---
title: "クラブツーリズム、インターネット会員の情報 約432万件が漏えいした可能性。パスポートやカード情報は含まず、公式サイトは停止中"
description: "クラブツーリズムは2026年10月31日、サーバーへの不正アクセスでインターネット会員の情報 約432万件が流出した可能性があると発表。氏名・住所・電話番号・緊急連絡先などが対象で、パスワードやパスポート、カード情報は含まれていないという。ホームページは停止中で、対象の見分け方と特設窓口を整理した"
url: https://itpostjp.com/security/club-tourism-internet-member-possible-leak-4320000/
category: "セキュリティ"
published_at: 2026-10-31T21:46:00Z
updated_at: 2026-10-31T21:46:00Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: muse-wonder
terms: ["セキュリティインシデント", "フィッシング"]
---

# クラブツーリズム、インターネット会員の情報 約432万件が漏えいした可能性。パスポートやカード情報は含まず、公式サイトは停止中

IT Post編集部 ＆ 編集長 千田智也

クラブツーリズムは2026年10月31日、サーバーへの不正アクセスでインターネット会員の情報 約432万件が流出した可能性があると発表。氏名・住所・電話番号・緊急連絡先などが対象で、パスワードやパスポート、カード情報は含まれていないという。ホームページは停止中で、対象の見分け方と特設窓口を整理した

## 30秒で分かる結論

- クラブツーリズムは2026年10月31日、サーバーの一部への外部からの不正アクセスにより、インターネット予約システムの「インターネット会員」の情報 約432万件が外部に流出した可能性があると発表しました。検知は10月30日午前5時45分です。
- 対象項目は氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先です。ログインパスワード、パスポート情報、クレジットカード情報、金融機関の口座番号は含まれていないとしています。
- 同社はサーバーを隔離し、ホームページを停止しています。再開は安全性を再確認してからで、対象者へは順次連絡するとしています。予約サイトで会員登録をしたことがない人は、今回の対象ではないとされています。

## まず初めに

432万件という数字は、旅行会社の会員名簿としては途方もない大きさである。パスポートもカードも含まれていない、という一文にほっとする一方で、住所と電話番号と緊急連絡先がそろった名簿の重さは、それとは別に残る。旅行は「どこへ行くか」の情報そのものが暮らしの断面だからだ。数字の大きさに振り回されず、自分が対象かどうかを先に切り分ける。それがこの記事の順番である。

※個人の感想です

## 発表の内容

クラブツーリズムは2026年10月31日、企業サイトで「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）」を公表しました。発表によると、2026年10月30日にサーバーの一部に対する外部からの不正アクセスにより、保有する顧客情報の一部が外部に流出した可能性があることを確認したということです。

検知は10月30日午前5時45分です。同社は直ちに調査を開始し、不正アクセスを受けた箇所の通信を遮断して、必要なセキュリティ対策を実施しました。その後の調査で、顧客情報の一部について外部に漏えいした可能性があることを確認したとしています。侵入の経路や手口など、原因の詳細は第1信では公表されていません。

対象は、同社のインターネット予約システムで「インターネット会員」として登録している人の情報で、対象件数は約432万件です。同社は、インターネット会員に登録したことがない顧客の情報に影響はないとしています。件数は「人」の数ではなく、発表の表記のまま「件」として数えられています。

## 漏えいした可能性がある項目と、含まれていない情報

| 区分 | 内容 |
|---|---|
| 漏えいした可能性がある項目 | 氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先 |
| 含まれていない情報 | ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関の口座番号 |
| 対象範囲 | インターネット予約システムのインターネット会員として登録した人の情報、約432万件 |
| 対象外 | インターネット会員に登録したことがない顧客の情報 |

![クラブツーリズムの第1信で示された対象範囲 約432万件と、漏えいした可能性がある項目・含まれていない情報を整理した図解](/images/articles/club-tourism-internet-member-possible-leak-4320000-inline-1.webp)

含まれていない情報の顔ぶれは重要です。パスワードが含まれていないため、この件だけで同社の会員アカウントへそのままログインされる経路は示されていません。クレジットカード情報や口座番号も含まれていないため、直接の金銭被害につながる項目は対象外とされています。

一方で、氏名・住所・電話番号・メールアドレスに緊急連絡先までがそろった情報は、本人確認の材料として悪用される余地のある組み合わせです。同社も、不審な連絡への注意を最初のお願いに置いています。旅行会社の名簿という性質上、「予約の確認」などを装う連絡と結びつきやすい点も意識しておく必要があります。

## 会社の対応と、利用者が確認すること

発生後の対応として、同社は不正アクセスを受けたサーバーを隔離し、攻撃元からの通信を遮断する対策を実施済みだとしています。あわせて、侵入経路と手段の特定、問題点の修正、影響範囲と同様の事象の点検などの是正対応を実施済みだと説明しています。

被害拡大の防止と調査のため、同社のホームページは現在停止しています。再開は安全性を再確認してからだとしており、時期は示されていません。報道によると、その間の予約は電話で受け付けているということです。すでに申し込んだツアーの扱いについて、第1信の本文には具体的な記載はありません。

今後の対応として、情報が漏えいした可能性のある顧客へは順次連絡するとしています。また、警察への相談と、個人情報保護委員会および監督官庁への報告を行ったということです。現時点では、本件に起因すると考えられる具体的な二次被害は確認されていないとしています。

同社が利用者へ求めているのは、次の3点です。

1. **不審な連絡への注意。** 同社が本件に関連して、電話・メール・SMS・郵便などでクレジットカード番号、銀行口座情報、暗証番号、ID・パスワード、マイナンバーなどを尋ねることは一切ないとしています。不審なURLへのアクセスや添付ファイルの開封、情報の入力は避け、迷う場合は店頭や電話窓口、公式サイトで確認するよう求めています。
2. **パスワードの使い回しの見直し。** 同社のサービスと同一のパスワードを他のサービスでも使っている場合は、変更の検討を。サービスごとに推測されにくい異なるパスワードを設定し、多要素認証が使える場合は設定するよう呼びかけています。なお、今回の対象に同社のパスワード自体は含まれていません。これは念のための一般的な注意です。
3. **不審な事象があれば窓口へ連絡。** 問い合わせ先は「クラブツーリズム株式会社 お客様特設窓口」で、電話番号（フリーダイヤル）は0120-335-255、受付時間は平日9時30分から17時で、11月中は土曜・日曜・祝日も同じ時間で受け付けるということです。

旅行予約をめぐる大規模な情報流出の公表は、この秋だけでも航空・旅行の分野で続いています。IT Postでも、全日本空輸が委託先のシステム経由で予約情報が参照された形跡を公表した件を伝えました（[ANAの予約情報に関する記事](https://itpostjp.com/security/ana-amadeus-reservation-access-37800/)）。あちらは委託先のシステムが起点で、今回は自社のサーバーが対象です。起点は違っても、利用者側で確認すべきこと――対象かどうか、不審な連絡への備え――は共通しています。

## IT Postの見方

IT Postでは、今回の第1信は「出すべきものを先に出した」公表だと考えます。検知から翌日の公表、対象項目と含まれていない情報の切り分け、窓口の休日対応までが初報にそろっている。432万件という数字だけが独り歩きしがちな局面で、読み手が自分の対象可否を判断できる材料は一通り置かれている。

ただし、足りないものもはっきりしている。侵入経路と、情報がどの範囲まで外へ出たのかの確定度だ。第1信の段階で「可能性」の域を出ないのは仕方ないとしても、次の報でここが具体化されるかどうかで、この公表への評価は決まる。ホームページ停止の長期化は、それ自体が利用者の不安の材料になる。再開時期の見通しも含め、第2信の早さが問われる局面だ。

そして名簿の性質である。緊急連絡先まで含む名簿は、届いた側にとっては「家族の連絡先まで知られている」という感触になる。カード番号がないから軽い、という話にはならない。件数の大きさと項目の顔ぶれの両方で、この件は重い部類に入る。

## 今後どうなりそうか

同社は調査を継続し、対象者へ順次連絡するとしています。今後の焦点は、侵入経路と漏えいの確定範囲、ホームページとインターネット予約の再開時期、そしてすでに申し込んだツアーの扱いが公式にどう案内されるかです。続報が出れば、この記事の続報として追います。

利用者はまず、自分がインターネット会員に登録したことがあるかを確認してください。登録した覚えがある人は、同社からの連絡を待つ間に、不審な電話やメールへの警戒と、パスワードの使い回しの見直しを先に済ませておくのが、第1信に沿った動き方です。

## 情報源

「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。

- [不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）](https://www.club-tourism.co.jp/jpn/news/2026/1031/) — クラブツーリズム株式会社（一次情報）
- [クラブツーリズム、不正アクセスで約432万件の個人情報が流出の可能性](https://www.traicy.com/posts/20261101386570/) — TRAICY
- [クラブツーリズムで約432万件の個人情報が漏れたか　不正アクセス](https://www.asahi.com/articles/ASVB04F36VB0UTIL00XM.html?iref=ogimage_rek) — 朝日新聞

## この記事に出てくるIT用語

- [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。
- [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/club-tourism-internet-member-possible-leak-4320000/