ファインズの不正アクセス 第2報｜予約システムの入力処理の不備が原因

ファインズが2026年10月29日、9月25日に公表した予約システムへの不正アクセスのお知らせに、契約者と予約者へ送った案内の内容を追記しました。 対象は予約システム「いつあき」「TSUNAGU」で、プログラムの入力処理の不備が悪用され、不正に作られた管理者用のアカウントで予約データが取得されたとしています（ファインズの発表）。 このシステムで予約を受けていた店舗・施設と、そこで予約した人に関係します。

公表された内容

• 件数：予約者の情報 153万6322件（2026年9月25日の発表）。追記では、件数の訂正は書かれていません
• 原因：9月21日から22日にかけて、予約システムのプログラムの入力処理の不備を悪用した不正アクセスを受け、不正に作られた管理者用のアカウントで予約データが取得された。アカウントが作られた経路と被害の範囲の詳細は調査中としています（10月29日の追記）
• 漏えいした情報：予約者の氏名・電話番号・メールアドレス、予約の内容（店舗・施設名、担当スタッフ名、メニュー名、予約日時、予約番号、料金・割引など）、氏名の欄に書かれていた情報
• 漏えいのおそれがあり調査中の情報：住所・生年月日・性別、顧客のメモや予約フォームの追加の入力項目、マイページのログイン情報、契約者と管理画面の利用者の情報
• 含まれていない情報：予約データにクレジットカード番号・マイナンバーの項目はないとしています。10月19日の時点で二次被害は確認されていないとしています
• 委員会への報告：委託元の店舗・施設にも報告の義務が生じるため、個人情報保護委員会に確かめたうえで、ファインズが委託元の分をまとめて報告する「連名報告」を案内。個別に報告する場合は10月31日をめどに連絡するよう求めています

経緯

• 2026年9月21〜22日：予約システムに不正アクセス。9月22日早朝、運用保守会社の監視で異常を検知し、同日に攻撃元の通信を遮断、不正なアカウントのパスワードを変更
• 2026年9月25日：速報を公表（予約者の情報 153万6322件）。個人情報保護委員会に速報を提出
• 2026年10月16日：対象の契約者（店舗・施設）へ、原因と範囲、連名報告の案内をメールで送付
• 2026年10月19日：専用の問い合わせフォーム（契約者用・予約者用）を設置。対象の予約者へのメールを順に開始
• 2026年10月29日：お知らせに、契約者・予約者への案内の内容を追記

中小企業が今日からできること

• 予約システムに入れている情報を確かめる：顧客名の欄やメモに、氏名以外の情報（体の状態・家族の事情など）を書いていないか見直し、要らないものは消す
• 委員会への報告の道筋を決めておく：委託先で漏えいが起きると、委託元の自社にも報告の義務が生じる。連名で任せるか自社で出すかを、誰が決めるかを決めておく
• 管理画面のアカウントを定期的に数える：知らない管理者のアカウントが増えていないか、月に1回は一覧を見る
• パスワードの使い回しをやめる：予約システムの管理画面と、ほかのサービスで同じパスワードを使わない
• お客さまへの案内文を用意しておく：店舗や委託先をかたる不審な連絡に注意してもらう文面を、すぐ出せるようにしておく