クラブツーリズムで432万件の情報漏えいの可能性 不正アクセス、パスポート・カード情報は対象外

ニュース

大手旅行会社のクラブツーリズムは2026年10月31日、同社サーバーの一部に外部から不正アクセスがあり、インターネット会員として登録した顧客の個人情報、約432万件が外部に流出した可能性があると発表した。ログインパスワードやパスポート情報、クレジットカード情報は対象に含まれていないとしている。同社は不正アクセスを受けたサーバーを隔離した上で公式サイトを一時停止し、警察や個人情報保護委員会などへの報告も済ませ、調査を進めている。

不正アクセスの発覚から発表までの経緯

同社によると、外部からの不正なアクセスを検知したのは2026年10月30日午前5時45分。対象になったのは、同社のインターネット予約システムに会員として登録されていた人の情報で、店舗のみの利用者は対象に含まれない。検知後、同社は不正アクセスを受けた箇所の通信を遮断してサーバーを隔離し、侵入経路の特定や問題点の修正、影響範囲の確認を進めたうえで、10月31日に「お詫びとお知らせ（第１信）」として最初の発表を行った。11月1日には親会社のKNT-CTホールディングスも、グループ会社での不正アクセスを公表し、グループ会社管理の強化を表明している。被害拡大の防止と調査のため、クラブツーリズムの公式サイトは現在停止中で、安全性を確認できた段階で再開する予定という。

漏えいした可能性がある情報と、対象外の情報

流出した可能性があるとされているのは、氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先。一方で、ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号は含まれていないと同社は説明している。

つまり、今回の漏えいで不正決済のような直接的な金銭被害が生じるリスクは比較的小さい。しかし、氏名・住所・電話番号・メールアドレスは、本人になりすましたり、本人を装って接触したりするための材料としては十分にそろっている。クラブツーリズムや宅配業者、金融機関などを名乗る不審な電話・メール・SMSが来た場合は、文中のリンクや電話番号をそのまま信じず、公式サイトや公式窓口を自分で検索して確認するという基本的な対策が必要になる。

クラブツーリズムでは過去にも不正アクセスが公表されている

クラブツーリズムがサーバーへの不正アクセスを公表したのは、今回が初めてではない。2005年には、同社のウェブサーバーへの不正侵入により、最大で9万300人分の顧客情報が流出した可能性があると発表された。その後の警視庁の捜査では、不正アクセス禁止法違反の疑いで逮捕された学生が、約16万件の個人情報を不正に取得していたとされる。

さらに2024年11月にも、同社は委託先のシステム会社からの報告を受けて、海外ツアー参加者を対象とした不正アクセスの可能性を公表している。この時の具体的な流出件数は公表されておらず、今回の432万件とは別の事案だ。今回とあわせると、同社は少なくとも3回、不正アクセスによる情報漏えいの可能性を公表していることになる。

漏えい時に企業へ義務づけられているルール

個人情報を扱う企業が漏えいなどを起こした場合の対応は、2022年4月1日から個人情報保護法第26条で定められている。要配慮個人情報が含まれる、財産的被害が生じるおそれがある、不正の目的によるおそれがある、対象者が1,000人を超える、のいずれかに当たる場合、企業には個人情報保護委員会への報告と本人への通知が義務となる。

クラブツーリズムの432万件は、この1,000件という基準を大きく超える規模だ。同社は警察に相談したうえで、個人情報保護委員会と監督官庁への報告を済ませたとしており、対象となった可能性がある顧客にも順次連絡するとしている。

対象になった場合、今できること

クラブツーリズムのインターネット会員として登録したことがない人は、今回の対象には含まれないと同社は説明している。心当たりがある場合は、同社からの連絡や公式サイトの発表を確認するのが基本になる。パスワードやクレジットカード情報は対象外とされているため、現時点で公表されている情報からは、今すぐパスワードを変更したりカードを止めたりする必要性は高くない。一方で、氏名・住所・電話番号などを使った不審な連絡には注意が必要だ。クラブツーリズムや提携先、宅配業者などを名乗る不審な電話・SMS・メールが来た場合は、記載のリンクを開かず、折り返しも公式窓口の番号で行うようにしたい。

今後の見通し

同社は安全性を確認できた段階で公式サイトを再開する予定としているが、具体的な再開日は本稿執筆時点では発表されていない。調査は関係機関の協力を得て継続中で、侵入経路の特定や影響範囲の確定、対象者への個別連絡が今後の焦点になる。新たな事実が判明した場合は、同社が改めて発表するとみられる。

よくある質問

Q. 自分の情報が対象になっているか、どう確認すればいいですか？
A. 本記事の情報源では、個別の確認方法は示されていません。クラブツーリズムのインターネット会員として登録していた場合は対象になる可能性があり、同社からの連絡や公式サイトの発表を確認してください。

Q. パスワードは変更したほうがいいですか？
A. 同社の発表では、ログインパスワードは今回の漏えい対象に含まれていないとされています。ただし、同じパスワードを他のサービスでも使っている場合は、見直しを検討してもよいでしょう。

Q. クレジットカードや銀行口座は大丈夫ですか？
A. 同社の発表では、クレジットカード情報と金融機関口座番号は対象に含まれていないとされています。

Q. 店舗でツアーを申し込んだだけの人も対象になりますか？
A. 同社の発表では、対象はインターネット予約システムに会員として登録した人の情報とされています。インターネット会員として登録したことがない人には影響がないとしています。

関連記事

不正アクセスをめぐるニュースでは、以下の記事も参考になる。

GMO「お名前.comデスクトップクラウド」に不正アクセス FX口座悪用の恐れ、見舞金5000円と全額補償へ：同じく不正アクセスによる情報漏えい・不正利用が懸念された事例。

情報源

コメント