手間いらず「TEMAIRAZU」、不正アクセスによるサイバー攻撃で最大約445万人の個人情報漏洩の恐れ

手間いらず株式会社は2026年10月9日、宿泊施設向け予約管理システム「TEMAIRAZU」への不正アクセスについて、宿泊予約情報が第三者に閲覧または取得された可能性のある対象者数が、最大約445万人に上ると公表しました。同日17時のTDnet適時開示で明らかにしたものです。

対象となる可能性がある情報は、氏名、電話番号、メールアドレスなどの連絡先のほか、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金などです。「最大約445万人」は影響を受けた可能性のある対象者数を示しており、445万人分の情報が実際に第三者へ流出したと確定したものではありません。

TEMAIRAZU不正アクセスのサマリー

• 公表日：2026年10月9日（TDnet適時開示）
• 対象：手間いらず株式会社の宿泊施設向け予約管理システム「TEMAIRAZU」
• 確認した事象：第三者によるシステムへの不正アクセス
• 影響範囲：宿泊予約情報が第三者に閲覧または取得された可能性
• 対象者数：最大約445万人
• 対象情報：氏名、電話番号、メールアドレス、宿泊施設名、チェックイン・チェックアウト日、宿泊料金など
• クレジットカード情報：同社は保有していないと説明
• システム：9月24日に一部機能を停止し、同日中に再開。現在は通常稼働
• 対応：原因箇所への対策、アクセス制御・監視体制の強化、外部専門機関による調査継続

10月9日の開示で最大約445万人の影響範囲を公表

手間いらずは9月28日に不正アクセスを公表し、10月7日の第2報で、第三者に閲覧・取得された可能性のある情報項目を明らかにしていました。10月9日の適時開示では、これまで示していなかった対象者数が最大約445万人と具体化しました。

同社は、社内調査と原因箇所への対策に続き、外部のセキュリティ専門機関に調査・分析を委託しています。今回示した人数は、その調査の現段階で対象となり得る宿泊予約情報の範囲に基づくものです。実際に何人分が閲覧・取得されたのかについて、確定した人数を公表したものではありません。

同社はクレジットカード情報を保有していないと説明しています。また、10月7日の第2報では宿泊予約サイトのログイン情報も保持していないとしています。これはTEMAIRAZU側での保有状況についての説明であり、不審なサイトに利用者がカード情報を入力した場合の二次被害とは分けて考える必要があります。

9月21日に不審メッセージを確認、9月24日に一部機能を停止

発端は9月21日、複数の宿泊施設から、予約者宛てに宿泊予約に関する不審なメッセージが送られていると連絡があったことでした。手間いらずが調査を進めたところ、自社システムへの不正アクセスが判明しました。

9月24日には被害拡大防止と調査のため、一部機能を午前10時58分頃から午後9時48分頃まで停止しました。停止中は一部の出力・設定・確認作業に制約が生じましたが、予約・在庫・料金の連携エンジン全体を停止したわけではないと説明しています。

同社は確認した原因箇所への対策を完了し、アクセス制御と監視体制を強化しています。10月9日時点では停止した機能を含め通常どおり稼働しており、外部専門機関による検証を続けています。

宿泊予約情報を悪用したフィッシングにも注意

10月7日の第2報では、宿泊施設や予約サイトを装った不審なメッセージが、WhatsApp、メール、SMSなどで宿泊予約者へ送信されていると説明しました。事前チェックインや予約の維持を口実に、外部サイトでのクレジットカード情報の入力や支払いを求める内容が確認されています。

同社は、カード情報の詐取や金銭被害を狙ったフィッシング詐欺とみられるとしています。実際の宿泊施設名や滞在日程を知っているように見えるメッセージでも、記載されたURLから手続きせず、宿泊施設や予約サイトの公式窓口に直接確認するよう呼びかけています。不審なサイトでカード情報を入力した場合は、カード発行会社への速やかな相談を案内しています。

今回の不正アクセスに伴い、宿泊施設や運営事業者などからの公表も相次いでいます。施設ごとの発表状況や不審メッセージへの注意喚起は、セキュリティ対策Labの「TEMAIRAZU」不正アクセスによる影響ホテル・企業まとめで整理しています。

調査・セキュリティ強化費用を見込むも、業績影響は算定困難

手間いらずは、外部専門機関による調査費用、セキュリティ強化費用、宿泊施設や予約者への対応費用などの発生を見込んでいます。ただし、影響範囲の調査と関連費用の精査が続いているため、10月9日時点で業績への影響を合理的に算定することは困難としました。

個人情報保護委員会への報告と警察への相談は実施済みです。今後は外部専門機関の調査結果を踏まえ、必要な追加対策・再発防止策を講じ、開示すべき重要な事項が判明した場合は公表する方針です。

出典

• 当社システムへの不正アクセスに関する調査状況および対応について（2026年10月9日） – 手間いらず株式会社（公式IR・PDF）
• 当社システムへの不正アクセスに関する調査状況および対応について（2026年10月9日17時） – TDnet適時開示原文（PDF）
• 当社システムへの不正アクセスに関する経過および対応について（第二報、2026年10月7日） – 手間いらず株式会社（公式PDF）
• 不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ（2026年9月28日） – 手間いらず株式会社（公式PDF）

関連記事

千葉西総合病院、看護師が患者の映る動画をSNSで無断共有―3人を出勤停止、個人情報保護委員会に報告 イギリスの米軍基地近くで男5人逮捕　爆発物法違反・テロ行為準備の疑い、対テロ警察が捜査 運転免許証や免許証情報が漏洩した場合の悪用シナリオと対策｜AIで住所・顔写真を改変されたらクレジットカードやローン契約はできるのか サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)