最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 宿泊を予約した人 ／ TEMAIRAZU を使う宿泊施設 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
ホテル・旅館の予約の情報が見られたおそれ。宿を名乗る偽のメッセージが届いている（10 月 9 日の開示まで）
- ホテルや旅館が予約を管理するシステム「TEMAIRAZU」に、外から何者かが入り込んだ。泊まる人の氏名・電話番号・メールアドレス・宿の名前・泊まる日などが、見られたり取られたりした可能性がある。対象は最大で約 445 万人
- 宿や予約サイトを名乗るメッセージが予約した人に届き、偽のサイトでカード番号の入力や支払いをさせようとしている。手間いらずは、なりすましの詐欺（フィッシング詐欺）とみている
- カード情報と予約サイトのログインの情報は、もともと持っていない。予約した人は、メッセージのリンクを開かず、予約の確認は宿か予約サイトの公式窓口で行う
どうすればいい？
よくある疑問と答え
-
自分の予約は対象？
予約した宿が TEMAIRAZU を使っていたかは、泊まる側からは分かりにくいものです。宿や予約サイトを名乗るメッセージが届いたら、対象かどうかにかかわらず、下の注意を守ってください。
→ 予約した人がやること -
「事前チェックイン」のメッセージが来た。本物？
事前チェックインや予約の維持を理由に、外のサイトでカード番号を入れさせるメッセージが出回っています。リンクは開かず、返信もしないでください。
→ 届いているメッセージの特徴 - カード番号は漏れた？ 手間いらずは、カード情報と予約サイトのログインの情報を持っていません。偽のサイトにカード番号を入れてしまったら、すぐにカード会社に相談してください。
- 予約はそのまま使える？ TEMAIRAZU はふだんどおり動いています。気になるときは、メッセージの連絡先ではなく、宿か予約サイトの公式窓口で確かめます。
-
TEMAIRAZU を使っている宿は？
ログインのパスワードを変え、管理画面に身に覚えのないログインや変更がないかを確かめます。
→ 宿泊施設がやること -
どうやって入り込まれた？
原因は特定し対策も済んだとしていますが、手口は安全のため公表しないとしています。
→ 技術的な詳細
詳しくは：宿泊を予約した人 ／ TEMAIRAZU を使う宿泊施設
この記事では、手間いらずへの不正アクセス（宿泊施設向け予約管理システム TEMAIRAZU）について、手間いらず株式会社の公式の発表（9 月 28 日のお知らせ、10 月 7 日の第二報、10 月 9 日の開示）だけをもとに、何が起きたのかと、宿泊予約の情報が対象になった予約者・TEMAIRAZU を使う宿泊施設がやることを整理します。
何が起きたか
TEMAIRAZU は、ホテルや旅館などの宿が予約を管理するためのシステムです。
2026 年 9 月 21 日、TEMAIRAZU を使う複数の宿から「予約した人に、宿泊予約についての不審なメッセージが届いている」と連絡がありました。手間いらずが社内で調べたところ、TEMAIRAZU に第三者が不正にアクセスしていたことが分かりました。
| こと | 発表の内容 |
|---|---|
| 見られたおそれのある情報 | 宿泊者の氏名・電話番号・メールアドレス・宿泊施設名・チェックイン日・チェックアウト日・宿泊料金 |
| 対象の人数 | 最大で約 445 万人（10 月 9 日の開示。調査は続いている） |
| 含まれないもの | クレジットカード情報と、宿泊予約サイトのログイン情報。手間いらずはどちらも持っていないとしている |
| システム | 今はふだんどおり動いている |
届いている偽のメッセージ
宿泊施設を装ったメッセージは、WhatsApp などのメッセージアプリ、メール、SMS で届いています。宿泊予約の中身を知っているような書き方なので、本物と見分けにくいのが特徴です。
予約の確認や確定、事前チェックイン、予約の維持、クレジットカード情報の入れ直し、急ぎの支払いなどを理由に、不審なサイトへ連れていこうとします。手間いらずは、カード情報やお金をだまし取るためのフィッシング詐欺とみています。届いているメッセージは不正アクセスが原因である可能性があるとして、関係を調べ続けています。
宿泊を予約した人がやること
手間いらずの案内です。ホテルや旅館を予約していて、宿や予約サイトを名乗るメッセージが届いたら、次の点に気をつけてください。外のサイトを開かせるもの、予約の維持のために支払いを求めるもの、カード情報や個人情報を入れさせるもの、「すぐに手続きが必要」と急がせるものは、とくに気をつけます。
- メッセージに書かれた URL やリンクを開かない。返信もしない
- クレジットカード情報や個人情報を入れない。メッセージの指示で支払いや送金をしない
- 予約の内容や支払いを確かめたいときは、メッセージの連絡先は使わず、予約した宿か、予約サイトの公式の窓口に問い合わせる
- 不審なサイトにカード情報を入れてしまったら、すぐにカード会社に相談する
この件の問い合わせ先として、手間いらずは「緊急ヘルプデスク」（メールアドレス helpdesk@temairazu.com）を案内しています。問い合わせ先は、届いたメッセージではなく、手間いらずの公式サイトのお知らせで確かめてください。
TEMAIRAZU を使う宿泊施設がやること
手間いらずが宿泊施設に出したお願いです。予約サイト（OTA）の各社や、システムをつないでいるパートナーの会社にも、自社の管理画面を確かめるよう求めています。
- 念のため、TEMAIRAZU のログインパスワードを変える
- 管理画面で、身に覚えのないログインや、意図しない登録内容の変更がないかを確かめる。見つけたら、すぐに手間いらずへ連絡する
- 予約した人から不審なメッセージについて問い合わせがあったら、URL を開かず、個人情報やカード情報を入れないよう伝える
あわせて、自社のホームページや予約の確認メールに「当館から事前チェックインや支払いをメッセージアプリで求めることはありません」のように、自社から送る連絡の中身を書いておくと、予約した人が偽物と見分けやすくなります（この記事での整理）。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 9 日 | 株主・投資家向けに開示。閲覧・取得された可能性のある情報の対象者数を、最大で約 445 万人と公表。業績への影響はまだ算定できないとした |
| 10 月 7 日 | 第二報。閲覧・取得された可能性のある情報の項目を公表。事前チェックインなどを理由にカード情報を求める、フィッシング詐欺とみられるメッセージへの注意を呼びかけ |
| 9 月 28 日 | 第一報。不審なメッセージと不正アクセスを公表。予約者・宿泊施設・予約サイトの各社へのお願いを出した |
| 9 月 24 日 | 被害が広がるのを防ぐためと調査のため、一部の機能を午前 10 時 58 分ごろに止め、午後 9 時 48 分ごろに再開 |
| 9 月 21 日 | 深夜ごろから、複数の宿泊施設より「予約者に不審なメッセージが届いている」と連絡があり、社内の調査を始めた |
技術的な詳細（宿泊施設・システム担当者向け）
ここからは、TEMAIRAZU とつないでいる予約サイトやシステムの担当者、宿の側で管理画面を扱う担当者向けです。手間いらずの発表に書かれた技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 見つかったきっかけ | 複数の宿泊施設からの「予約者に宿泊予約に関する不審なメッセージが届いている」という連絡。社内の調査で、TEMAIRAZU への第三者による不正アクセスを確認 |
| 原因と対策 | 不正アクセスの原因を特定し、その原因への対策と、アクセスの制御や監視の強化を済ませた。具体的な手法と対策の詳細は、セキュリティ上の理由で公表しない |
| 機能の停止 | 9 月 24 日に一部の機能を止め、同じ日のうちに再開。予約・在庫・料金の連携の仕組み全体を止めたわけではない |
| 確認を求めた相手 | 宿泊施設、予約サイト（OTA）の各社、システムをつないでいるパートナーの会社。管理画面での身に覚えのないログインや、意図しない登録内容の変更の確認 |
| 調査と報告 | 外部のセキュリティの専門機関に調査を任せて検証を続けている。個人情報保護委員会に報告し、警察にも相談 |
| 発表に無いこと | 侵入の手法・使われた脆弱性や認証情報・不正アクセスの期間・不審なメッセージとの関係（確認を続けている） |
この記事での整理です。予約の連携をしている側では、管理画面のログインの履歴（日時・接続元）と、登録内容の変更の履歴を、9 月 21 日より前までさかのぼって見ておくと、手間いらずへ連絡するときの材料になります。
自社で見直すこと
手間いらずの発表から読み取れることを、予約・会員・お問い合わせの受付を外部のサービスに任せている中小企業向けにまとめます（この記事での整理）。今回は、自社ではなく、使っている予約のシステムから、自社のお客様に偽のメッセージが届きました。
- お客様の情報がどのサービスにあるかを書き出す 予約システム・お問い合わせフォーム・メール配信など、お客様の名前や連絡先を預けているサービスを一覧にする。どこかで事故が起きたときに、自社のお客様が対象かをすぐに判断できる。
- 管理画面のログインを守る 外部サービスの管理画面のパスワードをほかと使い回さない。2 段階認証が使えるなら有効にし、ログインの履歴や登録内容の変更を見られる場所を確かめておく。
- なりすましへの備えを公式サイトに書いておく 自社がどの手段で、どんな連絡を送るか（カード番号をメッセージで聞かない、など）を公式サイトに書いておく。事故のときに、お知らせを載せる場所と、問い合わせの窓口も決めておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、ホームページの安全対策の基本は 「ホームページのセキュリティ対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、外部サービスの管理画面の守り方や、事故のときのお知らせの掲載を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
