【手間いらず】ホテル・旅館の予約管理システムに不正アクセス、最大約445万人の予約情報が対象、カード情報の再入力を求める偽メッセージも

Security Note

2026/10/5

2026/10/13

公表：2026年9月28日／続報：10月7日（第二報）、10月9日（調査状況の開示・最大約445万人）

3行でわかるポイント

多くのホテル・旅館が予約の管理に使う「TEMAIRAZU（手間いらず）」に外部から不正アクセスがありました。
宿泊予約の情報の一部が見られたり、取られたりした可能性があり、予約内容を知っているような偽メッセージが宿泊予定者に届いています。
「カード情報の再入力」や「至急の支払い」を求めるメッセージのリンクは開かず、ホテルの公式窓口に確認してください。

何が起きたか

TEMAIRAZUは、手間いらず株式会社が提供する、宿泊施設向けのシステムです。複数の予約サイトから入る予約を一か所でまとめて管理するために使われています。

9月21日の深夜ごろから、このシステムを使う施設の予約者に、不審なメッセージが届いていることが確認されました。調査の結果、システムへの不正アクセスが分かり、同社は9月28日に公表しました。不審なメッセージは、この不正アクセスが原因の可能性があるとしています。原因は特定して対策済みとしていますが、具体的な手口はセキュリティ上の理由から公表していません。

この発表を受けて、9月末から10月初めにかけて、全国のホテルや旅館が、それぞれの予約者に向けた注意の呼びかけを相次いで出しています。

漏れた可能性のある情報

TEMAIRAZUを使う宿泊施設に予約した人の、宿泊者情報の一部。
10月7日の第二報で、宿泊者の氏名・電話番号・メールアドレス・宿泊施設名・チェックイン日・チェックアウト日・宿泊料金が対象と示されました。10月9日には、対象となり得る人数が最大約445万人と公表されています（下の続報参照）。
手間いらず社は、クレジットカード情報は扱っておらず、保有もしていないとしています。

どんな偽メッセージが届いているか

WhatsApp、WeChat、メール、SMSなどで届いています。実際の予約内容を知っているような書き方で、予約の確認や確定、クレジットカード情報の再入力、緊急の支払いなどを求め、偽のサイトへ誘導します。本物の予約情報が書かれているため、信じてしまいやすいのが特徴です。

【続報 10月7日・9日】対象の情報と人数が明らかに、最大約445万人

手間いらず社は10月7日の第二報で、第三者に見られたり取られたりした可能性がある情報を、宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金と明らかにしました。クレジットカード情報と予約サイトのログイン情報は持っていないとしています。

さらに10月9日、株主・投資家向けの開示で、対象となり得る人数が最大約445万人と公表しました。外部のセキュリティ専門機関に調査・分析を任せている途中の数字で、445万人分すべてが実際に漏れたと確定したものではありません。宿泊施設や予約サイトを装い、外部のサイトへ誘導してカード情報の入力や支払いを求める偽メッセージが、WhatsApp・メール・SMSなどで送られていることも改めて注意喚起しています。

利用者が今すべきこと

ホテルや旅館を名乗るメッセージでカード情報の入力や支払いを求められたら、リンクを開かず、返信もしない。
予約サイトのアプリや、ホテルの公式サイトに書かれた電話番号など、自分で調べた窓口で確認する。
すでにカード情報を入力してしまった場合は、すぐにカード会社に連絡して、カードの停止や再発行を相談する。

私たちが学べること

本物の予約内容が書かれていても、本物のメッセージとは限らない。
ホテルが「カード情報を入れ直して」とメッセージで求めることは、まずないと考える。
お店や施設は、予約管理などの外部システムのパスワード変更やログイン履歴の確認を定期的に行う。

経過

9月21日深夜ごろ：予約者に不審なメッセージが届いていることを確認。
9月28日：手間いらず社が不正アクセスを公表。施設にはログイン状況の確認とパスワード変更を依頼。
9月末〜10月初め：各地の宿泊施設が、予約者へ注意を呼びかけるお知らせを公表。
10月7日：第二報で、対象となり得る情報の項目（氏名・電話番号・メールアドレス・宿泊施設名・宿泊日・料金）を公表
10月9日：調査状況を開示し、対象となり得る人数を最大約445万人と公表

出典

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。

コメントはまだありません。