対象：クラブツーリズムのインターネット予約システムにインターネット会員として登録している人（旅行の申込みでWebの会員登録をした人）。緊急連絡先に登録された人も関係しうる。本記事は同社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
クラブツーリズムのインターネット予約システムにインターネット会員として登録している人（旅行の申込みでWebの会員登録をした人）。緊急連絡先に登録された人も関係しうる。
- 影響が確認された範囲表で見る ↓
- 不正アクセス
- 件数
可能性があるとされた項目
- 氏名[漢字・カナ]・国籍・性別・生年月日・年齢・住所・電話番号・メールアドレス・会員ID・緊急連絡先
- 情報の持ち出し
- 未確認事項
- 侵入の詳しい経緯と原因
- 情報が持ち出されたかどうか（「可能性」の確認）
- 対象者への個別連絡の時期
さらに2件
- ホームページ・マイページ等の再開時期
- 不正使用の有無
- 今やること手順を見る ↓
- 対象かどうかの目安を知る
- 同社を名乗る連絡は、リンクと番号を使わずに確かめる
- パスワードを使い回していないか確かめる
さらに2件
- 緊急連絡先に登録した人にも伝える
- 窓口は、発表に載っているものだけを使う
- 最終確認日時
- 2026年11月1日時点
発表の続報予定と確認の記録
同社は、10月31日の発表を「第1信」とし、現時点で判明している事実をお知らせするものとしています。情報が漏洩した可能性のある人へは順次連絡し、調査機関や関係機関の協力を受けながら調査を継続するとしています。11月1日に発表ページと同社の旅行サイトを確認し、第2信は見当たりませんでした。旅行サイトは、システムメンテナンス中として、マイページ、クレジットカード決済、Webの申込みによる各種書類の確認が使えないと案内していました。
会員がやること
対象かどうかの目安を知る
同社の発表では、対象は、インターネット予約システムにインターネット会員として登録した情報です。インターネット会員に登録したことがない人の情報には影響がないとしています。情報が漏洩した可能性のある人へは、順次連絡するとしています。
Webで会員登録をしたことがある人は、連絡が来るまでの間も、対象の可能性があると考えて備えます。
同社を名乗る連絡は、リンクと番号を使わずに確かめる
氏名、住所、電話番号、メールアドレス、会員IDは、どれも本物らしい連絡を作る材料になります。「旅行代金の返金」「ツアーの変更・取消」「会員情報の確認」「お詫び」などの連絡が来ても、本文のリンクや書かれた電話番号は使わず、自分で開いた公式サイト、店頭、または発表に載っている窓口で確かめます。
同社は、本件に関連して、電話・メール・SMS・郵便などで、クレジットカード番号、銀行口座情報、暗証番号、ID・パスワード、マイナンバー等をお尋ねすることは一切ないとしています。不審なURLを開かない、添付ファイルを開かない、個人情報や認証情報を入力しない、が基本です。
パスワードを使い回していないか確かめる
同社は、ログインパスワードは含まれないとしています。そのうえで、同社のサービスと同じパスワードを他のサービスでも使っている場合は、念のため変更を検討するよう案内しています。
- 他のサービスと違う、推測されにくいパスワードに変える（パスワード漏えいの確認方法）
- 使えるサービスでは多要素認証を設定する
緊急連絡先に登録した人にも伝える
緊急連絡先は、対象の項目に入っています。発表は、緊急連絡先の内訳を書いていません。家族などの連絡先を登録した人は、その人にも、同社や旅行会社を名乗る連絡に注意するよう伝えておきます（当サイトの勧め）。
窓口は、発表に載っているものだけを使う
同社は「お客様特設窓口」を設けています。フリーダイヤル 0120-335-255、受付は平日（月〜金曜日）9:30〜17:00で、11月中は土曜・日曜・祝日も同じ時間で受け付けるとしています。同社を名乗る不審な連絡を受けたとき、本件に関連すると考えられる被害や異常を確認したときの連絡先です。
① クラブツーリズムを名乗る電話／メール／SMS
氏名・住所・会員IDが正しい → ここでは判断しない
↓
② リンク・番号は使わず、公式サイトや店頭、発表の窓口で確かめる
↓
③-A 公式側に載っていない
カード番号・暗証番号・パスワードを求める → 応じない
③-B 公式側にも同じ案内がある
公式の案内に沿って手続きする
何が起きたのか（クラブツーリズムの発表より）
以下は、同社の「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026年10月31日）と、同社の旅行サイトの案内（11月1日に確認）にもとづきます。
2026年10月30日 5時45分
外部からの不正なアクセスを検知。調査を開始し、不正アクセスを受けた箇所の通信遮断と必要なセキュリティ対策を実施10月30日
調査の結果、保有するお客様情報の一部が外部に流出した可能性があることを確認（同社の発表の日付）10月31日
第1信を公表。警察への相談、個人情報保護委員会および監督官庁への報告をおこなったとしている11月1日
旅行サイトは、システムメンテナンス中として、マイページ、クレジットカード決済、Webの申込みによる各種書類の確認が使えないと案内（当サイトが確認）
- 対象の情報
- インターネット予約システムにインターネット会員として登録されている、氏名[漢字・カナ]、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先。対象件数は約432万件
- 含まれないもの
- ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号。インターネット会員に登録したことがない人の情報には影響がない
- 同社の対応
- 不正アクセスを受けたサーバを隔離し、攻撃元からの通信を遮断。侵入経路と手段を特定し、問題点の修正、影響範囲と同様の事象の点検などの是正対応を実施済み。被害拡大の防止と調査のため、ホームページを停止中で、安全性を再確認次第、再開する予定
- 二次被害
- 現時点で、本件に起因すると考えられる具体的な二次被害は確認されていない
- 今後
- 情報が漏洩した可能性のある人へ順次連絡。警察への相談、個人情報保護委員会および監督官庁への報告済み。調査機関や関係機関の協力を受けながら調査を継続
同社の持株会社であるKNT-CTホールディングス株式会社については、11月1日にIRニュース（2026年）の一覧を確認し、本件の開示は見当たりませんでした（掲載は10月9日の月次取扱額状況まで）。同社の発表ページは、持株会社のサイトへのリンクを載せています。
分かっていること・分かっていないこと
2026年11月1日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセス | 2026年10月30日5時45分に検知。サーバの一部への外部からの不正アクセス | 確定（同社） |
| 氏名[漢字・カナ]・国籍・性別・生年月日・年齢・住所・電話番号・メールアドレス・会員ID・緊急連絡先 | インターネット予約システムのインターネット会員の情報が外部に流出した可能性。対象件数は約432万件 | 可能性（同社） |
| ログインパスワード | 含まれない | 含まれない（同社） |
| パスポート（旅券）情報 | 含まれない | 含まれない（同社） |
| クレジットカード情報 | 含まれない（旅行サイトはカード決済を停止中） | 含まれない（同社） |
| 金融機関口座番号 | 含まれない | 含まれない（同社） |
| インターネット会員でない人の情報 | 影響はない | 含まれない（同社） |
| 件数 | 約432万件。人数ではなく「対象件数」と書かれている | 確定（同社、第1信） |
| 原因・侵入経路 | 侵入経路と手段を特定し修正済み。具体的な内容は書かれていない | 調査中 |
| 情報の持ち出し | 「流出した可能性」と書かれ、持ち出しが確認されたとは書かれていない | 可能性（同社） |
| 不正使用・二次被害 | 現時点で具体的な二次被害は確認されていない | 確認されていない（同社） |
| 対象者への連絡 | 情報が漏洩した可能性のある人へ順次連絡 | 調査中（時期は未公表） |
| 規制当局 | 警察に相談、個人情報保護委員会と監督官庁に報告したと同社が説明。当局側の発表は当サイトでは見当たらない | 記載なし（当局） |
| 上場の持株会社の開示 | KNT-CTホールディングスのIRニュース（11月1日確認）に本件はない | 記載なし |
読み方の注意：「流出した可能性」と「約432万件」
同社の発表は、情報が「外部に流出した可能性がある」と書いており、持ち出されたと確認したとまでは書いていません。当サイトは同社の言葉をそのまま使っています。また、約432万件は「対象件数」で、会員の人数ではありません。1人が複数の情報として数えられているかなど、数え方は発表に書かれていません。ただし、どちらの場合も、対象の情報は見られた前提で備えるのが安全です（当サイトの勧め）。
氏名・住所・電話番号・緊急連絡先で何が起きうるか
以下は、この項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋電話番号＋メールアドレス：旅行会社を名乗る、本物らしい電話・メール・SMSの宛先になる。特に、旅行の代金の返金や変更を装う連絡に注意する
- 会員ID＋氏名：会員情報の確認や本人確認を装う連絡の材料になる。会員IDが合っていることは、本物の証明になりません
- 生年月日＋住所：本人確認を装う連絡や、郵便を使った偽の案内の材料になる
- 緊急連絡先：本人ではなく、登録された家族などに電話をかけ、旅行中の本人に何かあったと装う連絡の材料になりうる
同社は旅券情報・カード情報は含まれないとしています。ただし、パスポート番号やカード番号を聞く連絡自体は、偽物の可能性が高いと考えて対応します。
運営者が見直すこと
侵入の詳しい経緯は公表されていないため、公表された内容から言えることだけを挙げます。
- 会員データの件数と保存期間：対象は約432万件に及びます。登録後に長く使われていない会員の情報を、いつまで持つかを決めておきます
- 緊急連絡先のような第三者の情報：本人以外の連絡先を預かる項目は、漏えい時の影響が本人以外にも及びます。必要な間だけ持ち、見直す仕組みを決めます
- 漏えい時の被害の限定：同社はパスワード、旅券情報、カード情報、口座番号は含まれないとしています。機微な項目を予約システムの会員情報と分けて持つ設計は、被害の範囲を狭めます
- 停止中の代替連絡：旅行サイトの停止中は、申込み書類の確認やカード決済が使えません。予約済みの顧客に、電話窓口など停止中の連絡手段を案内できているかを点検します
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない侵入の経緯、情報の持ち出しの有無は推測していません。
- クラブツーリズム株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（2026年10月31日、11月1日に確認） — club-tourism.co.jp
- クラブツーリズム 旅行サイトのシステムメンテナンスの案内（11月1日に確認） — club-t.com
- KNT-CTホールディングス株式会社 IRニュース（2026年）（11月1日に確認、本件の開示は見当たらず） — kntcthd.co.jp
更新履歴
2026-11-01：初版。同社の10月31日の発表（第1信）にもとづく（11月1日に確認、第2信は見当たらず）。旅行サイトの停止の案内と、持株会社のIRニュースに開示がないことも確認。
次に読む
- 予約システム経由で個人情報が漏れた型：JAL・ANAなどの予約システムへの不正アクセス
- 会員IDに紐づく情報が漏れた型：H2O IDの個人情報漏えい
- 詐欺メッセージへの備え：フィッシングとは
- アカウントを守る：多要素認証の選び方 ／ パスワードマネージャーの選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）