📡 Signal｜クラブツーリズム、ネット会員約432万件に流出のおそれ

旅行大手のクラブツーリズムは 10 月 31 日、自社サーバーへの不正アクセスで、インターネット会員約 432 万件の個人情報が外部に流出した可能性があると発表した。氏名や住所に加えて、国籍と緊急連絡先まで含まれる。同社は被害の拡大を防ぐためホームページを止めており、11 月 1 日時点で予約サイトのマイページやクレジットカード決済も使えない。

クラブツーリズム「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026 年 10 月 31 日・約 432 万件・10 月 30 日 5 時 45 分に検知・漏えいした可能性のある項目・特設窓口）クラブツーリズム

旅行会社の会員データは、旅程を組むために本人以外の情報まで抱える。今回は対象が 400 万件を超えたうえ、発表の翌日には同社を装う偽のメールや SMS が出回り始めた。会員が気をつけるべきは、流出そのものより、この先に届く「会員情報の確認」を名乗る連絡になる。

10 月 30 日早朝に検知、サイトは止めたまま

発表によると、同社は 10 月 30 日 5 時 45 分に外部からの不正なアクセスを検知した。すぐに調査を始め、不正アクセスを受けた箇所の通信を遮断した。その後の調べで、会員情報の一部が外部に漏れた可能性を確認したという。

同社はすでに、攻撃を受けたサーバーを切り離し、侵入経路と手段を特定して問題点を直したとしている。警察に相談し、個人情報保護委員会と監督官庁にも報告した。それでもホームページは止めたままで、安全性を確かめ次第再開するという。

予約サイト「クラブツーリズム」のトップはメンテナンスの告知に切り替わっている。マイページ、クレジットカード決済、Web で申し込んだ旅行の書類の確認が使えず、旅行の問い合わせは各旅行センターの電話で受け付ける。定額サービス「クラブツーリズム PASS」の年額プランは 11 月 1 日が更新日にあたる会員がおり、会費はいったん引き落とされたうえで後日返金するとしている。

432 万件に含まれる国籍と緊急連絡先

対象は、インターネット予約システムに会員登録した人の次の情報だ。

• 氏名（漢字・カナ）、性別、生年月日・年齢
• 国籍
• 住所、電話番号、メールアドレス
• 会員 ID
• 緊急連絡先

ログインのパスワード、パスポートの情報、クレジットカードの情報、金融機関の口座番号は含まれていない。インターネット会員に登録したことがない客には影響がないとしている。

緊急連絡先は、旅行中に何かあったときに家族などへ連絡するための欄で、会員本人とは別の人の名前や電話番号が入る。生年月日と住所と家族の連絡先が 1 件の記録に揃っていれば、本人や家族を名乗って話を進める詐欺の材料になる。432 万件のうち何件に緊急連絡先が登録されていたかは、発表に書かれていない。

同社は 2 年前にも不正アクセスを受けている。2024 年 10 月 30 日、システム会社に構築を任せていた途中のサーバーに侵入され、海外ツアーの航空券手配の記録に含まれるパスポート番号など 3,349 件と、写真コンテストの応募者 5,078 件が閲覧できる状態になった。調査では情報が持ち出された明確な痕跡は見つからず、原因は委託先が構築中のサーバーに必要な対策をとっていなかったことだった。今回の侵入経路は「特定した」とされているが、中身は公表されていない。

翌日から出回り始めた偽の連絡

11 月 1 日、同社は別のお知らせを出した。同社名や同社の関係者を装った不審なメールや SMS が送られているとの情報が寄せられているという。お知らせは「会員情報の復旧や確認などの名目で送られるメール」と「クレジットカード情報の入力を求めるメール」は詐欺だと明記し、同社がメールや SMS、LINE で送ったリンク先でパスワードやカード情報の入力を求めることはないと書いた。

10 月 31 日の発表も、同社が本件に関連してクレジットカード番号や口座情報、暗証番号、マイナンバーを尋ねることは一切ないとしている。同じパスワードを他のサービスでも使っている場合は変更を検討し、多要素認証が使えるなら設定するよう求めた。現時点で、本件が原因と考えられる二次被害は確認されていない。

予約サイトが止まっている間は、本物の連絡と偽物を見分けにくい。マイページで手続きを確かめられないことを逆手に取り、「サイト停止のため、こちらで手続きを」と誘う文面は作りやすい。

次に見るもの

最初の確認先は、クラブツーリズムの企業サイトに出る第 2 信だ。10 月 31 日の発表は「第 1 信」と題しており、侵入経路の中身と、緊急連絡先を含む記録の件数が次の論点になる。同社は対象の会員に順次連絡するとしている。

その次は、予約サイトのホームページの再開の告知になる。サイトが戻れば、会員は公式のマイページで自分への連絡や手続きを確かめられるようになる。それまでの問い合わせは、同社が設けた特設窓口（フリーダイヤル 0120-335-255・平日 9 時 30 分〜17 時、11 月中は土日祝日も受付）が受ける。

ことば

• 緊急連絡先 — 旅行の申し込み時に登録する、旅行中の事故や急病のときに連絡する相手。多くは家族で、会員本人ではない人の氏名や電話番号が会社のデータベースに入る。漏えいすると、本人だけでなく家族も詐欺の連絡を受ける側に回る。
• 多要素認証 — パスワードに加えて、スマートフォンに届く確認コードなど別の手段で本人確認を重ねる仕組み。パスワードが他のサービスで漏れていても、それだけではログインされにくくなる。
• SMS — 携帯電話番号あてに送る短いメッセージ。電話番号だけで届くため、流出した名簿を使った偽の連絡に使われやすく、文中のリンクから偽のサイトに誘う手口が多い。

🔗 一次ソース

• クラブツーリズム「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026 年 10 月 31 日・約 432 万件・10 月 30 日 5 時 45 分に検知・漏えいした可能性のある項目・特設窓口）クラブツーリズム
• クラブツーリズム「弊社を装った不審なメール・SMSにご注意ください」（2026 年 11 月 1 日）クラブツーリズム
• クラブツーリズム 予約サイトのシステムメンテナンスのお知らせ（マイページ・カード決済の停止・クラブツーリズム PASS の返金）club-t.com
• クラブツーリズム「当社サーバへの不正アクセスによる個人情報漏えいの可能性についてお詫びとご説明」（2024 年 12 月 6 日・2024 年 10 月 30 日の事案の調査結果）club-tourism.co.jp
• NHK ニュース（2026 年 10 月 31 日・クラブツーリズムの不正アクセスと約 432 万件の漏えいの可能性）news.web.nhk