手間いらずの予約管理システムに不正アクセス、最大約445万人分が漏えいの可能性
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不正アクセス: 2026年9月21日（利用施設の公表による） / 公表: 9月28日（第一報）・10月7日（第二報）・10月9日（適時開示） |
| 対象組織・業界 | 手間いらず株式会社（東証スタンダード）／宿泊施設向け予約管理システムの提供 |
| 対象システム | 「TEMAIRAZU」シリーズ（複数の宿泊予約サイトを一括管理するサイトコントローラー） |
| 対象者数 | 最大約445万人（閲覧・取得された可能性） |
| 対象情報 | 予約者の氏名・電話番号・メールアドレス／宿泊施設名・チェックイン日・チェックアウト日・宿泊料金 |
| 二次被害 | 宿泊施設や予約サイトを装った不審なメッセージが、WhatsApp・メール・SMSで予約者に届いている |
| 情報源 | 手間いらず「不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ」（2026年9月28日）、「当社システムへの不正アクセスに関する経過および対応について（第二報）」（10月7日）、「当社システムへの不正アクセスに関する調査状況および対応について」（10月9日・適時開示）、穴吹エンタープライズ（2026年9月28日）、piyolog、サイバーセキュリティ.com（2026年10月11日） |
手間いらず株式会社は2026年10月9日、予約管理システム「TEMAIRAZU」への不正アクセスについて、調査状況を公表しました。最大約445万人分の宿泊予約情報が、第三者に閲覧・取得された可能性があります。
対象は、予約者の氏名・電話番号・メールアドレスと、宿泊施設名・宿泊日・宿泊料金などです。同社はクレジットカード情報と、宿泊予約サイトのログイン情報を保有していません。
同社が不正アクセスに気づいたのは、予約者に不審なメッセージが届き始めた後でした。宿泊施設からの連絡を受けて調査し、その過程で確認しています。メッセージは宿泊施設や予約サイトを装い、カード情報の入力や支払いを求めています。同社はフィッシング詐欺とみて、注意を呼びかけています。
委託先の被害が複数の組織に広がった事例は、委託先の被害で影響を受けた企業・自治体の一覧にまとめています。
- 2026年9月21日深夜: 複数の宿泊施設から「予約者に不審なメッセージが届いている」と連絡を受け、調査を開始
- 調査の過程: 同社システムへの不正アクセスを確認し、アクセスを遮断
- 9月24日: 一部の機能を午前10時58分頃に停止し、午後9時48分頃に再開
- 9月26日: 原因箇所を特定し、対策を完了（利用施設の公表による）
- 9月28日: 第一報を公表。利用施設にログインパスワードの変更を依頼
- 10月7日: 第二報で、閲覧・取得された可能性のある情報の項目を公表
- 10月9日: 適時開示で、対象者数を最大約445万人と公表
機能の停止中も、予約・在庫・料金の連携は止めていないと同社は説明しています。個人情報保護委員会に報告し、警察にも相談しています。
利用施設の穴吹エンタープライズは、手間いらずからの報告として原因を公表しています。それによると、過去に提供していたインストール型サービスの一部の機能に、セキュリティ上の問題がありました。確認された不正アクセスは、9月21日に発生したものだけとしています。
手間いらず自身は、具体的な手法と対策の詳細を公表していません。
本件では、過去の提供形態であるインストール型サービスの機能が、不正アクセスの入口になりました。提供の形を変えたあとも、過去の形態の機能が現行のシステムにつながったまま残ることがあります。こうした機能も現行の資産と同じ一覧に載せ、外部から接続を受けるものは閉じるか、更新を続けます。提供を終えた形態の入口を、攻撃に使われる前に減らせます。
ヤグラの視点 — 利用者に被害が届く前に、侵入に気づく
Section titled “ヤグラの視点 — 利用者に被害が届く前に、侵入に気づく”本件のように、侵入の判明が利用者への詐欺メッセージの後になると、気づいた時点で二次被害はすでに始まっています。予約情報を手にした攻撃者は、本物らしい文面で予約者に連絡できます。検知の起点が利用者からの被害報告にある限り、気づくのは被害の後になります。
攻撃側は生成AIで、違和感のない日本語の文面づくりや攻撃の自動化を進め、攻撃の数も増えています。一方で、サーバーへの接続や管理ツールへのログインの記録は膨大です。人の目だけで常に追い続けるのは、難しくなっています。
そこで、こうした記録を平常時から横断して集め、普段と違う動きを利用者の被害より先に拾う仕組みを整えておく必要があります。本件で同社も、再発防止策に不正アクセスの検知と監視体制の強化を挙げています。一次調査をAIに任せて人は判断に集中すれば、検知から初動までを数分の単位に近づけられます。（→ ヤグラ AI SOC）
- 外部のセキュリティ専門機関による調査・分析の結果
- 約445万人のうち、実際に閲覧・取得された範囲
- 不審なメッセージと不正アクセスの関係
- 業績への影響（同社は現時点で算定は困難としている）
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-12 | 第一報を公開 |
