クラブツーリズムの約432万件、漏えいの可能性がある項目に緊急連絡先。家族を装う連絡が懸念され、再開後のログイン可否は未確認

2026年11月11日

パスポートと搭乗券、旅行の書類が机に置かれている様子。クラブツーリズムのネット予約システムへの不正アクセスで会員情報が漏えいした可能性があるとの発表を伝える記事のイメージ画像

この記事のポイント

いつ：10月30日5時45分に不正な通信を検知し、10月31日に公表されました。11月7日にサイトが一部ページを除き再開したと報じられています（再開を知らせる同社のお知らせが「第2信」です）。
何が：ネット予約システムのサーバへの不正アクセスで、インターネット会員情報が約432万件漏えいした可能性があります。流出が確定した件数ではありません。
対象と項目：対象はインターネット会員です。氏名・住所・電話番号・メールアドレス・会員ID・緊急連絡先などが対象で、ログインパスワード・旅券情報・クレジットカード情報・口座番号は含まれないとされています。
未確認：再開後にマイページ・ログイン・予約が使えるか、除外ページの全件、緊急連絡先の内訳、個別通知の手段と時期は、確認できていません。
読者がやること：ネット予約の登録に心当たりがあるかを確かめ、公式サイト（club-t.com）のお知らせで再開の範囲を確認してください。家族を装うものを含む偽メール・偽SMSにも注意が呼びかけられています。

10月30日5時45分の検知から、11月7日の再開報道まで

クラブツーリズムは10月31日、サーバの一部への不正アクセスにより、ネット予約システムのインターネット会員情報が約432万件漏えいした可能性があると発表したと報じられています（出典：トラベルボイス）。ITmedia NEWSやビジネス＋ITなど複数の媒体が同じ趣旨で伝えています。

検知は10月30日5時45分で、不正な通信を見つけた後に該当箇所の通信を遮断し、対策を実施したとされています（出典：ScanNetSecurity）。その後、11月7日にサイトが一部ページを除き再開したと報じられています（出典：クラブツーリズム公式お知らせ、TRAICY）。

日付	出来事	出典・確度
10月30日5時45分	不正な通信を検知。該当箇所の通信を遮断	報道（ScanNetSecurity、ビジネス＋IT）
10月31日	約432万件の漏えい可能性を公表	複数の報道で一致（トラベルボイス、ITmedia NEWSほか）
11月7日	サイトが一部ページを除き再開と報じられた	公式お知らせの題名と報道で確認できる範囲。除外ページの全件は未確認
11月7日の再開報道以降	続報・原因の詳細・件数の確定や訂正	報じられている範囲では見当たりません
再開後	マイページ・ログイン・予約の利用可否	未確認

再開を知らせるお知らせは「ホームページの再開について」と題されています（出典：クラブツーリズム公式お知らせ）。報道は、サイトが11月7日に再開したという点で一致しています。お知らせそのものの公表日は、11月6日と7日のどちらとも言い切れません。

11月11日時点で、再開の報道より後の新しい発表は、報じられている範囲では見当たりません。約432万件は「可能性」の件数なので、確定値が出たら数字は差し替わります。

約432万件は「漏えいの可能性」。対象はネット予約システムのインターネット会員で、緊急連絡先が含まれる

約432万件は、漏えいした可能性がある件数です。流出が確定したと発表された数字ではありません。対象は、ネット予約システムに登録したインターネット会員です。インターネット会員に登録したことがない顧客への影響はない、とも報じられています（出典：atsoho）。

漏えいの可能性がある項目は次のとおりです（出典：ビジネス＋IT）。

氏名（漢字・カナ）、性別、生年月日、年齢、国籍
住所、電話番号、メールアドレス
会員ID
緊急連絡先

一方、ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関の口座番号は含まれないとされています。カードや旅券の情報が対象外とされている点は、複数の報道で一致しています。

2024年10月の別事案（海外ツアー参加者）とは別物

クラブツーリズムは2024年10月にも不正アクセスを受けており、そのときは海外ツアー参加者の情報が対象でした（出典：ScanNetSecurity）。今回とは別の事案です。この記事で示す件数・日付は、すべて2026年の今回の事案のものです。

「一部ページを除くサイト」の再開は報じられたが、読者が使えるかはまだ確認できていない

11月7日の再開で、ウェブサイトは一部ページを除いて復旧したと報じられています。除外されたページとして伝えられているのは、「旅の思い出写真大募集ページ」で、停止が続くとされています（出典：クラブツーリズム公式お知らせ）。除外ページが写真大募集ページだけなのか（全件）は、確認できていません。

再開後に、マイページ、ログイン、予約が使えるかは、報じられている範囲では確認できる情報が見当たりません。再開の報道だけでは、使える範囲は分かりません。ログインや予約が必要な方は、サイトの表示と、公式サイトのお知らせを確かめてください。

侵入経路は特定・修正済みと報じられている。10月31日時点で、具体的な二次被害は確認していないとされる

検知後の会社の対応として、次の点が報じられています。

不正な通信の検知後、該当箇所の通信を遮断し、対策を実施した（出典：ScanNetSecurity）
侵入経路と手段は特定し、修正した（出典：同上）
警察に相談し、個人情報保護委員会（個人情報の取り扱いを監督する国の機関）と監督官庁に報告済み（出典：トラベルボイス）

二次被害（流出した情報を悪用した詐欺などの実害）については、10月31日時点で、本件に起因する具体的な被害は確認していないと報じられています（出典：innovaTopia）。11月1日以降の状況は、確認できていません。

侵入の具体的な手口（脆弱性の悪用か、認証情報の悪用かなど）と、問い合わせ窓口の連絡先は、報じられている範囲では見当たりません。個別通知の手段と時期、自分が対象かどうかを確かめる公式の経路も、同じく確認できていません。

漏えい項目に緊急連絡先が含まれ、家族を装う連絡が懸念されている

緊急連絡先は、登録した本人以外の連絡先です。漏えいの可能性がある項目に含まれると報じられていますが、氏名や電話番号がどこまで含まれるかは、報道によって表記が揃わず、内訳は確認できていません。

内訳が分からない段階でも、注意の向きは報じられています。緊急連絡先が含まれるため、家族を装う連絡が懸念されるというものです。同社は、電話・メール・SMS・郵便で、カード番号、口座、暗証番号、ID・パスワード、マイナンバーを尋ねることはないとしている旨が報じられています（出典：atsoho）。

読者の行動は、次の3点に絞れます。

ネット予約の登録に心当たりがあるかを確かめる。対象はインターネット会員（ネット予約システムの登録者）と報じられているため、心当たりがあれば対象に含まれる可能性があります。個別通知の手段と時期は確認できていないので、通知が届かないことを理由に対象外と決めないでください。
確認は、連絡に書かれたURLではなく公式サイトのお知らせから行う。公式サイトは club-t.com、コーポレートサイトは club-tourism.co.jp とされています。クラブツーリズムを名乗る連絡のURLではなく、このドメインのお知らせで再開の範囲を確認すると、偽サイトへの誘導を避けやすくなります。
家族を名乗る連絡にも注意する。登録したメール・電話・住所を悪用した連絡や、家族を名乗る連絡で、上記の情報や振込を求められたら、いったん止めて確かめてください。家族のあいだで今回の事案を話しておくと、偽の連絡に気づきやすくなります。