伝えておくと安心です。