株式会社ファインズの予約システムに不正アクセス、予約者153万件の情報漏洩の可能性

2026/10/01 （更新 2026/10/27）情報収集中深刻情報通信・IT #不正アクセス

項目	内容
発生・公表日	不正アクセス: 2026年9月21日〜22日（利用事業者の公表による） / 検知: 9月22日 / 公表: 9月25日（速報）
対象組織・業界	株式会社ファインズ（東京都港区芝浦／店舗向けの予約システムなどを提供するクラウドサービス事業者。東証グロース上場）
対象サービス	予約システム「いつあき」「TSUNAGU」（ファインズの問い合わせ窓口による）
影響件数	1,536,322件（予約者の氏名・電話番号・メールアドレス・予約店舗・メニュー・日時等）
攻撃手法	第三者による不正アクセス。利用事業者の公表では「プログラムの不備を悪用」。詳細は未公表
情報源	株式会社ファインズ公式発表（2026年9月25日）、ファインズ予約者向け問い合わせ窓口、利用事業者の公表（下表）、セキュリティ対策Lab（2026年10月）、ScanNetSecurity（2026年10月15日）、サイバーセキュリティ.com（2026年9月30日）

概要

株式会社ファインズは2026年9月25日、予約システムへの不正アクセスを公表しました。予約者の情報1,536,322件が漏えいした可能性があります。

対象の情報は、予約者の氏名・電話番号・メールアドレスと、予約した店舗・メニュー・日時などです。同社は弁護士と連携して調査を進めており、個人情報保護委員会などに報告しています。

9月25日の公表では、対象のサービス名は示されていませんでした。その後、同社は予約者向けの問い合わせ窓口で、対象を予約システム「いつあき」「TSUNAGU」と案内しています。

10月17日以降、このシステムを予約の受付に使っていた事業者が、影響を相次いで公表しています。医院・動物病院・猫カフェ・英語教室などです。当サイトで確認できた4事業者の公表は次のとおりです。

公表日	事業者	対象の予約	公表された情報の項目
10月17日	猫カフェ「猫ちゃんといっしょ」	2020年1月8日〜2025年1月31日の予約データ	漏えいを確認: 氏名・電話番号・メールアドレス・予約日時・店舗名・メニュー・料金等／調査中: 住所・生年月日・性別・マイページのログイン情報・顧客メモ
10月17日	海の公園どうぶつ病院	2019年5月19日〜2026年8月31日のWeb予約	漏えいの可能性: 飼い主の氏名・電話番号・メールアドレス・犬猫の名前・予約日時・メニュー等
10月19日	バナナキッズ（英語教室）	2015年2月27日〜2026年7月28日の予約を含む151件	予約データ（項目の記載なし）
10月20日	四谷メディカルキューブ	2016年10月1日〜2025年3月24日に「いつあき」で予約した患者	漏えいを確認: 氏名・電話番号・メールアドレス／調査中: 生年月日・性別・予約時の追加入力項目

四谷メディカルキューブと猫ちゃんといっしょは、9月21日から22日にかけて不正アクセスがあったと説明しています。この間に、予約データが外部に不正に取得されました。四谷メディカルキューブは、原因を「プログラムの不備を悪用した不正アクセス」と記載しています。不備の内容は公表されていません。

対象には、すでにファインズの利用をやめた事業者の予約も含まれます。猫ちゃんといっしょは、同社との契約を終えています。四谷メディカルキューブも、2025年3月から別の予約システムを使っていました。

利用事業者によると、ファインズは10月19日から、対象者の登録メールアドレスへ順次お知らせを送っています。問い合わせは、ファインズ公式サイトのフォームと電話で受け付けています。予約者向けのフォームでは、お知らせを受け取ったメールアドレスで照会したうえで、対象かどうかを回答するとしています。

経緯

2026年9月21日〜22日: 予約システムに不正アクセス（利用事業者の公表による）
9月22日: ファインズがシステムの異常を検知。不正アクセスを確認し、アクセスを遮断
9月25日: ファインズが速報を公表。個人情報保護委員会などに報告
10月16日: ファインズが四谷メディカルキューブに報告（同院の公表による）
10月17日〜20日: 利用事業者が相次いで影響を公表
10月19日: 対象者へのお知らせの送付を順次開始（利用事業者の案内による）
10月27日: ファインズのお知らせ一覧に、9月25日以降の続報は掲載されていない

対策

1. 委託先に預けた予約データの削除を、契約に入れる

本件では、2015年からの予約や、利用をやめた事業者の予約まで対象になりました。委託先のシステムには、取引が終わった後も予約データが残っていたことになります。

そこで、予約システムを契約するときに、予約データの保持期間を取り決めておきます。乗り換えや解約の際は、委託先にデータの削除を求め、削除を終えた旨を書面で受け取ります。こうしておけば、乗り換えた後に元の委託先が侵害されても、自社の予約者は対象から外れます。

2. 委託先の漏えいを予約者に伝える文面を、先に決めておく

対象の情報には、予約した店舗・メニュー・日時が含まれます。第三者は、本人しか知らない予約内容を示して連絡できてしまいます。

利用事業者は、委託先で漏えいが起きた場合の告知文を、平常時に用意しておきます。「電話やメールで料金の振込を求めることはない」と、自社の名義で書いておきます。公表の当日に告知できれば、同じ内容の連絡を受けた予約者が立ち止まれます。

ヤグラの視点 — 連休中に起きた侵入を、その日のうちに止める

本件の不正アクセスは、9月21日（敬老の日）から22日にかけて起きています。秋分の日を含む連休の最中で、2日のうちに予約データの取得まで進みました。攻撃者はこちらの出社を待ってはくれません。休日に検知した異常を、誰がどこまで止められるかで、取得される量が変わります。

そこで、予約データベースへの参照件数と出力件数について、平常時の水準を把握しておきます。そこから外れた読み出しを検知したら、休日でも接続を遮断してよい担当者と条件を決めておきます。あわせて、認証ログ・データベースの監査ログ・外部への通信ログを1か所に集めておきます。侵入がいつ始まり、どの予約が読まれたかを、後から絞り込みやすくなります。

ログの横断監視と一次調査をAIが担えば、休日の夜でも検知から初動までを数分の単位に縮められます（→ ヤグラ AI SOC）。

今後の対応

侵入経路と、悪用された「プログラムの不備」の内容
1,536,322件のうち、実際に取得されたデータの件数と内訳
住所・生年月日・ログイン情報など、調査中の項目の結果
対象者への通知の完了状況と、ファインズ自身の続報
再発防止策と、個人情報保護委員会の対応

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-10-01	第一報を公開
2026-10-27	続報を反映（対象サービス「いつあき」「TSUNAGU」、9月21日〜22日の不正アクセス、利用事業者4社の公表、対象者へのお知らせの送付開始）。新たな公表事実に合わせて対策・視点を書き直し