要点
発表された事実
- KNT-CTホールディングス傘下のクラブツーリズムは2026年10月31日、10月30日5時45分ごろにインターネット予約システムへの不正アクセスを検知したと公表した（ビジネス＋IT（Yahoo!ニュース）、読売新聞）。
- 流出した可能性があるのはインターネット会員約432万人分。氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先が対象とされる（同）。
- ログインパスワード、旅券（パスポート）情報、クレジットカード情報、銀行口座番号は含まれないとしている。インターネット会員に登録していない利用者は対象外（同）。
- 該当する通信の遮断、サーバーの隔離、攻撃元の遮断を行い、侵入経路と手段を特定して対処したと説明している。ホームページは停止し、安全を再確認してから再開する。警察に相談し、個人情報保護委員会と監督官庁へ報告した。二次被害は確認されていない（同、時事通信）。
- 【2026-11-07追記】クラブツーリズムは11月7日の第2信で、システム会社とセキュリティ専門会社と連携してシステムの点検と必要なセキュリティ対策を行い、再開に必要な対策と確認が完了したとして、同日ホームページ（club-t.com）を一部のページを除き再開したと公表した。「旅の思い出 写真大募集ページ」は引き続き停止している。会員に新たな手続きは不要だが、他サービスと同じ・類似のパスワードや推測されやすいパスワードを設定している場合は変更を勧めている。メールやSMSでリンクに誘導してログイン情報の復旧やパスワード変更を求めることはないとしている（クラブツーリズム 第2信）。
わかったこと
- 【2026-11-07】ホームページの再開：11月7日に一部のページを除き再開した。「旅の思い出 写真大募集ページ」は停止を続けている（クラブツーリズム 第2信）。
わかっていないこと
- 特定したとされる侵入経路と手段の内容
- 約432万件のうち、実際に持ち出されたデータがあるか
- 不正アクセスがいつ始まったか
- 「旅の思い出 写真大募集ページ」の再開時期（【2026-11-07追記】ホームページはそれ以外のページで11月7日に再開）
関係しそうな既知の手口
- （考察）2026年10月は国内で大規模な会員データベースへの不正アクセスの公表が続いており、JPCERT/CCも注意喚起を出している。本件との関係は公表されていない。
概要
- クラブツーリズムのインターネット予約システムが不正アクセスを受け、ネット会員約432万人分の個人情報が流出した可能性がある。
- 国籍や緊急連絡先など旅行予約特有の項目が含まれる一方、パスワードや旅券、カード情報は含まれないとされる。
- 侵入経路は特定済みとされるが内容は公表されておらず、サイトは停止が続いている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-30（金）5:45ごろ | インターネット予約システムへの不正アクセスを検知（ビジネス＋IT、読売新聞） |
| 10-30以降 | 通信遮断、サーバー隔離、攻撃元の遮断。ホームページを停止（同） |
| 10-31（土） | クラブツーリズムが公表（同、時事通信） |
| 11-07（土） | 第2信。ホームページを一部ページを除き再開。「旅の思い出 写真大募集ページ」は停止を継続（クラブツーリズム 第2信） |
発表内容の整理
事実（報道による）
| 項目 | 内容 |
|---|---|
| 対象 | インターネット会員 約432万人 |
| 流出した可能性がある情報 | 氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先 |
| 含まれないとされる情報 | ログインパスワード、旅券情報、クレジットカード情報、銀行口座番号 |
| 対象外 | インターネット会員に登録していない利用者 |
| 対応 | 通信遮断、サーバー隔離、攻撃元の遮断、侵入経路・手段を特定して対処、ホームページ停止 |
| 報告・相談 | 警察に相談、個人情報保護委員会・監督官庁に報告 |
| 利用者への呼びかけ | 同じパスワードを使い回している場合の変更、多要素認証の設定 |
| 窓口 | 0120-335-255（平日9:30〜17:00、11月は土日祝も受け付け） |
クラブツーリズム自身の告知文は、ホームページ停止のため今回確認できなかった。内容は報道に基づく。
考察
パスワードは含まれないとしながら、使い回しパスワードの変更を呼びかけている点は、念のための案内と読める。対象の項目に国籍や緊急連絡先が含まれるため、会員本人だけでなく緊急連絡先として登録された家族などの情報も含まれうる（考察）。
氏名・住所・電話番号・生年月日がそろうと、旅行会社を名乗る詐欺の連絡に使われやすい。クラブツーリズムは会員向けに旅行案内を多く送っているため、本物の案内と見分けにくい偽の連絡が出てくるおそれがある（考察）。
関係しそうな既知の手口
事実（既知の知見）
考察
会員データベースを持つ予約サイトは、Webアプリの脆弱性や管理画面、API経由で一度に大量のデータを抜かれる例が多い。本件の手口は公表されておらず、どれに当たるかはわからない（考察）。
利用者・運用者がいまできること
- クラブツーリズムのネット会員は、同じパスワードを他のサービスで使っている場合は変更し、多要素認証を設定できるサービスでは設定する。
- 旅行の予約内容や支払いを理由に、リンクを開かせたり個人情報を入力させたりする連絡に注意する。不安な場合は窓口（0120-335-255）に確認する。
- 予約サイトの運営者は、会員データベースへの大量読み出しを検知できるか、緊急連絡先など本来の利用目的に比べて保有しすぎている項目がないかを点検する。