要点
発表された事実
- 手間いらず株式会社（東証スタンダード、2477）は2026年10月9日の適時開示で、宿泊施設向け予約管理システム「TEMAIRAZU」への第三者の不正アクセスにより、予約者の氏名・電話番号・メールアドレス等の連絡先、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金等を含む宿泊予約情報が閲覧または取得された可能性があり、対象者は最大で約445万人と公表した（手間いらずの適時開示）。
- 発覚のきっかけは9月21日、複数の宿泊施設から、予約者あてに宿泊予約に関する不審なメッセージが送られているとの連絡を受けたこと（同）。
- メッセージはWhatsAppなどのメッセージアプリ、メール、SMSで届き、予約情報を把握しているとみられる内容で、予約の確認・確定、クレジットカード情報の再入力、緊急の支払いなどを求めて不審なサイトへ誘導するものだった（9月28日の第一報）。同社はこれを、不正アクセスに「起因する可能性がある」としている（同）。
- 原因となった箇所を特定して対策を終え、アクセス制御と監視を強化した。9月24日に一部機能を約11時間止めたが、予約・在庫・料金の連携エンジン全体は止めていない。手口と対策の詳細は「セキュリティ上の理由から」公表していない（適時開示、第一報）。
- 同社はクレジットカード情報と宿泊予約サイトのログイン情報を保有していない（10月7日の第二報）。
- 【2026-10-19追記】読売新聞（10月19日）は、漏えいした宿泊予約情報が悪用されたとみられる詐欺メッセージの被害例を報じた。兵庫県尼崎市の男性の通信アプリに9月27日、2週間前に旅行サイトで予約した佐賀県内の宿泊施設の名前で、本人の名前や利用日などが正しく書かれた英文の予約確認メッセージが届き、男性はリンク先でクレジットカード番号を入力した。決済画面でエラーが出て不審に思い、2枚のカードの利用を止めたため金銭被害はなかったという。手間いらずや利用施設によると、同様のメッセージは各地の宿泊施設の予約者に送られている（読売新聞）。
わかったこと
- 【2026-10-19】予約者が偽メッセージのリンク先で実際にカード番号を入力した例が報じられた（この例では金銭被害なし）。被害の件数は公表されていない（読売新聞）。
わかっていないこと
- 不正アクセスの手口と「原因となった箇所」（脆弱性か、アカウントの悪用か、APIか）
- 不正アクセスが始まった時期
- 影響を受けた宿泊施設の数と、予約者本人への個別連絡の有無
- 不審なメッセージと不正アクセスの関係の確定、メッセージによる金銭被害の件数（【2026-10-19追記】カード番号を入力した被害例が報じられたが、件数は未公表）
- 約445万人の内訳（予約経路や国内・海外の別）
- 外部のセキュリティ専門機関による調査の結果
関係しそうな既知の手口
- （考察）予約内容を知っている偽メッセージで支払いやカード情報を求める手口は、宿泊業界を狙う詐欺として海外でも知られている。Microsoftは2025年3月、Booking.comを装って宿泊施設の従業員に認証情報を盗むマルウェアを入れさせ、金銭詐取につなげる攻撃を報告している（Microsoft）。本件は施設側ではなく、多くの施設の予約が集まる連携システムが侵入口になった点が異なる。
概要
- 宿泊施設が複数の予約サイトの在庫・料金・予約をまとめて管理するためのシステム「TEMAIRAZU」が不正アクセスを受け、最大約445万人分の予約情報が閲覧または取得された可能性がある。
- 9月21日から、予約者に「予約内容を知っている」偽メッセージが届き、カード情報の入力や支払いを求められていた。宿泊施設からの連絡で調査が始まり、不正アクセスが見つかった。
- 9月28日の初報では人数も項目もなく、10月7日の第二報で項目、10月9日の適時開示で人数が出た。手口は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-21（月）深夜ごろ | 複数の宿泊施設から、予約者にWhatsApp・メール・SMSなどで不審なメッセージが届いていると連絡。社内調査を始め、その過程でシステムへの不正アクセスを確認（第一報、適時開示） |
| 2026-09-24（木） | 被害拡大防止と調査のため、システムの一部機能を10時58分ごろ停止し、21時48分ごろ再開。停止中は一部の出力・設定・確認作業に制約（適時開示） |
| 2026-09-28（月） | 第一報を公表。不審なメッセージは不正アクセスに起因する可能性があるとし、宿泊者情報の一部が閲覧・取得された可能性を否定できないとした。宿泊施設にはログインパスワードの変更を、予約サイト（OTA）や接続先パートナーには管理画面の点検を依頼（第一報） |
| 2026-10-07（水） | 第二報で、閲覧・取得された可能性のある情報（氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金）を公表。不審なメッセージはフィッシング詐欺とみられるとした（第二報） |
| 2026-10-09（金） | 適時開示で、対象者を最大約445万人と公表。外部のセキュリティ専門機関に調査を委託し、業績への影響は現時点で算定困難とした（適時開示） |
| 2026-10-09（金）〜10（土） | サンケイスポーツ、日本経済新聞などが報道 |
| 2026-10-19（月） | 読売新聞が、9月27日に尼崎市の男性が予約先の施設名をかたる英文メッセージを受け、リンク先でカード番号を入力した例（決済エラーでカードを止め金銭被害なし）を報道 |
発表内容の整理
事実（第一報・第二報・適時開示）
| 項目 | 内容 |
|---|---|
| 対象システム | 宿泊施設向け予約管理システム「TEMAIRAZU」シリーズ |
| 対象者数 | 最大約445万人（閲覧または取得された可能性のある情報に係る人数） |
| 情報 | 予約者の氏名、電話番号、メールアドレス等の連絡先、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金等 |
| 保有していないもの | クレジットカード情報、宿泊予約サイトのログイン情報 |
| 不審なメッセージ | 宿泊施設や予約サイトを装い、事前チェックインや予約の維持を理由に外部サイトへ誘導し、カード情報の入力や支払いを求める。WhatsApp、WeChatなどのメッセージアプリ、メール、SMSで届く |
| 原因 | 特定し対策済み。手口と対策の詳細は非公表 |
| 稼働 | 通常どおり稼働。9月24日に一部機能を約11時間停止 |
| 関係機関 | 個人情報保護委員会への報告、警察への相談 |
| 問い合わせ | 緊急ヘルプデスク（helpdesk@temairazu.com） |
- 第一報は、予約サイト（OTA）各社とシステム接続先のパートナーに対し、管理画面で身に覚えのないログイン、アカウントや権限設定の意図しない変更、送金先口座などの登録情報の変更、不審な操作履歴がないかを確認するよう求めている。
考察
TEMAIRAZUのようなシステムは、宿泊施設と複数の予約サイトのあいだで在庫・料金・予約をやり取りする中継点にあたる。予約者から見ると、自分が予約したのは予約サイトかホテルであって、TEMAIRAZUの名前を目にすることはまずない。今回の約445万人の多くは、自分の予約情報がこのシステムを通っていたことを今回初めて知ることになる（考察）。
偽メッセージが「予約内容を知っている」ことが、この事案の怖さだ。宿泊施設名とチェックイン日、料金まで正しいメッセージは、本物の施設からの連絡と見分けにくい。しかも、旅行の直前に「予約を維持するには支払いが必要」と言われれば、確認する前に払ってしまう人が出やすい（考察）。
第一報が予約サイトや接続先に「送金先口座の意図しない変更」の確認まで頼んでいる点も目を引く。予約情報を読むだけでなく、連携先の管理画面や登録情報の改ざんまで想定した点検依頼と読める。ただし、実際にそうした変更があったかどうかは発表されていない（考察）。
関係しそうな既知の手口
事実（既知の知見）
- Microsoft Threat Intelligenceは2025年3月、2024年12月からBooking.comを装って宿泊業の組織を狙うフィッシング（Storm-1865）を確認したと報告した。従業員に偽のBooking.comメールを送り、偽のCAPTCHAで悪意のあるコマンドを実行させて認証情報を盗むマルウェアを入れさせ、金銭詐取や窃取に使うものだという（Microsoft）。
- JPCERT/CCは10月8日（9日更新）の注意喚起で、国内で相次ぐ不正アクセスの類型として、既知の脆弱性の探索や管理不備の悪用（ケースA）、API経由での不正な操作（ケースB）などを挙げている（JPCERT/CC）。
考察
- 施設1軒ではなく中継点が狙われた：Microsoftが報告した手口は、宿泊施設1軒ずつの従業員を騙して予約管理の画面に入り込むものだった。本件では、多くの施設の予約が通る連携システムそのものに侵入されたとみられ、1回の侵入で届く予約の数が桁違いになる。IDCFクラウドやコミューンと同じく、多くの事業者が共通で使う基盤の被害が、利用者の名前の見えないところで広がる形だ。
- 手口はまだ判断できない：同社は手口を公表しておらず、JPCERT/CCの類型のどれに当たるか、そもそも当てはまるかもわからない。施設のパスワード変更を求めたことから、施設アカウントの悪用も可能性として考えられるが、原因が施設側の認証情報だったとは書かれていない。
利用者・運用者がいまできること
事実（発表に基づく）
- 予約の確認・確定、カード情報の再入力、緊急の支払いなどを求めるメッセージを受け取ったら、URLを開かない、カード情報や個人情報を入力しない、返信しない、指示に従って支払わない。予約内容は、予約した宿泊施設か予約サイトの公式窓口に、メッセージに書かれていない連絡先で確認する。
- 不審なサイトにカード情報を入力してしまった場合は、すぐにカード会社に相談する。
- 宿泊施設は、TEMAIRAZUのログインパスワードを変更し、身に覚えのないログインや登録内容の変更があれば同社に連絡する。予約サイトや接続先パートナーは、管理画面のログイン履歴、権限設定、送金先口座などの登録情報、操作履歴を確認する。
考察（利用者向け）
- 今後の旅行の予約があるなら、予約サイトのアプリやWebに自分でログインして、支払い状況と施設からの正規のメッセージを確認しておく。予約サイト経由の正規のメッセージと、WhatsAppやSMSに突然届くメッセージは別物と考えたほうがいい。
- 宿泊施設名と日付が正しいことは、本物である証拠にならない。
考察（運用者向け）
- 予約情報を外部の連携サービスに渡している宿泊施設は、そのサービスで事故が起きたときに誰が予約者へ連絡するのかを、あらかじめ決めておく。本件では、予約者に最初に異変を伝えたのは施設側だった。
- 連携サービスを提供する側は、どの施設のどの期間の予約が対象かを施設に示せるよう、アクセスログを施設・予約単位で追える形で残しておく。
参考リンク
- 当社システムへの不正アクセスに関する調査状況および対応について（手間いらず、2026-10-09、適時開示PDF）
- 当社システムへの不正アクセスに関する経過および対応について（第二報）（手間いらず、2026-10-07、PDF）
- 不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ（手間いらず、2026-09-28、PDF）
- 手間いらずに不正アクセス、最大約445万人の宿泊予約情報が漏洩した可能性（サイバーセキュリティ.com、2026-10-11）
- 宿泊予約システムの「手間いらず」、445万件情報流出か 不正アクセス（日本経済新聞、2026-10-10）
- Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware（Microsoft Security Blog、2025-03-13）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）
- 不正アクセスによる漏えい情報悪用か、詐欺メール相次ぎ確認…「宿泊予約の確認」装いカード情報を要求（読売新聞、2026-10-19）