手間いらず「TEMAIRAZU」に不正アクセス、宿泊予約情報の閲覧とフィッシングメール送信

事案の概要データ

図解：この事故の構造

何が起きたのか

手間いらずは2026年9月28日、宿泊予約管理システム「TEMAIRAZU」が不正アクセスを受け、宿泊者情報が閲覧・取得された可能性があることを公表しました。あわせて、宿泊者に対してフィッシングメールが送信されたことも確認されています。

「TEMAIRAZU」は、複数の予約サイトの在庫や料金を一括管理するシステムで、多数の宿泊施設が導入しています。

情報を盗むだけで終わらない

この事案で特徴的なのは、情報を盗んだだけでなく、その情報を使ってすぐにフィッシングメールが送られた点です。

宿泊予約の情報には、宿泊者の氏名・連絡先・宿泊日・予約した施設名がそろっています。攻撃者はこれを使い、「ご予約の○○ホテルです。決済に問題がありました」といった、極めて信じやすいメールを送れます。実際の予約内容と一致しているため、受け取った人は疑いません。

近年、宿泊業界ではこの手口の被害が続いています。2026年5月のポラリス・ホールディングス（Booking.comアカウントの不正アクセス）、2023年のBooking.com経由の事案も同じ構図でした。

宿泊施設側が取るべき対応

予約管理システムを使っている宿泊施設は、まず管理画面のパスワードを変更し、二段階認証を設定してください。そのうえで、自館の予約者に対して「当館を装う決済依頼のメール・SMSにご注意ください」という注意喚起を出すことが重要です。

また、「当館から決済情報の入力を求めるメールを送ることはありません」と明言しておくと、お客様が偽メールを見分けやすくなります。あらかじめ公式サイトに掲載しておくと、事故が起きてからでも対応が速くなります。

時系列で見る経過

• 2026年9月宿泊予約管理システム「TEMAIRAZU」への不正アクセスが発生
• 2026年9月宿泊者に対してフィッシングメールが送信される
• 2026年9月28日不正アクセスと、宿泊者情報の閲覧・取得の可能性を公表
• 2026年9月28日以降影響範囲の調査と、利用施設・宿泊者への注意喚起を実施

中小企業が学ぶべきポイント

1. 予約管理システムの管理画面に二段階認証をかける。パスワードだけで守らない。
2. 「当社から決済情報の入力を求めることはありません」と平時から明示しておく。
3. 盗まれた情報は、数日以内にフィッシングに使われる前提で注意喚起を急ぐ。
4. 予約・顧客管理を外部サービスに任せていても、お客様への説明責任は自社にある。

出典・参考

• 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab