旅行会社のクラブツーリズム株式会社は2026年10月31日、同社サーバの一部が外部から不正アクセスを受け、インターネット予約システムの会員情報約432万件が外部に流出した可能性があると発表した。氏名や住所、生年月日に加え、国籍や緊急連絡先も対象に含まれる。同社は被害拡大の防止と調査のため、ホームページを停止している。11月1日には親会社のKNT-CTホールディングスも、グループ会社の事案としてお詫びを公表した。
10月30日早朝に検知、サーバを隔離
同社の発表によると、2026年10月30日5時45分に外部からの不正なアクセスを検知した。直ちに調査を始め、不正アクセスを受けた箇所の通信を遮断し、必要なセキュリティ対策を実施した。その後の調査で、同社が保有する顧客情報の一部が外部に漏えいした可能性があることを確認したという。
不正アクセスを受けたサーバは隔離し、攻撃元からの通信を遮断した。侵入経路と手段を特定したうえで、問題点の修正や同様の事象の点検などの是正対応を実施済みとしている。ただし、具体的な侵入経路は公表されていない。
流出した可能性がある情報
対象は、インターネット予約システムにインターネット会員として登録している顧客の次の情報で、件数は約432万件とされる。
- 氏名（漢字・カナ）
- 国籍
- 性別
- 生年月日、年齢
- 住所
- 電話番号
- メールアドレス
- 会員ID
- 緊急連絡先
同社によると、ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関の口座番号は含まれていない。インターネット会員に登録したことがない顧客の情報にも影響はないとしている。
二次被害は未確認、なりすましの連絡に注意を呼びかけ
同社によると、現時点で、本件に起因するとみられる具体的な二次被害は確認されていない。同社は、電話やメール、SMS（携帯電話のショートメッセージ）、郵便などでクレジットカード番号や銀行口座、暗証番号、ID・パスワード、マイナンバーなどを尋ねることは一切ないとして、同社を装った不審な連絡に注意するよう呼びかけている。
また、同社のサービスと同じパスワードを他のサービスでも使っている場合は、念のため変更を検討するよう求めている。サービスごとに異なる推測されにくいパスワードを設定し、パスワードに加えてスマートフォンでの確認などを組み合わせる多要素認証が使える場合は、設定することも勧めている。
漏えいの可能性がある顧客には順次連絡する予定で、警察への相談と、個人情報保護委員会および監督官庁への報告も済ませた。11月中は土日祝日も特設窓口で問い合わせを受け付ける。
旅行会社の会員情報が持つ重み
旅行会社の会員情報には、住所や生年月日に加えて、旅行中の万一に備えた緊急連絡先が登録されている。緊急連絡先には、本人以外の家族などの連絡先も含まれる可能性がある。流出した情報が悪用されれば、旅行や予約の案内を装って偽のサイトへ誘導するフィッシングメールや、家族の連絡先を手がかりにした詐欺の電話など、本人とその周囲を狙った手口に使われるおそれがある。
今回、同社は検知した当日に通信を遮断し、サーバを隔離した。一方で、公式サイトの停止は、予約や問い合わせの業務にも影響する可能性がある。大量の顧客情報を持つサーバでは、侵入の兆候をどれだけ早くつかみ、被害が広がる前に封じ込められるかが、影響の大きさを左右する。サーバや端末の挙動を常時記録し、異常を検知したらすぐ隔離できる体制を整えておくことが重要だ。
同じ手口に、自社は備えられていますか？