要点
- 旅行会社のクラブツーリズムが不正アクセスを受け、インターネット会員の個人情報約432万件が外に漏れたおそれがあると発表した。
- 漏れたおそれがあるのは、氏名・住所・電話番号・メールアドレスに加え、国籍や緊急連絡先まで含む。
- これらがそろうと「旅行会社からの連絡」を装った偽メールや偽電話がもっともらしくなるため、届いた連絡をそのまま信じないことが大事だ。
何が起きたか
クラブツーリズムの発表（第1信、2026年10月31日）によると、不正アクセスが見つかったのは2026年10月30日の午前5時45分だ。発表はその翌日で、会員の情報については、まだ「漏えいした可能性がある」という段階にとどまる。
対象は、インターネット会員として登録した人の情報で、件数は約432万件。漏れたおそれがある項目は、大きく分けると次の4つになる。
- 本人を表す情報: 氏名（漢字とカナ）、性別、生年月日と年齢、国籍
- 連絡先: 住所、電話番号、メールアドレス
- 会員ID
- 緊急連絡先
一方で、ログインのパスワード、パスポートの情報、クレジットカードの情報、銀行などの口座番号は含まれないとしている。インターネット会員に登録したことがない人は対象外だ。
クラブツーリズムは、警察に相談したうえで、個人情報保護委員会と監督官庁にも報告した。技術面の対処はすでに済ませたとしており、問題のサーバを隔離したことや、侵入の経路を特定して直したことなどを挙げている。発表の時点では、この件が原因とみられる二次被害は確認されていないとしている。どうやって入り込まれたかの詳しい中身は公表されていない。
日本の利用者への影響
クラブツーリズムのインターネット会員に登録した人なら、対象に入るおそれがある。約432万件という数は、国内の個人情報の漏えいとしても大きい。
心配なのは、漏れたおそれのある項目の組み合わせだ。名前・住所・電話・メールに、会員IDや緊急連絡先まで加わると、「ご予約の件で」「会員情報の確認を」といった偽の連絡を、本物らしく作りやすくなる。緊急連絡先として登録した家族などの情報も含まれうる点にも気をつけたい。
クラブツーリズムは、調査と被害の拡大を防ぐために「ホームページを現在停止」していると発表した。安全を確かめてから再開するとしているが、日付は示していない。発表文には、サイトが止まっている間の予約の方法は具体的に書かれていない。問い合わせは次の特設窓口で受け付けている。
- お客様特設窓口（フリーダイヤル）: 0120-335-255
- 受付: 平日（月〜金）9:30〜17:00。11月中は土・日・祝日も同じ時間に受け付ける
今すぐやること
- 自分が対象か考える。 クラブツーリズムのインターネット会員に登録したことがあれば、対象に入るおそれがある。クラブツーリズムは対象の人に「順次」連絡するとしているが、連絡の手段（メール・電話・郵便など）は発表文に書かれていない。分からなければ上の特設窓口に電話で聞く。
- お金や暗証番号の話が出たら偽物と考える。 クラブツーリズムは、この件でカード番号や口座、暗証番号、パスワード、マイナンバーなどを尋ねることは「一切ございません」としている。電話・メール・SMS・郵便のどれで来ても、答えずに切り上げてよい。
- 届いた連絡のリンクや添付ファイルを開かない。 本物かどうか迷ったときは、クラブツーリズムの店頭や電話窓口、公式サイトなどで事実を確かめるよう、クラブツーリズムは案内している。
- 使い回しのパスワードを見直す。 パスワードは漏えいの対象外とされている。それでも、クラブツーリズムで使ったものを他のサービスでも使っているなら、この機会にサービスごとに別のものへ変えておくと安心だ。クラブツーリズムは、使えるところでは多要素認証（パスワードのほかにスマホなどでも本人確認する仕組み）を設定するよう勧めている。
- 家族にも伝える。 緊急連絡先に家族を登録していたなら、その家族にも「旅行会社を名のる不審な連絡に注意」と伝えておく。
背景
旅行会社は、名前や連絡先に加えて、国籍や生年月日、緊急連絡先など、本人を特定しやすい情報をまとめて持っている。旅行の予約や出発前には会社からの連絡が普通にあるため、偽の連絡が紛れ込んでも気づきにくい。
クラブツーリズムでは、2024年にも不正アクセスがあった。ScanNetSecurity の報道によると、このときは委託先のシステム会社から一部のサーバへの不正アクセスの報告があり、海外ツアーの参加者の個人情報が漏れたおそれがあると、2024年11月1日に発表した。今回の件との関係は、発表では触れられていない。
今回の発表は「第1信」で、調査は外部の調査機関などの協力を得て続いている。入り込まれた道筋や、実際に漏れたかどうかの確定は、続報を待つ必要がある。
技術者向けの詳細
- 検知: 2026年10月30日 5:45（日本時間）、サーバの一部への外部からの不正アクセスを確認
- 対象: インターネット会員の登録情報、約432万件（漏えいの「可能性」の段階）
- 項目: 本人の属性（氏名の漢字・カナ、性別、生年月日・年齢、国籍）、連絡先（住所・電話・メール）、会員ID、緊急連絡先
- 対象外とされるもの: ログインパスワード、旅券情報、クレジットカード情報、金融機関口座番号
- 対応: 該当サーバの隔離、攻撃元との通信遮断、侵入経路と手段の特定と修正、影響範囲と類似事象の点検。クラブツーリズムは、ホームページを停止していると発表
- 報告: 警察へ相談、個人情報保護委員会と監督官庁へ報告
- 侵入の手口、攻撃者、侵害の痕跡（IOC）は公表されていない
- 会員の情報をもとにした標的型のフィッシング（会員IDや予約の話を入れた偽メール）が考えられる。社内でクラブツーリズムを使う出張・団体旅行の窓口がある組織は、従業員への注意喚起を検討するとよい
- 最新の状況はクラブツーリズムの発表と続報で確かめる
