手間いらずの予約管理TEMAIRAZUに不正アクセス｜最大約445万人

宿泊施設向けの予約管理システム「TEMAIRAZU」を提供する手間いらずは、2026年10月9日、同システムへの不正アクセスについて、最大約445万人分の宿泊予約情報が第三者に閲覧・取得されたおそれがあると適時開示しました。 9月21日から、TEMAIRAZU を使う宿泊施設の予約者に、予約の情報を知っているような不審なメッセージが届いていました（手間いらずの2026年9月28日・10月7日・10月9日の発表）。 ホテルや旅館に予約した人と、予約管理などのクラウドサービスを使う宿泊施設・会社に関係する話です。

公表された内容

• 対象者数：最大で約445万人（2026年10月9日の発表）
• 情報の種類：予約者の氏名・電話番号・メールアドレスなどの連絡先、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金などの宿泊予約情報
• 含まれない情報：クレジットカード情報と宿泊予約サイトのログイン情報は持っていないとしています
• 不審なメッセージ：WhatsApp などのメッセージアプリ・メール・SMS で、宿泊施設や予約サイトを装い、事前チェックインや予約の維持を理由に外部のサイトへ誘い、カード情報の入力や支払いを求めるもの。同社はフィッシング詐欺とみられるとしています。不正アクセスとの関係は、9月28日の発表で「起因する可能性がある」としています
• 原因：原因の箇所を特定し、対策を終えたとしています。手口と対策の詳しい内容は、セキュリティ上の理由で公表しないとしています
• 稼働：2026年9月24日の10時58分ごろから21時48分ごろまで一部の機能を止め、対策をしたうえで再開。いまは通常どおり動いているとしています

経緯

• 2026年9月21日深夜ごろ：複数の宿泊施設から、予約者に不審なメッセージが届いていると連絡を受け、調査を始めた
• 2026年9月24日：一部の機能を一時停止し、同日中に再開
• 2026年9月28日：不審なメッセージと不正アクセスを公表。宿泊施設に TEMAIRAZU のログインパスワードの変更を、OTA（宿泊予約サイト）や接続先の会社に管理画面の点検を呼びかけた
• 2026年10月7日：第二報。閲覧・取得されたおそれのある情報の項目を公表。個人情報保護委員会と警察へ報告したとしています
• 2026年10月9日：適時開示で、対象者が最大約445万人と公表。外部のセキュリティ専門機関に調査を委託

中小企業が今日からできること

• 使っているクラウドサービスのパスワードを変える：予約管理・顧客管理などのクラウドサービスの管理画面のパスワードを変え、多要素認証が使えるなら設定する
• 管理画面の操作の記録を見る：身に覚えのないログイン、権限の変更、送金先口座など登録情報の変更がないかを確かめる（同社が接続先に頼んだ点と同じ）
• お客様に「こちらからは聞かない」ことを先に伝える：予約確認のメールや案内に、カード情報の入力や支払いをメッセージアプリで求めることはないと書いておく
• お客様から不審な連絡の問い合わせが来たら上げる流れを作る：今回は宿泊施設からの連絡で発覚している。不審なメッセージの問い合わせを受けたら、すぐに管理者とシステム会社へ伝える手順を決める