クラブツーリズムが公表した漏えいの可能性がある項目には、氏名や住所と並んで「緊急連絡先」が入っています。旅行中に何かあったとき、家族などに知らせるための欄です。約432万件という件数の陰で、会員登録をしていない人の情報まで影響を受け得ることが、今回の事案の見過ごせない点です。
クラブツーリズム株式会社は2026年10月31日、同社サーバの一部が外部から不正アクセスを受け、インターネット予約システムにインターネット会員として登録された顧客の情報約432万件が外部に流出した可能性があると発表した。不正アクセスは10月30日5時45分に検知し、通信を遮断した。対象は氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先で、ログインパスワード、パスポート情報、クレジットカード情報、金融機関口座番号は含まれない。
同社は侵入経路と手段を特定して修正を実施したとし、ホームページを停止している。警察に相談し、個人情報保護委員会と監督官庁に報告した。
From: 
不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）｜クラブツーリズム
【編集部解説】
クラブツーリズムが公表した約432万件は、innovaTopiaが10月に伝えてきた旅行・予約サービスの事案のなかでも大きな規模の一つです。件数とあわせて目を向けたいのは、流出した可能性のある項目に「緊急連絡先」と「国籍」が含まれている点です。旅行会社ならではの項目で、影響が会員本人だけにとどまらない可能性があります。
対象はインターネット会員、パスワードやカード情報は含まれない
対象は、同社のインターネット予約システムにインターネット会員として登録された情報です。同社は、インターネット会員に登録したことがない顧客の情報には影響がないと説明しています。ただし、会員が緊急連絡先として登録した家族などの情報について、どこまでが対象になるのかは、まだ具体的に示されていません。
項目は、氏名（漢字・カナ）、国籍、性別、生年月日と年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先の9つです。一方で、ログインパスワード、パスポート情報、クレジットカード情報、金融機関の口座番号は含まれていません。カードを不正に使われたり、口座からお金を引き出されたりする直接の被害は、この項目からは考えにくい構成です。
「緊急連絡先」が意味すること
旅行の申し込みでは、事故や急病などに備えて、旅行に参加しない家族などの連絡先を登録することがあります。緊急時に、家族などへ連絡するために登録する項目です。会員本人が登録した情報でも、中身は本人以外の人の名前や電話番号になり得ます。同社は、今回対象となった緊急連絡先の具体的な中身を明らかにしていません。それでも、家族の情報が登録されていれば、その家族自身が会員登録をしていなくても、情報が影響を受ける可能性があります。
氏名、住所、電話番号、生年月日、メールアドレスがそろうと、本物らしく見える連絡をつくりやすくなります。仮に家族の名前や電話番号が含まれていれば、家族を名乗る電話や、家族の名前を出して信用させるメッセージにも使われ得ます。同社は、本件に関して電話、メール、SMS、郵便などで、クレジットカード番号、銀行口座、暗証番号、ID・パスワード、マイナンバーを尋ねることは一切ないとしています。会員本人だけでなく、緊急連絡先に登録した家族にも、このことを伝えておくと安心です。
ログインパスワードは対象外ですが、同社は、同じパスワードをほかのサービスでも使っている場合は念のため変更を検討するよう呼びかけています。サービスごとに違うパスワードを使い、多要素認証が使えるサービスでは設定するよう求めています。現時点で、本件が原因と考えられる二次被害は確認されていません。
予約サイトは停止中、問い合わせは電話で
同社は被害の拡大を防ぎ、調査を進めるためにホームページを止めています。予約サイトのメンテナンス告知によると、マイページ、クレジットカード決済、Webからの申し込みによる書類の確認なども使えません。これから旅行に出る予定の人は、旅行センターの電話窓口で確かめることになります。
本件の専用窓口は「お客様特設窓口」（0120-335-255）で、受付は平日の9時30分から17時です。11月中は、土曜・日曜・祝日も同じ時間に受け付けます。対象となる人には、同社から順次連絡があるとしています。
ちょうど2年前にも不正アクセスがあった
クラブツーリズムは、2年前の同じ10月30日にも、サーバーへの不正アクセスを確認しています。2024年の事案では、システム構築を委託していた外部の会社が、サービス開始前に構築中だったサーバーに適切なセキュリティ対策を講じていなかったことが原因でした。対象は、海外ツアーの航空券手配の記録に含まれる旅券番号などの情報と、写真コンテストの応募者の情報でした。同社が2024年12月に示した説明によると、件数はそれぞれ3,349件と5,078件で、情報は閲覧可能な状態にあったものの、外部に送り出された明確な痕跡は確認されなかったとされています。同社はこのとき、委託先の管理・監督の強化と、新しい検知・監視システムの導入を再発防止策に挙げていました。
今回の事案は、2024年とは性質が異なります。対象は運用中の予約システムに登録された会員の情報で、件数は約432万件と桁が違います。2つの事案がつながっているかどうかは、公表資料からは分かりません。
今回、同社は10月30日5時45分に不正アクセスを検知し、翌31日付で第1信を公表しました。その時点で侵入経路と手段を特定し、問題点を修正したと説明しています。具体的にどこから入られたのか、実際に持ち出された情報の範囲は、まだ示されていません。個人情報保護委員会などへの法定の報告には、把握した内容を速やかに伝える速報と、報告対象の事態を知った日から原則30日以内、不正な目的による行為に伴う漏えいのおそれがある場合は60日以内に行う確報があります。調査が終わっていなくても、期限内に把握した内容を報告し、分かりしだい補うことになっています。一般向けのお知らせはこれとは別の手続きですが、同社も今回を「第1信」とし、調査を続けています。件数や範囲は、今後の調査で変わる可能性があります。
旅行・予約サービスで不正アクセスの公表が相次ぐ
旅行や移動の予約に関わる公表は、10月に入って相次いでいます。楽天トラベルは、海外ホテル予約のサイトでログイン利用者の最大約260万件などが対象になったと公表しました。日本航空と日本トランスオーシャン航空は約9万2000人分の予約情報に参照の形跡があったとし、全日本空輸（ANA）も、Amadeusのシステムで予約情報に参照の形跡があったと公表しています。旅行の予約には、氏名や連絡先に加えて、旅行の日程、同行者、国籍や生年月日といった情報が集まります。
個人情報保護委員会が10月28日に示した資料では、2026年4月1日から10月16日までに事業者から委員会へ直接届いた、不正アクセスによる漏えい等の速報は2,094件、延べ本人数は約2億6000万人でした。10月は16日までで830件です。漏えいのおそれや、委託元と委託先による同じ事案の重複報告も含む、速報段階の数字です。今回の事案が検知された10月30日は、この集計期間のあとにあたります。
旅の安心のために預かる情報
緊急連絡先は、旅先で何かあったときに家族などへすぐ知らせるための情報です。旅行会社が預かる情報のなかでも、とくに「もしも」に備えた性格を持っています。だからこそ、その守り方は、旅行という体験の安心そのものにつながります。
今後の続報で侵入経路や原因が示されれば、同じように大量の会員情報を預かる旅行・予約サービスにとっても、具体的な手がかりになるはずです。まずは会員本人が不審な連絡に注意し、緊急連絡先に家族の情報を登録した覚えがあれば、その家族にも注意点を伝えておくことが大切です。
【関連記事】
楽天トラベルに不正アクセス、海外ホテル予約で最大260万件が対象 予約者の一部はカード下4桁なども
楽天トラベルで公表された、運営会社も対象の情報も異なる2つの事象を、件数の数え方とあわせて1つずつ丁寧に整理した解説記事。
JAL・JTAの予約情報約9万2000人分に参照の形跡、大韓航空・アシアナもAmadeusのシステムで公表
日本航空と日本トランスオーシャン航空の予約情報がAmadeusのシステムで参照された形跡を、各社の公表から読み解く記事。
skyticketに不正アクセス、約1,464万件の顧客情報が流出 経路の異なる3件を公表
旅行予約サイトskyticketで公表された、管理機能や予約完了ページなど、入口の異なる3件の不正アクセスを読み解く記事。
個人情報保護委員会、不正アクセスの漏えい報告を集計 延べ約2億6000万人、安全管理措置のガイドライン改正は前倒しへ
個人情報保護委員会が示した延べ約2億6000万人という数字の数え方と、安全管理措置のガイドライン改正の前倒しを解説した記事。
【編集部後記】
緊急連絡先の欄は、申し込む本人が書きます。そこに名前を書かれた家族は、自分の情報がどこに預けられたのかを、知らないままでいることも多いのではないでしょうか。
今回の件は、会員本人だけでなく、その周りの人にも関わります。親や家族がよく旅行に出かける人は、「緊急連絡先に誰の名前を書いている？」と一度聞いてみてはいかがでしょうか。不審な電話への備えは、その一言から始められます。
【用語解説】
インターネット会員
クラブツーリズムのインターネット予約システムに登録した会員。今回の漏えいの可能性の対象は、この会員として登録された情報である。同社は、インターネット会員に登録したことがない顧客の情報には影響がないとしている。
二次被害
漏えいした情報が悪用されて起きる被害。氏名や電話番号を使って本物らしく見せる詐欺の電話やメール、SMSなどがある。同社は、本件が原因と考えられる具体的な二次被害は現時点で確認されていないとしている。
多要素認証
パスワードに加えて、スマートフォンに届く確認コードや生体認証など、種類の違う複数の要素で本人を確かめる仕組み。パスワードが漏れても、それだけではログインされにくくなる。
漏えい等報告（速報・確報）
個人情報保護法にもとづき、事業者が個人情報保護委員会などに行う報告。事態を知ってから速やかに出す速報と、原則30日以内、不正な目的による行為に伴うおそれがある場合は60日以内に出す確報がある。一般向けのお知らせとは別の手続きである。
【参考リンク】
クラブツーリズム株式会社（外部）
KNT-CTホールディングスのグループのメディア販売型旅行会社。企業サイトのニュースリリースに、本件のお知らせが載っている。
当社サーバへの不正アクセスによる個人情報漏えいの可能性について（2024年）（外部）
2024年10月30日に確認した不正アクセスの公表資料。第1信と第2信、原因と再発防止策の説明を、1つのPDFにまとめている。
漏えい等の対応とお役立ち資料（個人情報保護委員会）（外部）
漏えい等が起きたときの、事業者による委員会への報告と本人への通知について、手続きや様式、Q&Aをまとめた委員会のページ。
自分の個人情報等が漏えいした際の「対処」と「日頃の対策」（IPA）（外部）
自分の個人情報が漏れたかもしれないときに確かめることと、普段からできる対策を、場面ごとに分けてまとめたIPAの解説ページ。
【参考記事】
不正アクセスで会員情報432万件流出 国籍や緊急連絡先などか―クラブツーリズム（時事ドットコム）（外部）
2026年10月31日の記事。クラブツーリズムが、インターネット会員の情報約432万件の流出の可能性を発表したと伝える。
第374回 個人情報保護委員会 参考資料2（個人情報保護委員会）（外部）
10月28日の資料。4月1日から10月16日までの不正アクセスによる漏えい等の速報を、2,094件、延べ約2億6000万人と集計。
海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ（楽天トラベル）（外部）
2026年10月26日の発表。海外ホテル予約サイトの一部ページで、ログイン利用者の最大約260万件などが対象になったと公表。
