この記事の要点（経営者向け）
本記事の情報は、2026年11月2日朝（日本時間）時点のものです。クラブツーリズムの事案は第1報の段階で、調査が続いています。最新の状況は、末尾の出典に挙げた各社の発表をご確認ください。
クラブツーリズム：約432万件
クラブツーリズムは10月30日5時45分に外部からの不正アクセスを検知しました。インターネット予約システムに登録した会員の氏名、住所、電話番号、メールアドレス、生年月日、緊急連絡先など約432万件が外部に流出した可能性があります。[1]
含まれていない情報
同社によると、ログインパスワード、パスポート情報、クレジットカード情報、金融機関の口座番号は含まれていません。現時点で二次被害は確認されていません。[1]
GMOトラスト・ログイン：約9年間の公開状態
GMOグローバルサインのID管理サービス「GMOトラスト・ログイン」では、設定の不備により、顧客情報を含むファイルが2017年11月14日頃から2026年9月15日まで外部から取得できる状態でした。第三者による取得が確認された対象は2,492社・45,030人です。[2]
今週やること
全社員と取引先担当者に、両社や「契約更新」「ライセンス超過」をかたる連絡でIDやパスワードを入力しないよう伝えてください。あわせて、自社がWebで公開している保存場所に、置いてはいけないファイルがないかを確認します。[1][2]
クラブツーリズムで何が起きたか
旅行会社のクラブツーリズムは10月31日、サーバーの一部が外部から不正アクセスを受け、お客様情報の一部が流出した可能性があると発表しました。対象はインターネット予約システムのインターネット会員で、会員登録をしたことがない人の情報には影響がないとしています。[1]
流出の可能性がある項目は、氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先です。同社は不正アクセスを受けたサーバーを隔離して攻撃元との通信を遮断し、侵入経路と手段を特定して修正したと説明しています。調査のためにホームページを停止しており、警察に相談し、個人情報保護委員会と監督官庁に報告しました。親会社のKNT-CTホールディングスも11月1日にお詫びを発表しています。[1][3]
GMOトラスト・ログインで何が起きたか
GMOトラスト・ログインは、企業の社員が複数の業務サービスに一度のログインで入れるようにするID管理サービスです。GMOグローバルサインは10月30日の第三報で、外部専門機関による調査の結果を公表しました。[2]
同社によると、サービスのロゴ画像などを配信するため、ストレージの一部を外部から閲覧できる公開領域として使っていました。そこに、管理者が管理画面で一括操作をした際にシステムが作るファイルや契約情報ファイルも保存されており、ファイル一覧から個別のファイルを取得できました。ファイルのリンクには署名も有効期限もありませんでした。定期的な診断や侵入テストはアプリケーションとサーバーが対象で、ストレージは対象外だったため、長いあいだ気づけなかったと説明しています。2026年9月14日、外部のセキュリティ研究者が同社の脆弱性報告制度を通じて知らせたことで判明しました。[2]
図 1
GMOトラスト・ログイン：対象企業2,492社の内訳
一括操作で作られたファイルの個人情報が取得された企業が2,184社、請求送付先担当者の情報だけが取得された企業が217社、企業を特定できないものが91社です。
データを表で見る
| 企業数（社） | |
|---|---|
| 一括操作ファイルの個人情報 | 2,184 |
| 請求送付先担当者の情報のみ | 217 |
| 企業を特定できない | 91 |
注: 人数は合計45,030人（一括操作で作られたファイルに含まれる方44,836人、請求送付先担当者194人）。メールアドレスの重複を除いた数です。
出典: [2]
取得されたファイルには、メールアドレス、氏名、連携しているサービス名、社員番号や所属などの項目、請求送付先担当者の氏名・住所・電話番号・メールアドレスが含まれていました。同社によると、ログインパスワード、秘密の質問と答え、多要素認証の情報、連携先サービスのパスワード、決済情報は含まれていません。[2]
時系列
図 2
2つの事案の経過
GMOトラスト・ログインのファイルは2017年11月から外部から取得できる状態で、2026年9月の報告で遮断されました。クラブツーリズムは10月30日に不正アクセスを検知し、翌日に公表しました。
- GMOトラスト・ログイン
- クラブツーリズム
2017年11月14日頃・GMOトラスト・ログイン
ストレージをロゴ配信用の公開領域に変更
2021年6月8日・GMOトラスト・ログイン
この日以降の取得をアクセス記録で確認
それ以前は記録がなく、取得の有無は不明
2026年9月14日・GMOトラスト・ログイン
外部の研究者から報告
2026年9月15日・GMOトラスト・ログイン
外部からの取得をすべて遮断
2026年9月16日・GMOトラスト・ログイン
第一報
2026年10月7日・GMOトラスト・ログイン
第二報
2026年10月30日 5:45・クラブツーリズム
外部からの不正アクセスを検知
2026年10月30日 15:00・GMOトラスト・ログイン
第三報：2,492社・45,030人と確定
2026年10月31日・クラブツーリズム
約432万件の流出の可能性を公表、ホームページを停止
2つの事案の違い
図 3
クラブツーリズムとGMOトラスト・ログインの比較
クラブツーリズムでは外部からの不正アクセスで消費者の会員情報が狙われました。GMOトラスト・ログインでは設定の不備で企業の社員情報が長期間公開されていました。どちらもパスワードと決済情報は含まれていません。
| クラブツーリズム | GMOトラスト・ログイン | |
|---|---|---|
| 原因 | 外部からの不正アクセス | 公開ストレージの設定不備 |
| 対象 | ネット会員 約432万件 | 利用企業2,492社・45,030人 |
| パスワード | 含まれていない | 含まれていない |
| 決済情報 | カード・口座番号は含まれていない | 含まれていない |
| 状況 | 第1報、調査継続中 | 外部調査を終え第三報を公表 |
自社で確認すること
図 4
自社に関係があるかを確かめる手順
まずGMOトラスト・ログインの利用を確認し、次に社員のクラブツーリズム会員登録の可能性を考えます。どちらにも当てはまらなくても、自社の公開ストレージの点検は役に立ちます。
自社でGMOトラスト・ログインを使っているか
はい
提供元からの個別連絡を確認し、どの情報が対象かを把握します。同社は管理者に、本件の注意点を利用中のメンバー全員に共有するよう求めています。
いいえ
社員がクラブツーリズムのネット会員である可能性は
はい
同じパスワードをほかのサービス（業務を含む）で使っていれば変更し、多要素認証を有効にするよう伝えます。
いいえ
自社の公開ストレージを点検する
画像やファイルの配信に使う保存場所に、顧客や社員の情報を含むファイルがないか、ファイル一覧が外部から見えないかを確認し、診断の対象にストレージも含めます。
- 全社員に、クラブツーリズムやGMOをかたる電話、メール、SMS、郵便でIDやパスワード、口座情報を伝えないよう周知した[1][2]
- 「契約更新」「ライセンス超過」「アカウント確認」を理由に送金や入力を求める連絡は、普段使う窓口で確かめるよう伝えた[2]
- 請求担当者に、振込先の変更依頼が届いたら登録済みの連絡先で確認するよう伝えた
- 自社のWebサイトやアプリが使うクラウドストレージを棚卸しし、公開設定と中身を確認した[2]
- ファイルの共有リンクに有効期限や署名を付け、ファイル一覧を外部から見えないようにした[2]
- 外部診断の対象に、アプリやサーバーだけでなくストレージや外部に公開しているすべての資産を含めた[2]
よくある質問
ZeroKaiでできること
GMOトラスト・ログインの事案は、診断の対象から外れていた公開ストレージが、約9年間見過ごされた例です。自社が外部に何を公開しているかを一覧で把握することが、見落としを減らす第一歩になります。ZeroKaiは、ドメインを入力するだけで、証明書の透明性ログに記録されたホスト名を一覧にし、管理画面や検証環境に見える名前を目立たせます。所有権を確認したドメインでは、Shodanが観測したリモートアクセス、ファイル共有、データベース、FTPといった公開サービスも表示します。
出典
本文中の［番号］は、以下の出典に対応しています。 リンク先は2026年10月13日に確認しました。
- [1]クラブツーリズム株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第1信）」、2026年10月31日
- [2]GMOグローバルサイン株式会社「【重要】GMOトラスト・ログインにおけるお客様情報の漏えいに関するお詫びとお知らせ（第三報）」、2026年10月30日
- [3]KNT-CTホールディングス株式会社「グループ会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」、2026年11月1日
この記事の用語と関連する質問
関連記事
自社が外に見せている入り口を、一覧で確認しませんか
ドメインを入力してアカウントを作成すると、無料のパッシブ評価をすぐに始められます。1つの所有権確認済みドメインまで無料で、対象のサーバーには接触しません。
ニュースレター
日本企業に関係するサイバーセキュリティニュースを、わかりやすく。週2回（月・水）お届けします。