クラブツーリズムのサーバーに不正アクセス、インターネット会員 約432万件 検知の翌日にホームページを停止

事案の概要データ

図解：この事故の構造

何が起きたのか

クラブツーリズムは2026年10月31日、サーバーへの不正アクセスにより顧客の個人情報が漏えいした可能性があると公表しました。

公表文によれば、2026年10月30日5時45分に外部からの不正なアクセスを検知。直ちに調査を開始し、当社サーバの一部に対する不正アクセスにより、インターネット会員の情報が漏えいした可能性があることが分かりました。

対象件数は約432万件。 情報項目は、氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先です。

「ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号は含まれておりません」と明記。また「当社インターネット会員に登録をされたことがないお客様の情報に影響はございません」としています。

同社は不正アクセスを受けたサーバーを隔離し、攻撃元からの通信を遮断。ホームページを停止したうえで、警察への相談と、個人情報保護委員会および監督官庁への報告を行いました。

親会社のKNT-CTホールディングスも、翌11月1日に「グループ会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」を公表しています。

「国籍」と「緊急連絡先」——旅行会社ならではの項目

漏えい項目の並びを、もう一度読んでください。氏名、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先。

ここに国籍と緊急連絡先が入っているのが、この事案の特徴です。どちらも、一般的なECサイトの会員情報にはありません。

国籍は、海外旅行の手配に必要です。ビザの要否、入国条件、航空券の発券。だから旅行会社は聞きます。しかし、国籍は法律上も特に配慮が必要とされうる情報です。「人種」に関する情報と結びつきやすく、差別的な取り扱いに使われる可能性があるからです。

緊急連絡先は、もっと直接的です。これは本人以外の第三者の氏名と電話番号であることがほとんどです。親、配偶者、子ども、きょうだい。つまり、会員登録していない人の情報が漏れています。

公表文は「当社インターネット会員に登録をされたことがないお客様の情報に影響はございません」としていますが、緊急連絡先として登録された家族は、自分の電話番号がクラブツーリズムに登録されていたことすら知らないかもしれません。

ここが中小企業にとっての論点です。自社のフォームに「本人以外の情報を書かせる欄」はありませんか。

緊急連絡先、保証人、紹介者、同行者、配送先（贈り物の送り先）、家族構成。これらは本人の同意だけで集めていますが、情報の持ち主は別の人です。漏れたとき、その人に連絡する手段は多くの場合ありません。

対策は難しくありません。①本当に必要な場面まで、第三者の情報は集めない。 緊急連絡先が必要なのは実際にツアーに参加するときで、会員登録の時点ではないかもしれません。②集めるなら、保存期間を決める。 旅行が終わった後も持ち続ける理由があるかを考えてください。

検知が「5時45分」と分単位で書かれている

公表文の中で、地味ですが評価できる点があります。検知の時刻が分単位で書かれていることです。

「2026年10月30日5時45分外部からの不正なアクセスを検知しました。直ちに調査を開始し…」

午前5時45分です。営業時間外、ほとんどの社員が出社していない時間帯に検知しています。これは、人が見ていたのではなく、監視の仕組みが動いていたことを示します。

そして翌10月31日には第1信を公表しています。検知から約1日です。この間に、サーバーの隔離、通信の遮断、ホームページの停止、侵入経路と手段の特定、件数（約432万件）と項目の確定、警察・個人情報保護委員会・監督官庁への報告まで済ませています。

1日でここまでやるには、事前の準備が要ります。 誰が判断するか、誰に連絡するか、何を止めるか。これが決まっていなければ、1日では動けません。

中小企業が同じ速度で動くのは難しいとしても、「深夜や早朝に異常が起きたら、どう気づくか」は考えておく価値があります。

現実的な方法は、クラウドサービスの通知機能を使うことです。多くのサービスに「普段と違う場所からのログイン」「管理者権限の変更」「大量のデータ出力」を管理者へ通知する機能があります。既定では切れていることが多いので、管理画面で有効にするだけです。費用はかかりません。

そして通知の送り先を、全員が見ていないメーリングリストにしないこと。個人のスマートフォンに届くようにしてください。午前5時45分に鳴らなければ、意味がありません。

「侵入経路および手段を特定し」とだけ書いて、中身は書かなかった

原因について、公表文はこう書いています。

「侵入経路および手段を特定し、問題点の修正、影響範囲および同様の事象の点検等の是正対応を実施済みです」

特定した。修正した。点検した。しかし、何だったかは書いていません。

これをどう評価するか。意見が分かれるところです。

書かない理由は想像がつきます。侵入経路を公表すると、同じ手口が他社に使われる恐れがあります。また、修正が完了していても、類似の構成を持つ他社に攻撃が向かう可能性があります。

書いてほしい理由も明確です。同じ製品や構成を使っている企業は、自社も危ないかを判断できません。本サイトでは、ラクスライトクラウドが「API用サーバー2台への侵入」と具体的に書いた例を扱いました。あの一文で、他社は自社のAPI用サーバーを点検できます。

現実的な落としどころは、「いつ、どのように書くか」です。調査中で修正も終わっていない段階で経路を書けば、攻撃を誘発します。しかし修正と点検が済んだ後なら、類似の構成を持つ企業が守りを固めるために使えます。

クラブツーリズムは「是正対応を実施済み」と書いています。であれば、第2報以降で経路を公表する余地はあります。

中小企業が自社で公表文を書くときの判断基準は、シンプルにできます。「これを読んだ同業他社が、明日やることが1つでも増えるか」。 増えるなら書く。攻撃の手引きになるだけなら書かない。

なお同社は、公表の翌日（11月1日）に「弊社を装った不審なメール・SMSにご注意ください」という別のお知らせも出しています。大きな事故の後には必ず便乗詐欺が来る、という前提で先回りした対応です。これは中小企業でもそのまま真似できます。

時系列で見る経過

• 2026年10月30日 5時45分外部からの不正なアクセスを検知。直ちに調査を開始
• 2026年10月30日不正アクセスを受けたサーバを隔離し、攻撃元からの通信を遮断。被害拡大防止と調査のためホームページを停止
• （調査の中で）侵入経路および手段を特定し、問題点の修正、影響範囲および同様の事象の点検等の是正対応を実施
• 2026年10月31日第1信を公表。インターネット会員 約432万件の個人情報が漏えいした可能性。警察への相談、個人情報保護委員会および監督官庁への報告を実施
• 2026年11月1日「弊社を装った不審なメール・SMSにご注意ください」を公表。親会社のKNT-CTホールディングスもグループ会社の事案として公表
• 今後情報が漏えいした可能性のある顧客へ順次連絡。ホームページは安全性を再確認次第、再開予定

中小企業が学ぶべきポイント

1. 緊急連絡先は、本人以外の第三者の氏名と電話番号。会員登録していない人の情報が漏れる。
2. 自社のフォームに「本人以外の情報を書かせる欄」がないか確認する（保証人、紹介者、配送先など）。
3. 第三者の情報は、本当に必要な場面まで集めない。集めるなら保存期間を決める。
4. 国籍は配慮が必要な情報。海外手配に必要でも、持ち続ける必要があるかは別の話。
5. 午前5時45分の検知は、人ではなく監視の仕組みが動いていたことを示す。
6. クラウドサービスの異常ログイン通知を管理画面で有効にする。費用はかからない。
7. 通知の送り先は個人のスマートフォン。早朝に鳴らない通知は意味がない。
8. 検知から1日で公表するには、誰が判断し誰に連絡するかが事前に決まっている必要がある。
9. 侵入経路を書くかの判断基準は「読んだ同業他社が明日やることが1つ増えるか」。
10. 大きな事故の後には便乗詐欺が来る。先回りして注意喚起を出す。

出典・参考

• 不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）（クラブツーリズム・2026年10月31日）
• 弊社を装った不審なメール・SMSにご注意ください（クラブツーリズム・2026年11月1日）
• グループ会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（KNT-CTホールディングス・2026年11月1日）
• ネット登録会員の個人情報が流出した可能性 - クラブツーリズム（Security NEXT）