概要

2026年9月21日、複数の宿泊施設から予約者に不審なメッセージが送られているとの連絡があり、同社は社内調査を始めた。その結果、第三者による不正アクセスを確認した。9月28日に初報、10月7日に第二報を出し、10月9日には対象者数を含む調査状況を公表した。閲覧・取得された可能性があるのは、予約者の氏名・電話番号・メールアドレスと、宿泊施設名・チェックイン日・チェックアウト日・宿泊料金など。対象は最大約445万人。同社はクレジットカード情報と予約サイトのログイン情報は保有していないとしている。予約者にはWhatsApp・メール・SMSで宿泊施設や予約サイトを装ったメッセージが届き、カード情報の入力や支払いを求められている。同社は不正アクセスとの関連があるとみて確認を進めている。

経緯

経緯情報は未登録です。

原因

第三者が同社システムに不正アクセスした。同社は原因箇所を特定したとしているが、侵入手法の詳細はセキュリティ上の理由で公表していない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

4,450,000

サービス停止

あり

金銭的被害

不明

対象システム

宿泊施設向け予約管理システム「TEMAIRAZU」

漏洩した情報

• 可能性あり氏名
• 可能性あり電話番号
• 可能性ありメールアドレス
• 可能性あり宿泊施設名
• 可能性ありチェックイン日・チェックアウト日
• 可能性あり宿泊料金

最大約445万人分の宿泊予約情報が閲覧・取得された可能性がある。予約者には宿泊施設を装ったフィッシングとみられるメッセージが届いている。9月24日に一部機能を一時停止したが、同日中に再開した。

対応

同社は外部のセキュリティ専門機関と連携して調査している。原因箇所への対策を行い、アクセス制御と監視体制を強化した。個人情報保護委員会へ報告し、警察にも相談した。

• 原因箇所の特定と対策
• アクセス制御・監視体制の強化
• 一部機能の一時停止（9月24日、同日再開）
• 外部セキュリティ専門機関との調査
• 個人情報保護委員会への報告
• 警察への相談
• 利用者へのフィッシング注意喚起

教訓・対策

• 予約管理システムのようにSaaS事業者に予約情報が集まっていると、情報漏えいが多数の宿泊施設の予約者を狙ったフィッシングに直結する
• 顧客から不審なメッセージの報告があった時点で、システム侵害の可能性を早めに調べることが重要

参考資料

1. 手間いらずに不正アクセス、最大約445万人の宿泊予約情報が漏洩した可能性
   サイバーセキュリティ.com公開日: 2026-10-11報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

手間いらず株式会社

関連するインシデント

関連付けられたインシデントはありません。