Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-r1ded53a6エンタメ・旅行最終確認 2026-11-01 17:23

クラブツーリズムへの不正アクセス（会員情報約432万件流出の恐れ）

公表日

クラブツーリズム株式会社（KNT-CTホールディングス株式会社）
調査中不正アクセス

旅行大手のクラブツーリズムは、サーバーへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、インターネット予約システムの会員情報最大約432万件が流出した恐れがあると発表しました。

対象者は？

クラブツーリズムのインターネット予約システムに会員登録した顧客（最大約432万件）。流出の恐れがある項目は氏名、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先です。なお、ログインパスワード、クレジットカード情報、金融機関口座番号、パスポート情報、およびインターネット会員未登録の顧客は対象に含まれていません。

対象となる顧客には同社から順次個別に連絡が行われる予定です。また、専用の問い合わせ窓口「お客様特設窓口」（フリーダイヤル: 0120-335-255）が開設されています。

不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信） ↗

いますぐできること

  • クラブツーリズムや公的機関を名乗り、クレジットカード番号や銀行口座、暗証番号、パスワードなどを聞き出そうとする不審な電話・メール・SMSに警戒し、情報を教えないこと。
  • クラブツーリズムに登録していたパスワードと同じものを他のWebサイトやサービスでも使い回している場合は、安全のため速やかに変更し、可能であれば多要素認証（2段階認証）を設定すること。

何が起きたのか

2026年10月30日午前5時45分、クラブツーリズムは自社サーバーの一部に対する外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知しました。同社は直ちに調査を開始して通信の遮断やサーバーの隔離を行い、侵入経路と手段を特定して修正作業を実施しました。調査の結果、インターネット予約システムに登録された会員情報約432万件が外部に流出した可能性があることが判明し、被害拡大防止と調査のためホームページを一時停止した上で、翌10月31日に事実を公表して警察や個人情報保護委員会などに報告しました。

なぜ起きたのか・なぜ広がったのか

外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。によりサーバーの一部に侵入されたことによります。同社は侵入経路と手段を特定して修正対応を実施したと発表していますが、具体的にどのような脆弱性や手法が悪用されたのかは現時点では公表されていません。

いまの状況2026-10-31 時点続報待ち

2026年10月31日時点で、被害拡大防止と調査のためホームページの公開・機能を一時停止しており、安全性を再確認した上で再開する方針としています。公表時点で具体的な二次被害は確認されておらず、対象の顧客への個別連絡や専用窓口での問い合わせ対応が進められています。

企業として考えたいこと

自社システムで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知した際、被害拡大を防ぐために即座にサービスを停止する判断基準や、顧客への公表・連絡手順はあらかじめ準備されていますか？

技術的な要約

旅行大手のクラブツーリズムは2026年10月30日午前5時45分、自社サーバーの一部に対する外部からの不正アクセスを検知した。同社が調査を行ったところ、インターネット予約システムに登録された会員情報約432万件が外部に流出した可能性があることが判明した。流出の恐れがある項目には氏名、住所、電話番号、緊急連絡先などが含まれる一方、パスワード、クレジットカード情報、金融機関口座番号、パスポート情報は含まれていないことが確認されている。同社は攻撃元からの通信遮断や対象サーバーの隔離を行い、侵入経路と手段を特定して修正作業を実施した。被害拡大防止と調査のためホームページを一時停止するとともに、警察への相談および個人情報保護委員会や監督官庁への報告を行った。

侵入
—
被害発生
2026-10-30
検知
2026-10-30 05:45
第1報公表
2026-10-31
最新続報
2026-10-31
侵入 → 検知
—
侵入日が非公表
検知 → 公表
1日
データ（上限）
432万件
確定 —
波及先
—

攻撃の分類

侵入口
不明
公式発表では「サーバの一部に対する外部からの不正アクセス」とされており、侵入経路および手段は特定済みで問題点の修正を実施したと公表されているが、具体的な手法や経路の詳細は明らかにされていない。
脆弱性
CVE 非公表不明
侵入経路と手段を特定し問題点の修正を実施したと公表されているが、悪用された具体的な脆弱性や製品名は非公表。
攻撃者
特定・主張なし
ATT&CK
T1005 Data from Local SystemT1041 Exfiltration Over C2 Channel

影響

業務停止
あり 被害拡大防止および調査のためホームページを一時停止。マイページ、クレジットカード決済、Web申し込みによる書類の確認などが利用できなくなった。
データ
おそれ上限 4,320,000確定 —件
氏名国籍性別生年月日住所電話番号メール会員IDその他
インターネット予約システムに登録された会員情報約432万件。対象項目は氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先。パスワード、クレジットカード情報、金融機関口座番号、パスポート情報は含まれない。
波及先
—
金銭影響
—
サプライチェーン
—

時系列

  1. 2024-10-30
    クラブツーリズムにおいて委託先構築サーバーのセキュリティ不備による不正アクセス事案が発生（過去の関連事例）3
  2. 2026-10-30 05:45
    外部からの不正アクセスを検知1235791214
  3. 2026-10-30
    直ちに調査に着手し、攻撃元からの通信および不正アクセス箇所の通信遮断、対象サーバーの隔離を実施1235789121314
  4. 2026-10-30
    侵入経路および手段を特定し、問題点の修正や点検等の是正対応を実施137914
  5. 2026-10-30
    被害拡大防止および調査のため、ホームページの公開・機能を一時停止123457891011121314
  6. 2026-10-31
    警察への相談、個人情報保護委員会および監督官庁への報告を実施137914
  7. 2026-10-31
    インターネット予約システムの会員情報約432万件が流出した可能性があるとして第1信を公表1234567891011121314
  8. 2026-10-31
    専用の問い合わせ窓口「お客様特設窓口」を開設し、不審な連絡への警戒を呼びかけ137914

技術解説

検知から初動対応および公表までの経緯 事実

クラブツーリズムは2026年10月30日午前5時45分に自社サーバーの一部に対する外部からの不正アクセスを検知した。同社は直ちに調査を開始し、攻撃元からの通信と不正アクセスを受けた箇所の通信遮断、対象サーバーの隔離を実施した。侵入経路および手段を特定した上で問題点の修正や同様の事象の点検を行い、被害拡大防止と調査のためホームページの機能を一時停止した。翌10月31日、インターネット予約システムに登録された会員情報約432万件が流出した可能性があると公表し、警察への相談ならびに個人情報保護委員会や監督官庁への報告を行った。

流出対象データと顧客への二次被害リスクの評価 解釈

公表された流出の恐れがあるデータ項目には、氏名、住所、電話番号、メールアドレス、会員IDに加え、旅行予約に伴う国籍や緊急連絡先が含まれている。一方で、ログインパスワードやクレジットカード情報、金融機関口座番号、パスポート情報は流出対象に含まれていないことが確認されている。このため、直ちに金銭的な不正決済や直接的なアカウント乗っ取りが発生するリスクは一定程度抑えられていると評価できる。しかし、緊急連絡先を含む詳細な個人属性情報が悪用された場合、実在の旅行手配や家族関係を装った高度なフィッシング詐欺やソーシャルエンジニアリング攻撃が行われる懸念が残る。同社が公表時に注意喚起を行っている通り、同社や公的機関を装った不審な連絡に対する警戒の徹底が求められる。

被害拡大防止に向けた初動措置とサービス一時停止の判断 解釈

検知直後に対象サーバーの隔離および通信遮断を実施し、侵入経路と手段の特定と是正対応へ進めた点は、初動対応として迅速であったと捉えられる。また、調査と被害拡大防止を優先し、マイページや決済機能を含むウェブサイト全体を即座に停止する判断を下したことは、追加の侵害やデータ持ち出しを防ぐ観点から適切な封じ込め措置である。他方で、予約や決済、書類確認といった基幹的サービスが停止することによる顧客影響や事業活動への支障は大きく、システムの安全性を客観的に再検証した上での復旧手順が重要となる。侵入原因や悪用された具体的な技術的要因については未公表であるため、今後の詳細調査による原因究明が注視される。

対応

封じ込め
不正アクセス検知後、攻撃元からの通信と不正アクセスを受けた箇所の通信を遮断し、対象サーバーを隔離した。また、特定された侵入経路と手段に対する問題点の修正や影響範囲の点検を実施し、被害拡大防止のためホームページを一時停止した。
公表の仕方
2026年10月31日に「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」を公表。対象顧客へ順次個別に連絡を行う予定とし、フリーダイヤルのお客様特設窓口を設置した。
当局対応
  • 警察
  • 個人情報保護委員会
  • 監督官庁

教訓と対策

教訓具体的な対策
多数の顧客属性情報を保有する予約管理データベースに対するアクセス制御と暗号化の徹底データベースおよびバックエンドストレージに対し、接続元IP・サービスアカウントの最小権限化を実施し、通信の暗号化に加えて保存データの透過的暗号化（TDE）や機微カラムの個別暗号化を適用する。
公開サーバーにおける侵入経路の迅速な特定と脆弱性の継続的な管理体制外部公開サーバー資産の棚卸しとASM（Attack Surface Management）ツールによる不要ポート・既知脆弱性の定常監視を行い、重要パッチはリリース後規定日数以内に適用・検証する運用フローを確立する。
不正アクセス検知時の自動隔離プレイブックと通信遮断手順の整備EDRやWAF、SIEM等のセキュリティ監視基盤のアラートと連動し、侵害が疑われる対象サーバーをネットワークから即時に論理隔離できる自動化手順（SOAR等）を整備・テストしておく。
緊急連絡先や家族情報など副次的な個人属性データの分離管理旅行予約時に入力される緊急連絡先や同伴者情報などの機微な付帯データは、会員基本マスタと別テーブルまたは別データストアに論理・物理分離し、閲覧権限やアクセスキーを個別管理して横断的な持ち出しを防ぐ。

自組織などでの確認項目

  1. 自組織が運用するWebサービスや予約システムにおいて、外部からの不正侵入を検知した際に即座にサーバー隔離や通信遮断を行える手順と権限委譲が確立されているか。
  2. 顧客データベースにおいて、氏名・連絡先だけでなく緊急連絡先や家族情報などの付帯データが適切に区分・保護されているか。
  3. 自組織のWebサイト等で大規模な情報流出の恐れが生じた際、一部機能またはサービス全面を一時停止するための判断基準（BCP）が事前に定められているか。

未解明点

  • 攻撃者がサーバーへ侵入した具体的な手口や悪用された脆弱性・製品名などの技術的要因。
  • 流出の恐れがあるとされる約432万件のうち、実際に外部へ不正に送信・持ち出されたことが確定したデータ件数および範囲の調査結果。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
    クラブツーリズムで流出か　４３２万件の個人情報
    デイリースポーツ2026-11-01報道本文確認済
  11. 11
  12. 12
  13. 13
  14. 14