- 旅行会社のクラブツーリズム株式会社が、2026年10月30日に自社サーバの一部への外部からの不正アクセスを検知しました。10月31日の発表（第1信）で、お客様の情報の一部が外部に流出した可能性があるとしています。
- 対象は、インターネット予約システムに「インターネット会員」として登録している人の情報で、約432万件です。インターネット会員に登録したことがない人の情報には影響がないとしています。
- 流出した可能性があるのは、氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先です。
- ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関の口座番号は含まれていないとされています。
- 調査と被害拡大防止のため、公式サイト（club-t.com）は止まっています。対象の人には順次連絡するとしていて、問い合わせはお客様特設窓口 0120-335-255（平日9時30分〜17時。11月中は土日祝日も受付）です。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、クラブツーリズム株式会社が企業サイトに出した「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026年10月31日）と、公式サイト（club-t.com）に出ているお知らせをもとにまとめたものです。続報が出たら更新します。
何が起きたか（時系列）
| 日付 | 発表の内容 |
|---|---|
| 10月30日 5時45分 | 外部からの不正なアクセスを検知。すぐに調査を始め、不正アクセスを受けた箇所の通信を遮断し、必要なセキュリティ対策を行った |
| 10月30日 | その後の調査で、当社サーバの一部への不正アクセスにより、お客様情報の一部が外部に漏えいした可能性があることを確認 |
| 10月31日（第1信） | 不正アクセスと個人情報漏えいの可能性を公表。対象は約432万件。警察へ相談し、個人情報保護委員会と監督官庁へ報告したとしている |
第1信によると、不正アクセスを受けたサーバは隔離し、攻撃元からの通信を遮断したとのことです。侵入の経路と手段を特定し、問題点の修正や、影響範囲と同じような事象がないかの点検も済ませたとしています。ただし、侵入の経路や手段が具体的に何だったかは書かれていません。
第1信の時点で、この件が原因とみられる具体的な二次被害（漏れた情報を使った詐欺など）は確認されていないとしています。
出典：［クラブツーリズム 第1信］
流出した可能性がある情報と、含まれない情報
第1信では、対象の情報を「当社インターネット予約システムにおいて、インターネット会員として登録いただいている」情報としています。
| 流出した可能性がある情報 | 含まれていないとされる情報 |
|---|---|
| 氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先 | ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関の口座番号 |
件数は約432万件です。発表は「件」で書かれていて、人数とは書かれていません。
「緊急連絡先」は、旅行中に何かあったときの連絡先として登録する家族などの情報です。緊急連絡先としてどの項目（名前・電話番号など）が含まれるかまでは、発表に書かれていません。自分が会員でなくても、家族の緊急連絡先として登録されていた場合は、その情報が含まれている可能性があります（これは発表の書き方からの読み取りです）。
対象になる人・ならない人
- 対象になる：クラブツーリズムのインターネット予約システムに、インターネット会員として登録している人
- 影響がないとされている：インターネット会員に登録したことがない人
電話や店頭だけで申し込んでいて、インターネット会員に登録したことがない人は、発表の書き方からは対象に入らないと読めます。自分が登録したかどうか分からないときは、お客様特設窓口で確かめてください。
クラブツーリズムは、情報が漏えいした可能性のある人へ順次連絡するとしています。連絡の方法（メール・郵便など）や送信元アドレス、件名は、第1信には書かれていません。
公式サイトが止まっている間のこと
第1信では、被害拡大の防止と調査のためにホームページを止めていて、安全を確かめてから再開するとしています。公式サイト（club-t.com）のお知らせによると、確認時点で次のものが使えません。
- Webサイト全体（システムメンテナンス中）
- マイページ
- クレジットカード決済
- Webから申し込んだ旅行の各種書類の確認など
旅行についての問い合わせは、公式サイトに載っている各旅行センターの電話番号で受けています。電話がとても混み合っていて、つながりにくい場合があるとのことです。出発当日の営業時間外の緊急連絡先も載っています。
「クラブツーリズムPASS」で、サイト停止のために手続きができない人は、メール（[email protected]。PASSの問い合わせのみ）で連絡するよう案内されています。2026年11月1日が年額プランの更新日にあたる人は、11月1日に年額の会費が引き落とされますが、後日返金するとしています。
出典：［クラブツーリズム 公式サイトのお知らせ］
偽の連絡に気をつける
第1信には、クラブツーリズムからのお願いとして次のことが書かれています。
- クラブツーリズムが、この件に関して電話・メール・SMS・郵便などで、クレジットカード番号、銀行口座の情報、暗証番号、ID・パスワード、マイナンバーなどを尋ねることは一切ない
- クラブツーリズムを装った不審な電話やメール、SMSに注意し、不審なURLを開いたり、添付ファイルを開いたり、個人情報や認証情報を入力したりしない
- 迷ったときは、店頭や電話窓口、公式サイトなどで事実を確かめる
連絡が本物か確かめたいときは、届いたメールやSMSに書かれた番号やリンクは使わず、第1信に載っているお客様特設窓口 0120-335-255 に自分でかけて確かめます。
会員の人がやること
クラブツーリズムがお願いしていること
- 不審な連絡に注意する（上の「偽の連絡に気をつける」）
- クラブツーリズムと同じパスワードをほかのサービスでも使っている場合は、念のためパスワードの変更を考える。サービスごとに違う、推測されにくいパスワードにし、多要素認証（パスワードに加えて、スマホに届くコードなど別の方法でも本人を確かめる仕組み）が使えるなら設定する
- クラブツーリズムを名乗る不審な連絡を受けたときや、この件が関係していそうな被害・異常に気づいたときは、お客様特設窓口に連絡する
お客様特設窓口：0120-335-255（受付：平日 月〜金曜日 9時30分〜17時。11月中は土曜・日曜・祝日も同じ時間で受付）
一般的に気をつけたいこと（クラブツーリズムの案内ではありません）
ここから先は、個人情報が漏れたときの一般的な注意で、クラブツーリズムの指示ではありません。クラブツーリズムから案内が出たら、そちらを優先してください。
- 旅行会社などを名乗るメールに注意する：メールアドレスが流出した可能性があるので、しばらくは旅行会社や航空会社、カード会社を名乗るメールが増えるかもしれません。差出人の表示名だけで信じず、リンクを開く前に一度立ち止まります。
- 電話・郵便での勧誘にも注意する：電話番号と住所も対象です。旅行の割引や当選をうたう電話や郵便には、その場で答えないようにします。
- パスワードの使い回しをやめる：ログインパスワードは今回の対象に含まれていないとされています。それでも、ほかのサービスで同じパスワードを使っているなら、この機会に変えておくと安心です。
- カード明細はふだんどおり確認する：クレジットカード情報は含まれていないとされていますが、明細に覚えのない請求がないかは、ふだんから見ておきます。あればカード会社に連絡します。
- 緊急連絡先に登録した家族に伝える：家族を緊急連絡先として登録していた場合は、その家族にも、クラブツーリズムを名乗る不審な連絡に気をつけるよう伝えておきます。
よくある質問
クラブツーリズムで旅行したことがあります。対象ですか？
対象は、インターネット予約システムにインターネット会員として登録している人の情報です。インターネット会員に登録したことがない人の情報には影響がないとされています。旅行に参加したかどうかではなく、インターネット会員に登録しているかどうかで決まると読めます。
パスポートの情報は漏れていますか？
第1信では、パスポート（旅券）情報は含まれていないとしています。
クレジットカードは止めたほうがいいですか？
第1信では、クレジットカード情報と金融機関の口座番号は含まれていないとしています。まずは明細に覚えのない請求がないかを見て、あればカード会社に連絡してください。
パスワードは変えたほうがいいですか？
ログインパスワードは含まれていないとされています。クラブツーリズムは、同じパスワードをほかのサービスでも使っている場合に、念のため変更を考えるよう呼びかけています。
マイページが開けません。予約はどうなっていますか？
公式サイトは、調査と被害拡大防止のために止めているとされています。予約の扱いについては発表に書かれていないので、気になる場合は、公式サイトに載っている旅行センターの電話番号に問い合わせてください。
通知はいつ、どうやって届きますか？
第1信では、情報が漏えいした可能性のある人へ順次連絡するとしていますが、方法や時期、送信元のアドレスは書かれていません。届いた連絡が本物か分からないときは、お客様特設窓口（0120-335-255）に自分でかけて確かめてください。
原因はPHPの脆弱性ですか？
発表では「当社サーバの一部に対する外部からの不正アクセス」とされていて、侵入の経路は書かれていません。PHPについての記述もありません。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。今回の件で自分の情報がどう扱われたかは、クラブツーリズムからの連絡とお客様特設窓口で確かめてください。相談はこちら
参考にした情報
- クラブツーリズム株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026年10月31日）
- クラブツーリズム 公式サイト「システムメンテナンスのお知らせ」（2026年10月31日確認）
