ツアー旅行のクラブツーリズムに不正アクセス、会員情報約432万件が流出の可能性

項目	内容
発生・公表日	検知: 2026年10月30日午前5時45分 / 公表: 2026年10月31日
対象組織・業界	クラブツーリズム株式会社（旅行会社）
対象	インターネット予約システムに登録したインターネット会員の情報
流出のおそれ件数	約432万件
攻撃手法	外部からの不正アクセス（侵入経路・手段の内容は非公表）
情報源	時事ドットコム（2026年10月31日） / NHK（2026年10月31日） / ビジネス＋IT（Yahoo!ニュース） / TRAICY（2026年11月1日）

概要

旅行会社のクラブツーリズムは2026年10月31日、サーバーの一部が不正アクセスを受けたと公表しました。インターネット会員の個人情報約432万件が流出した可能性があります。

対象は、インターネット予約システムに会員登録している人の情報です。同社は、会員登録をしたことがない人には影響がないとしています。

流出した可能性がある項目は次のとおりです。

ログインパスワード・パスポート情報・クレジットカード情報・金融機関の口座番号は含まれないと説明しています。

同社は、本件に起因する具体的な二次被害は現時点で確認されていないとしています。

同社は、侵入経路と手段を特定し、問題点を修正したと説明しています。ただし、経路と手段の具体的な内容は公表されていません。同様の事象がないかの点検も進めています。

ホームページは、安全性を確認したうえで再開する予定です。流出した可能性のある人には、順次連絡するとしています。

本件の侵入経路は公表されていないため、以下は流出した項目に結びつく対策です。

電話番号・メールアドレス・住所がそろって流出すると、その会社を名乗る電話やSMSの材料になります。本件では緊急連絡先も対象で、会員本人以外にも連絡が届くおそれがあります。

そこで、対象者への連絡では「自社が尋ねない情報」を項目名で示します。同社もカード番号・暗証番号・ID・パスワードを尋ねないと明示しました。あわせて、真偽を確かめられる専用窓口の番号を載せます。受け取った人が窓口に問い合わせて確かめられれば、なりすましの連絡に応じる人を減らせます。

本件の検知は、平日の始業前にあたる午前5時45分です。不正アクセスは、担当者がそろう時間帯に起きるとは限りません。検知の後には、サーバーの隔離・通信の遮断・サイトの停止と、業務を止める判断が続きます。

この判断を時間外に誰が下すのかを、平常時に決めておく必要があります。どの条件ならサイトを止めてよいか、誰に連絡すればよいかを手順に書き出しておきます。監視の担当と、止める判断をする担当が別なら、その間の連絡経路も決めておきます。

時間外の検知では、アラートの意味を確かめる一次調査にも人手がかかります。AIがログを横断して一次調査まで進めておけば、担当者は止めるかどうかの判断から始められます。（→ ヤグラ AI SOC）

判明次第、本記事に追記します。

日時	内容
2026-11-01	第一報を公開