手間いらず（TEMAIRAZU）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年9月21日深夜ごろから、TEMAIRAZU を使う複数の宿泊施設の予約者に、予約の情報を知っているような不審なメッセージ（WhatsApp・メール・SMS など）が届きました。調査の過程で、TEMAIRAZU への第三者の不正アクセスを確認したと、手間いらずは9月28日に公表しました。 10月7日の第二報で、氏名・電話番号・メールアドレス・宿泊施設名・チェックイン日・チェックアウト日・宿泊料金が閲覧・取得されたおそれがあると公表しました。10月9日の適時開示で、対象者は最大約445万人としました。クレジットカード情報と予約サイトのログイン情報は持っていないとしています。 手口は、セキュリティ上の理由で公表しないとしています。

会社の対応

• 不正アクセスを遮断し、原因の箇所を特定して対策を終えたとしています。アクセス制御と監視体制を強めています
• 9月24日に一部の機能を止め、同日中に再開。いまは通常どおり動いているとしています
• 宿泊施設を通じて予約者に注意を呼びかけ、宿泊施設に TEMAIRAZU のログインパスワードの変更を頼みました
• 個人情報保護委員会へ報告し、警察に相談。外部のセキュリティ専門機関に調査を委託しています
• 調査費用や宿泊施設・予約者への対応費用が見込まれるが、業績への影響はまだ算定できないとしています（10月9日）

この事例から中小企業が学べること

• 予約管理などのクラウドサービスの管理画面は、パスワードを強くし、多要素認証を使う
• 管理画面のログインや設定の変更の記録を定期的に見る
• お客様に、メッセージアプリでカード情報や支払いを求めることはないと先に伝えておく
• お客様からの「不審な連絡が来た」という声を、異常の入口として扱う