手間いらずに不正アクセス 宿泊予約客へ偽メッセージ 最大445万人

宿泊施設向けの予約管理システム「TEMAIRAZU(手間いらず)」が、不正アクセスを受けたと公表しました。取得された予約情報をもとに、予約した客へ、なりすましのメッセージ(フィッシング)が送られました。対象は最大で約445万人です。この記事は、同社の公式のお知らせに書かれていることだけをまとめます。

何が起きたか

TEMAIRAZUは、ホテルや旅館などの宿泊施設が、複数の予約サイトの在庫や予約をまとめて管理するためのシステム(サイトコントローラー)です。多くの施設が使うこの仕組みが不正アクセスを受け、予約情報が取得されました。

発端は、2026年9月下旬、複数の宿泊施設から「予約した客に不審なメッセージが届いている」という連絡でした。その後の調査で、同社のシステムへの不正アクセスが確認されました。攻撃者は、取得した予約情報を使い、予約客に本物らしい偽のメッセージを送っています。

過去にも、宿泊予約をめぐるフィッシングはありましたが、多くは施設側のアカウントの乗っ取りが起点でした。今回は、予約管理システムの提供元そのものが不正アクセスを受けたため、多くの施設の予約客が一度に巻き込まれた点が異なります。

閲覧・取得された可能性がある情報

対象者数は、最大で約445万人です。これは閲覧・取得された「可能性がある」最大の規模で、流出が確定した数ではありません。

時系列

原因となった箇所は特定し、対策は完了したとしています。ただし、侵入の具体的な手法や脆弱性の詳細は公表されていません。この記事も、中身を推測しません。同社は、アクセス制御と監視を強化し、個人情報保護委員会へ報告、警察へ相談、外部の専門機関と調査を続けているとしています。

影響する会社・しない会社

• 影響する: TEMAIRAZU を使う施設で宿泊を予約した人です。氏名、電話番号、メールアドレス、施設名、宿泊日、料金が、閲覧・取得の可能性の対象です。本物らしい偽メッセージに注意が要ります。
• 影響する: TEMAIRAZU を使っている宿泊施設です。同社は、管理画面のパスワード変更と、不審なログインや操作の履歴の確認を依頼しています。
• 影響する: 予約管理やサイトコントローラーのような、外部のSaaSに顧客情報を預けている事業者です。提供元が入口になる構図は、自社の委託先にも当てはまらないか確かめる価値があります。
• 影響しない: クレジットカード情報と予約サイトのログイン情報です。同社は保有しておらず、対象外としています。

情シス・宿泊事業者が今日やること

• 管理画面の認証を強める。予約管理SaaSやサイトコントローラーの管理画面に、多要素認証が入っているか。ID・パスワードだけでログインできる状態になっていないかを確かめます。
• パスワードの変更と履歴の確認。利用しているサービスから依頼が来ていないか確認し、管理画面のパスワードを変え、不審なログインや操作の履歴が無いかを見ます。
• 使っていない旧機能の棚卸し。古いインストール型の機能など、使っていない入口が残っていないか。使わないものは止めます。
• 予約客への注意喚起。予約情報を踏まえた偽メッセージが届く前提で、「URLは開かない」「カード情報は入力しない」「予約は公式の窓口で確かめる」を、客へ案内します。メッセージは、内容の正しさではなく、届いた経路やURLで見分けるのが基本です。