手間いらず「TEMAIRAZU」への不正アクセス（最大約445万人分の宿泊予約情報が閲覧・取得された可能性）
公表日
宿泊施設向け予約管理システム「TEMAIRAZU」を提供する手間いらず株式会社のシステムに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大約445万人分の宿泊予約情報が閲覧・取得された可能性があると公表された（全員の流出が確定したわけではない）。
対象者は？
手間いらずのシステムを使う宿泊施設に予約した人が対象になり得る。最大約445万人で、閲覧・取得された可能性がある人数の上限である。可能性がある情報は、氏名、電話番号、メールアドレス、宿泊施設名、チェックイン・チェックアウト日、宿泊料金など。クレジットカード情報と宿泊予約サイトのログイン情報は、同社が保有しておらず対象外と説明されている。
予約した宿泊施設の公式サイトのお知らせを確認する。施設の告知では、9月21日までに成立した予約が対象とされるものが多い。対象の予約者には、手間いらずから直接注意喚起メールが届く場合があると施設が案内している。
いますぐできること
- 予約に関する不審なメッセージのURLは開かず、カード情報や個人情報を入力せず、返信や支払い・送金もしない。
- 予約内容の確認は、メッセージのリンクからではなく、宿泊施設や予約サイトの公式窓口へ直接行う。
- 予約した施設の公式サイトで、今回の件のお知らせが出ていないか確認する。
何が起きたのか
2026年9月21日深夜ごろから、複数の宿泊施設で、予約者にWhatsAppやメール、SMSで不審なメッセージが届いていると手間いらずに連絡が入った。メッセージには予約に関する情報を知っているとみられる内容があり、カード情報の再入力や急ぎの支払いを求めて不審なサイトへ誘導するものもあった。調査の中で同社システムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認され、9月28日に公表された。10月9日には、対象が最大約445万人と発表された。大田区立伊豆高原学園では、Web予約69件が流出した可能性があると公表された。
なぜ起きたのか・なぜ広がったのか
原因は、過去に提供されていたインストール型サービスを構成する機能の一部にあったセキュリティ上の問題と、同社の報告として施設が告知している。具体的な手口は、セキュリティ上の理由から公表されていない。手間いらずは多数の施設の予約をまとめて管理するシステムで、利用する施設が多かったため、影響を公表した施設も多数に及んでいる。不審メッセージと不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の関係は、同社が確認中である。
いまの状況2026-10-14 時点続報待ち
確認されている不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は9月21日のものに限られ、9月26日に原因箇所への対策が完了したと説明されている。一時停止していた機能は再開され、システムは正常に稼働している。被害規模と原因の調査は続いており、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への相談も行われている。実際に流出した人数や金銭被害の有無は、まだ発表されていません。
企業として考えたいこと
自社の顧客情報を預けている外部のシステム事業者で事故が起きた場合、自社はどのくらい早く知らされ、顧客にどう伝える準備ができているでしょうか。
技術的な要約
宿泊施設向けサイトコントローラー「TEMAIRAZU」シリーズを提供する手間いらず株式会社は、2026年9月21日深夜ごろから複数の宿泊施設より、予約者にWhatsApp・電子メール・SMSなどで不審なメッセージが届いているとの連絡を受けた。調査の過程で同社システムへの不正アクセスが判明し、同社は2026年9月28日に第一報を公表した。10月9日の適時開示では、氏名・電話番号・メールアドレス・宿泊施設名・チェックイン／アウト日・宿泊料金などが最大約445万人分、第三者に閲覧・取得された可能性があるとされたが、全員の流出が確定したわけではない。原因は過去に提供されていたインストール型サービスを構成する機能の一部にあったセキュリティ上の問題と、同社報告として施設側が告知しており、確認されている不正アクセスは9月21日のものに限られ、9月26日に原因箇所への対策を完了したとされる。多数のホテル・旅館・運営会社・自治体（大田区立伊豆高原学園など）が影響や注意喚起を公表しており、被害規模と原因の調査は継続中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者具体的な不正アクセス手法・悪用された脆弱性は、セキュリティ上の理由から公式発表では公表されていない。施設側告知が伝える手間いらずの報告では、原因は「過去に提供されていたインストール型サービスを構成する機能の一部にあったセキュリティ上の問題」とされる。対策として管理ツールのパスワード変更、サーバーへの接続制限と認証方法の強化などが挙げられているが、侵入経路の特定には至らない。
- 脆弱性
- CVE 非公表報道・研究者TEMAIRAZUの過去に提供されていたインストール型サービスを構成する機能の一部製品の詳細・CVEは非公表。手間いらずの報告として施設側が告知した内容で、具体的な脆弱性の種類や悪用方法は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 安全確保と調査のため一部機能を一時停止し、対策後に再開した。予約・在庫・料金を連携する基幹エンジン全体は停止しておらず、9月28日時点でTEMAIRAZUは正常稼働と公表されている。期間：2026-09-24 10:58〜21:48（約10時間50分）
- データ
- おそれ上限 4,450,000確定 —人氏名電話メールその他2026-10-09の適時開示で対象は最大約445万人。閲覧・取得された可能性がある情報は氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金など（「その他」は宿泊施設名・宿泊日・宿泊料金）。施設告知には住所、FAX番号、性別、年齢、会社名、予約番号を挙げるものもある。445万人全員の流出が確定したわけではない。クレジットカード情報と宿泊予約サイトのログイン情報は保有しておらず対象外と説明されている。
- 波及先
- 140 公表主体・施設グループ（まとめ記事の掲載行数）
- 大田区立伊豆高原学園（Web予約69件、予約件数であり69人の漏えい確定ではない）
- 藤田観光
- スーパーホテル
- UDS HOTELS
- 穴吹エンタープライズ
- 金銭影響
- —
- サプライチェーン
- 宿泊施設向けサイトコントローラーを提供する手間いらずのシステムが侵害され、同システムを利用する多数のホテル・旅館・運営会社・自治体施設の予約者情報に影響が及ぶ可能性が生じた。接続先のOTA各社やパートナーにも管理画面の確認が求められている。まとめ記事の掲載行数140は法人数や被害施設の実数ではない。
時系列
- 2026-09-21
- 2026-09-21
- 2026-09-22藤田観光が顧客からの問い合わせで不審な通知の配信を確認。LIVELY HOTELSなど複数施設が手間いらずの公表前の9月22〜25日に注意喚起を掲載した。6
- 2026-09-24 10:58
- 2026-09-26
- 2026-09-27ニューグロリアリゾートグループが、予約管理システム会社から第三者による不正アクセスの報告を受けたと告知した。6
- 2026-09-28
- 2026-09-29手間いらずが英語版の公表文を公開した。6
- 2026-10-06大田区立伊豆高原学園に、宿泊予約者から予約情報を含む不審メールを受信したとの連絡があり、確認の結果、予約管理システム提供会社への不正アクセスが判明した。7
- 2026-10-07手間いらずが調査結果の第2報を発表した。7
- 2026-10-09
- 2026-10-09
- 2026-10-13NOHGA HOTELが続報で、ホテル側ネットワーク起因ではなくTEMAIRAZUの過去提供サービスの一部機能の問題が原因と説明。青葉台フォーラムは、手間いらずが対象予約者へ直接注意喚起メールを送る場合があると追記した。8
- 2026-10-14セキュリティ対策Labが公表主体・施設グループ140行のまとめを公開。9月22日以降パスワード未変更の対象アカウントは、10月19日13時までに変更しない場合、次回ログイン時に変更画面が表示される予定と報じられた。8
技術解説
確認されている経緯と公表の流れ 事実
手間いらずは2026年9月21日深夜ごろから、複数の宿泊施設より、予約者にWhatsApp等のメッセージアプリ、電子メール、SMSで不審なメッセージが届いているとの連絡を受け始めた。メッセージには宿泊予約に関する情報を把握しているとみられる内容が含まれ、予約の確認・確定、クレジットカード情報の再入力、緊急の支払いを求めて不審なウェブサイトへ誘導するものがあった。調査の過程で同社システムへの不正アクセスが確認され、9月28日に第一報、9月29日に英語版、10月7日に第2報、10月9日の適時開示で対象が最大約445万人と公表された。第一報では宿泊者情報の一部が閲覧または取得された可能性を否定できないとされ、漏えい確認とまでは公表されなかった。同社は不審メッセージと不正アクセスの関係を確認中としている。
公表されている原因と対応内容 事実
穴吹エンタープライズが公表した手間いらずからの報告によると、原因は過去に提供されていたインストール型サービスを構成する機能の一部にあったセキュリティ上の問題である。確認されている不正アクセスは9月21日に発生したものに限られ、9月26日に原因箇所を特定して対策を完了したとされる。対策は管理ツールのパスワード変更、サーバーへの接続制限と認証方法の強化、検知・防御・監視体制の強化、類似箇所の点検などである。9月24日10時58分から21時48分まで一部機能が停止したが、予約・在庫・料金を連携する基幹エンジン全体は停止せず、復旧済みとされる。具体的な不正アクセス手法と対策の詳細は、セキュリティ上の理由から公式には公表されていない。個人情報保護委員会への報告を含む対応と、警察への通報・相談も行われている。
影響範囲の数字と、上限・確定の区別 事実
10月9日の適時開示で示された対象は最大約445万人で、これは閲覧・取得された可能性がある人数の上限である。445万人全員の情報流出が確定したわけではなく、外部の専門機関と連携した調査が続いている。可能性がある情報は、氏名、電話番号、メールアドレス、宿泊施設名、チェックイン・チェックアウト日、宿泊料金などである。手間いらずはクレジットカード情報と宿泊予約サイトのログイン情報を保有しておらず、これらは対象外と説明している。大田区立伊豆高原学園では、8月23日〜9月21日のWeb予約69件が流出した可能性があると公表されたが、69件は予約件数で69人の確定ではない。セキュリティ対策Labのまとめの140行は公表主体・施設グループの掲載行数で、法人数や被害施設の実数、漏えい確認件数を表さない。
影響が多数の施設に及んだ構造（解釈） 解釈
TEMAIRAZUはホテルや旅館が複数の宿泊予約サイトを一元管理するサイトコントローラーで、接続先には国内OTAに加え海外サービスも含まれるとされる。このような予約の中継点では、多数の施設の予約情報が一つの事業者のシステムに集まる。そのため、一事業者のシステムで起きた事象が、個々の施設の問題として多くの場所で同時に表面化しやすい構造だったと解釈できる。施設側から見ると、自施設の環境に原因がなくても、予約者への注意喚起や問い合わせ対応が必要になる。また、不審メッセージに実際の宿泊先名や宿泊日が含まれたとの報告があることから、予約情報の正確さが詐欺の信憑性を高めた可能性がある。ただしこれは公表情報からの推測であり、不審メッセージと不正アクセスの因果は同社が確認中である。
公表の時系列に関する見方（解釈） 解釈
不審メッセージの連絡は9月21日深夜に始まり、複数の施設が手間いらずの第一報（9月28日）より前の9月22〜25日に注意喚起を掲載していた。この間は、予約者に近い施設が先に動き、システム提供元の公表が後から続いた形に見える。ただし、不正アクセスと原因箇所の確定には一定の調査時間が要るため、公表時期の妥当性を断定することはできない。第一報では漏えいの確認とまでは述べず、第2報、適時開示と段階的に対象範囲が示された。段階的な公表になる事情は理解できる一方、予約者や施設が自衛のために知りたい情報項目や人数が、早い時期には示されにくかった面もある。手法の詳細を伏せる判断には、再発防止の観点からも一定の合理性がある。
対応
- 封じ込め
- 不正アクセス確認後、直ちにアクセス遮断を含む被害拡大防止措置を講じ、原因を特定して対策を完了した。9月24日に一部機能を一時停止して対策後に再開。アクセス制御・監視体制を強化し、システム監視を継続している。宿泊施設にはログインパスワード変更と不審なログイン・登録内容変更の確認を、OTA各社・接続先パートナーには管理画面、権限設定、送金先口座などの確認を求めた。具体的な手法と対策詳細は非公表。外部の情報セキュリティ専門機関に確認への協力を依頼しているが、フォレンジック調査の実施までは明記されていない。
- 公表の仕方
- 9月28日に第一報（英語版は9月29日）、10月7日に第2報、10月9日の適時開示で対象最大約445万人を公表。第一報時点では情報漏えいの確認とまでは公表せず、閲覧または取得された可能性を否定できないとした。不審メッセージと不正アクセスの関係は確認中で、被害規模と原因の調査は継続している。
- 当局対応
- 個人情報保護委員会（報告を含む対応を進めていると公表）
- 警察（通報・相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 過去に提供していた機能や旧版コンポーネントが、現行サービスの攻撃面として残り得る | 提供終了・旧版の機能も含めた資産台帳を作り、外部から到達できるエンドポイントを定期スキャンで棚卸しする。不要な機能は無効化・削除し、廃止手順と責任者を明文化する。 |
| 管理ツールやサーバーへの接続は、認証と接続元の両面で絞る | 管理系エンドポイントを許可IPまたはVPN経由に限定し、多要素認証を必須にする。管理用の資格情報は定期的に更新し、侵害の疑いがあれば即時にローテーションできる手順を用意する。 |
| 顧客の予約・連絡先データは、保持する量と期間が被害規模を左右する | データ保持期間を定義し、宿泊完了後の予約データは期限でアーカイブ・削除する。連絡先などの項目は暗号化し、参照権限を施設単位で分離して、アクセスログを取得する。 |
| 大量のデータ取得や不審なアクセスを早期に検知する仕組みが要る | 予約データの大量参照・エクスポートに閾値アラートを設定し、異常な認証や海外からのアクセスを監視する。ログを一定期間保存し、フォレンジックに使える形で集約する。 |
| 利用施設・OTA・接続先との連絡経路と、予約者向け注意喚起の準備が被害の拡大を抑える | 利用施設向けの緊急連絡窓口と通知テンプレートを事前に整える。パスワード強制変更の仕組みを用意し、公式な連絡手段と、メール等でカード番号入力や送金を求めない旨を日頃から周知しておく。 |
自組織などでの確認項目
- 自組織が利用する外部システム（予約・顧客管理など）の提供元に、過去に提供した旧機能や旧版が残っていないか、契約や仕様書で確認できるか。
- 自組織が顧客の予約・連絡先情報を預けている委託先で、事故時に何時間以内にどの経路で連絡が来るか、契約や運用で定まっているか。
- 顧客から不審なメッセージの問い合わせが来た場合、受付から調査開始、注意喚起の掲載までの手順と担当が決まっているか。
- 自組織の管理画面やサーバーの管理用アカウントは、接続元制限と多要素認証が設定され、パスワード変更を一斉に行う手順があるか。
未解明点
- 不正アクセスの具体的な手法と、原因とされる機能の具体的な内容（製品名・脆弱性の種類）は公表されていない。
- 最大約445万人のうち、実際に閲覧・取得された人数と情報項目の確定内容は示されていない。
- 攻撃者の属性は公表されておらず、不審メッセージと不正アクセスの関係も確認中である。
- 不審メッセージによる金銭被害の有無・件数は、手間いらずからは公表されていない。
- 10月7日の第2報の詳細な内容や、外部専門機関による調査結果と再発防止策の全体像は、今回渡された資料では確認できない。
出典
- 1デジタルデータフォレンジック（DDF）2026-09-29報道本文確認済
- 2innovaTopia2026-10-12報道本文確認済
- 3NHK2026-10-10報道本文確認済
- 4Yahoo!ニュース エキスパート2026-10-12報道本文確認済
- 5デジタルデータフォレンジック2026-09-29研究者本文確認済
- 6piyolog2026-09-30報道本文確認済
- 7セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-12報道本文確認済
- 8セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-14報道本文確認済
- 9セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-28報道本文確認済
- 10TRAICY2026-09-29報道本文確認済