クラブツーリズム情報漏えいの可能性約432万件と対象外情報を分ける

資料で確認できること

10月30日に不正アクセスを検知し、約432万件を対象と公表

クラブツーリズムは2026年10月30日5時45分、一部サーバへの外部からの不正アクセスを検知しました。通信を遮断し、必要な対策を行った後の調査で、同社が保有する顧客情報の一部が外部に漏えいした可能性を確認したと、10月31日の第1信で説明しています。

対象は、同社のインターネット予約システムへ会員登録した情報約432万件です。11月1日には親会社のKNT-CTホールディングスも、グループ会社の発表を案内し、管理を強化すると公表しました。約432万件を旅行者全体や実被害の人数へ置き換えることはできません。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）
• 資料 02KNT-CTホールディングス株式会社：グループ会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

当事者の説明

氏名・住所・連絡先・会員IDなどが対象、カード情報などは対象外

漏えいした可能性がある項目は、氏名、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先です。登録された項目の列挙であり、一件ごとにすべての項目が外部へ出たことを示す個別確認結果ではありません。

会社は、ログインパスワード、パスポート情報、クレジットカード情報、金融機関口座番号は含まれず、インターネット会員に登録したことがない顧客への影響はないと説明しています。会員IDが対象でも、パスワードまで対象だと広げてはいけません。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）

当事者の説明

サーバ隔離と修正を実施し、対象者への連絡を予定

会社は、不正アクセスを受けたサーバの隔離、攻撃元からの通信遮断、侵入経路と手段の特定、問題点の修正、影響範囲と同様事象の点検を実施したと説明しています。調査と安全確認のため、発表時点ではホームページを停止していました。

漏えいした可能性がある顧客には順次連絡し、警察への相談、個人情報保護委員会と監督官庁への報告を行ったとしています。会社を装ってカード番号、暗証番号、パスワードなどを尋ねることはないとして、不審な連絡への注意を呼び掛けています。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）

当事者の説明

11月7日に一部ページを除きホームページを再開

クラブツーリズムは2026年11月7日、システム会社・セキュリティ専門会社と点検、必要な対策、安全性の確認を行い、一部のページを除いてホームページを再開したと第2信で公表しました。「旅の思い出 写真大募集ページ」は引き続き停止しているため、全面復旧と読み替えることはできません。

既存会員に新たな手続きは不要とする一方、他サービスと同じ・類似のパスワードや推測されやすいパスワードを使っている場合は変更を勧めています。会社は、メールやSMSのリンクでログイン情報の復旧やパスワード変更を求めることはないと説明し、不審な連絡への注意を呼び掛けています。

• 資料 03クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第2信：ホームページの再開について）

未確認の点

個別の漏えい項目、流出経路、対象者数、二次被害は未確定

2026年11月8日の確認時点で、約432万件のうち実際に外部へ持ち出された件数、重複を除いた人数、対象者ごとの項目、侵入の開始日時と方法、データの取得先・保存先、個別連絡の完了時期は、第1信と第2信だけでは確定できません。第2信はホームページ再開に関する説明で、漏えい可能性の範囲を確定する続報ではありません。

会社は公表時点で、本件に起因すると考えられる具体的な二次被害は確認していないとしています。これは将来の悪用が起きないという保証ではなく、不正アクセスや漏えい可能性がなかったという意味でもありません。追加発表で確認範囲を更新する必要があります。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）

確認の範囲

このコラムの確認範囲

本稿は2026年11月2日にクラブツーリズムの10月31日付第1信とKNT-CTホールディングスの11月1日付発表を確認し、11月8日にクラブツーリズムの11月7日付第2信を追加確認しました。JBJは会社、利用者、調査機関、関係当局、攻撃者へ直接取材しておらず、サーバ、ログ、会員情報、個別通知、二次被害を独立に確認していません。掲載画像は説明用イメージです。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）
• 資料 02KNT-CTホールディングス株式会社：グループ会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 資料 03クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第2信：ホームページの再開について）

JBJの見解

大きな件数を恐怖の材料にせず、対象と行動を具体化する

約432万件という規模は重大です。会社には対象者への迅速な通知、問い合わせ対応、調査結果と再発防止策の継続公表が求められます。一方、対象外と明示されたカード情報や旅券情報まで漏れたとの断定は、利用者の不安を広げ、必要な確認を難しくします。

注意喚起は、会員登録の有無、対象項目、公式通知の確認、不審な連絡へ応答しないことを具体的に示すべきです。旅行先、同行者、健康状態など、公表資料にない情報を推測して投稿したり、利用者や現場職員を責めたりすることは避けます。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）

JBJの見解

会員登録、公式通知、不審な連絡を分けて記録する

利用者は、インターネット会員登録の有無、会社から届いた個別通知、登録している連絡先、公式発表のURLと確認日時、不審なメール・SMS・電話を分けて保存してください。連絡内のリンクや番号をそのまま使わず、公式サイトを自分で開いて窓口を照合します。

不審な連絡へカード番号、口座情報、暗証番号、パスワード、認証コードを渡さないでください。金銭やアカウントの被害が疑われる場合は、クラブツーリズム、金融機関、警察などの公式窓口へ連絡し、日時、相手、内容、行った操作を記録します。

• 資料 01クラブツーリズム株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）