クラブツーリズム株式会社のサイバー攻撃被害｜サーバの一部への外部からの不正アクセスで、インターネット会員の氏名・住所・電話番号・緊急連絡先など約432万件に漏えいの可能性、ホームページを停止
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
速報サイバー攻撃の被害事例最終更新 2026年11月2日
クラブツーリズム株式会社サーバの一部への外部からの不正アクセスで、インターネット会員の氏名・住所・電話番号・緊急連絡先など約432万件に漏えいの可能性、ホームページを停止
- 不正アクセス
状況対応中（問題点の修正は実施済み、ホームページを停止中、対象のお客様へ順次連絡）
被害発生日2026年10月30日
企業名クラブツーリズム株式会社
この事例の要点
クラブツーリズム株式会社は、サーバの一部が外部からの不正アクセスを受け、インターネット会員のお客様情報の一部が外部に漏えいした可能性があると発表しました。対象は氏名、国籍、性別、生年月日、年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先で、対象件数は約432万件です。ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号は含まれていません。同社はサーバの隔離と攻撃元からの通信の遮断、侵入経路と手段の特定、問題点の修正を実施済みとしており、被害拡大の防止と調査のためにホームページを停止しています。11月1日には、同社名や同社関係者を装った不審なメールやSMSが発信されているとの情報が寄せられているとして、注意を呼びかけました。
最新の動き
分かっていること・まだ公表されていないこと
分かっていること
- 対象は、同社インターネット予約システムにインターネット会員として登録されている情報
- 漏えいした可能性がある情報：氏名［漢字・カナ］、国籍、性別、生年月日、年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先
- 対象件数：約432万件
- ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号は含まれていない
- インターネット会員に登録したことがないお客様の情報に影響はない
- 公表時点で、本件に起因すると考えられる具体的な二次被害は確認されていない
- 不正アクセスを受けたサーバを隔離し、攻撃元からの通信を遮断した。侵入経路と手段の特定、問題点の修正、影響範囲と同様の事象の点検等の是正対応も実施済み
- 被害拡大の防止と調査のためにホームページを停止しており、安全性を再確認次第、再開する予定
- 旅行サイトのメンテナンス案内によると、マイページ、クレジットカード決済、WEBからの申し込みによる各種書類の確認等が利用できない
- 警察へ相談し、個人情報保護委員会と監督官庁へ報告した。調査機関や関係機関の協力を受けながら調査を続ける
- 情報が漏洩した可能性のあるお客様へ順次連絡する
- 同社が本件に関連して、電話、メール、SMS、郵便等でクレジットカード番号、銀行口座情報、暗証番号、ID・パスワード、マイナンバー等を尋ねることは一切ないと案内している
- 他のサービスと同じパスワードを利用している場合は変更を検討し、多要素認証が利用可能な場合は設定するよう呼びかけている
- お問い合わせ先：クラブツーリズム株式会社 お客様特設窓口（フリーダイヤル 0120-335-255、平日9:30〜17:00、11月中は土曜・日曜・祝日も同じ時間で受付）
まだ公表されていないこと
- 不正アクセスが始まった時期
- 同社が特定したとする侵入経路と手段の具体的な内容
- 約432万件のうち、実際に外部へ流出した情報の有無と件数
- 11月1日に注意を呼びかけた不審なメールやSMSと、今回の不正アクセスとの関係
- ホームページを再開する時期
- 再発防止策の具体的な中身
事例の概要
| 企業名 | クラブツーリズム株式会社 |
|---|---|
| 被害発生日 | 2026年10月30日 |
| 被害の内容 | 2026年10月30日5時45分、クラブツーリズム株式会社は外部からの不正なアクセスを検知し、直ちに調査を開始して、不正アクセスを受けた箇所の通信遮断と必要なセキュリティ対策を実施した。その後の調査で、同社が保有するお客様情報の一部が外部に漏えいした可能性があることを確認した。対象は同社インターネット予約システムにインターネット会員として登録されている情報で、氏名［漢字・カナ］、国籍、性別、生年月日、年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先。対象件数は約432万件 |
| 出典 | クラブツーリズム株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026年10月31日） |
対策に向けたガーディアンの見解
1申込者本人以外の連絡先も、守る対象として管理する
今回の対象には、会員本人の氏名や住所に加えて緊急連絡先も含まれています。旅行、宿泊、習い事、スポーツ施設など、万一に備えて連絡先を預かる事業では、家族など申込者本人以外の情報が登録されていることも少なくありません。その人たちは自社と直接の取引がないため、事故が起きても知らせる手段が限られてしまいます。緊急連絡先のような項目は、利用が終わった時点で消す、一般の会員情報とは別の場所に保管して閲覧できる担当者を絞る、といった扱いをあらかじめ決めておくと、万一の際の影響を抑えられるでしょう。
2予約サイトを止めても、案内を続けられる場所を分けておく
同社はホームページを停止しながら、コーポレートサイトで詳細を公表し、旅行に関する問い合わせは電話で受け付けています。不正アクセスの調査中はサイトの停止が必要になることがありますが、その間も旅行の出発を控えたお客様への連絡は欠かせません。事業の中心となる予約サイトとは別のサーバーに告知用のページを用意しておくと、停止の判断を下しやすくなります。受付の電話番号、停止中に受けられる手続き、案内文のひな形までそろえておけば、公表の準備にかかる時間も短くできます。
3メールだけでなく、電話やSMS、郵便のなりすましにも備える
今回の対象には住所と電話番号が含まれ、同社は電話、メール、SMS、郵便のいずれの手段でも重要な情報を尋ねることはないと案内しました。11月1日には、会員情報の復旧や確認などの名目で送られるメールは詐欺だとも説明しています。顧客の住所や電話番号を預かる企業は、事故の公表と同時に「自社が連絡するときの方法」と「絶対に尋ねない情報」を示せるよう、案内文を準備しておくことが有効です。窓口の担当者にも同じ内容を共有しておくと、不安を感じたお客様からの問い合わせに同じ説明で答えられます。
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。