旅行会社のクラブツーリズムは10月31日、インターネット会員として登録された約432万件の情報が、外部に流出した可能性があると発表した。氏名や住所、生年月日に加えて「緊急連絡先」も含まれ、登録した本人だけでなく、そこに名前を書いた家族や知人の情報も対象になりうる。
クラブツーリズム お知らせ 10月31日（第1信・検知の日時・対象の9項目・約432万件・含まれない情報・特設窓口）クラブツーリズム
同社によると、10月30日の午前5時45分に外部からの不正なアクセスを検知し、通信を遮断した。その後の調査で、会員情報の一部が漏えいした可能性があると確認した。被害の拡大を防ぐため、旅行予約のサイトは止めたままだ。会員だった心当たりがある人にとっては、これから届く連絡の真偽を見分ける時期が始まる。
対象はインターネット会員の9項目
発表が挙げる対象は、インターネット予約システムに会員登録した人の次の情報だ。
- 氏名（漢字・カナ）
- 国籍、性別
- 生年月日、年齢
- 住所、電話番号、メールアドレス
- 会員ID
- 緊急連絡先
ログインパスワード、パスポートの情報、クレジットカードの情報、金融機関の口座番号は含まれていないと同社は説明している。インターネット会員に登録したことがない人の情報は影響を受けないという。電話や店頭だけで旅行を申し込んできた人は、少なくともこの件の対象からは外れる。
発表の時点で、この件が原因とみられる具体的な二次被害は確認されていない。
緊急連絡先は、登録していない人の情報だ
9項目のなかで性質が違うのが緊急連絡先だ。旅行中に何かあったときのために、家族や知人の名前と電話番号を書いた人は多いはずだ。その人たちはクラブツーリズムの会員ではないし、自分の情報が登録されたことを覚えていないかもしれない。
氏名と生年月日、住所、電話番号がそろうと、それらしい作り話はいくらでも組み立てられる。「クラブツーリズムの件で」と切り出され、自分の名前と生年月日、住所まで正しく言い当てられれば、電話を受けた側は疑いにくい。緊急連絡先に誰かを書いた覚えがあるなら、その人に一言伝えておくだけで、受け取る側の構えは変わる。
同社を装うメールと SMS、注意喚起は翌日に
11月1日、クラブツーリズムは自社を装ったメールや SMS が送られているという情報が寄せられているとして、別のお知らせを出した。偽サイトに誘い、ID やパスワード、クレジットカードの情報を入力させようとする内容を含むことがあるという。今回の流出との関係は示されていない。
同社は、本件に関して電話やメール、SMS、郵便でカード番号や口座、暗証番号、パスワード、マイナンバーを尋ねることは一切ないとしている。「会員情報の復旧や確認」を名目にしたメールや、カード情報の入力を求めるメールは詐欺だとも明記した。流出の可能性がある人へは、同社から順次連絡するという。本物の連絡が来ると予告されている期間ほど、偽物が紛れ込みやすい。
確かめる手段も限られている。予約サイトは止まっていて、マイページでの書類の確認やカード決済も使えない。問い合わせは特設窓口のフリーダイヤル（0120-335-255）で、受付は平日の9時30分から17時まで、11月中は土日祝日も同じ時間で受け付ける。旅行センターの電話は混み合っていると同社自身が案内している。つながりにくさを見越して、届いたメッセージのリンクから確かめるという近道に頼らないことが、いちばん地味で効く備えになる。
2年前にも、同じ10月30日だった
同社がサーバーへの不正アクセスを公表するのは初めてではない。2024年10月30日にも、システム構築を委託していた会社のサーバーが侵入を受けた。同年12月の報告では、海外ツアーの航空券手配に関わる記録3,349件（一部はパスポート番号を含む）と、写真募集の応募者5,078件が閲覧できる状態にあったとし、委託先が構築中のサーバーに適切な対策を講じていなかったことを原因に挙げている。
今回の侵入経路について、同社は特定して修正を済ませたとするが、中身はまだ公表していない。前回と同じ構造の問題なのか、別の入り口なのかで、旅行会社に預けた情報の扱いをどう見るかは変わる。
次に見るのは、同社の企業サイトのお知らせ欄に出る続報だ。10月31日の発表は「第1信」と題されている。侵入の経路と、緊急連絡先として登録された人への対応が書かれるかどうかが、判断の材料になる。
パスワードを他のサービスと使い回していたなら、念のため変えておくよう同社も呼びかけている。ただ、今回はパスワード自体は対象外とされている。急いで手を動かすより、来た連絡を疑う手順を決めておくほうが先だろう。
ことば
- 緊急連絡先 — 旅行中の事故や急病のときに、会社が連絡を取る相手として申込者が登録する家族や知人の情報。本人以外の個人情報なので、流出すると登録した覚えのない人にまで影響が及ぶ。
- スミッシング — SMS（ショートメッセージ）を使ったフィッシング。宅配業者や企業を装って偽サイトに誘い、IDやカード情報を入力させる。企業が「個別に連絡する」と予告した時期に紛れ込みやすい。
あなたが旅行の申し込みで緊急連絡先に書いた人は、自分の名前がそこにあることを知っているだろうか？
