ファインズの予約システム約154万件の情報漏えい、漏れた電話番号・メールと予約内容で何をされるのかまとめました

2026年9月25日、株式会社ファインズは、同社が提供する予約システムに第三者からの不正アクセスがあったと公表しました[1]。対象は1,536,322件で、予約者の氏名・電話番号・メールアドレスと、予約店舗・メニュー・日時などとしています[1]。公表文には、パスワードやクレジットカード情報の扱いについての記載がなく、どの情報が漏れていないかは示されていません。少なくとも「パスワードは無事だから安心」とは言い切れない状況です。

「自分の名前と予約の内容で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、特に狙われやすくなった場所を整理しました。経緯は短くとどめます。

この記事の要点

• 予約した店の名前・メニュー・日時まで正しく書かれた、店を名乗る偽のメールやSMSが届く可能性があります。リンクは開かず、店の公式サイトや自分で調べた電話番号で確かめてください。
• 予約の確認や取り消しを理由に、カード番号やパスワードの入力を求められたら偽物を疑ってください。
• 会社側がまず見直したいのは、予約者の情報をまとめて見られる店舗の管理画面のログインのしかたです。

なお、本記事は公表文と公式サイトの説明など公開情報だけをもとにし、予約画面や管理画面を試す調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社のニュース一覧では、10月13日時点でこの件の続報は見当たりませんでした[2]。公表文は、新たな事実が分かれば追って知らせるとしています[1]。報道でも、公表文と同じ内容が伝えられています[3]。

注意したいのは、予約者の多くは「ファインズ」という社名を知らず、予約した店の名前だけを覚えているかもしれない点です。同社は企業のDX支援などを行う会社で[5][6]、対象の情報にも「予約店舗」が含まれているとおり、予約を受け付けているのは各店舗です[1]。そのため、だます側は「ファインズ」ではなく「予約したあの店」を名乗ってくる、という見立てが成り立ちます。

漏れた情報で、何ができてしまうか

今回の情報の特徴は、「誰が・どの店で・いつ・何を予約したか」がそろっている点です。

正しい名前と予約の中身が書いてあっても、もう本物の証拠にはなりません。

この予約システムで認証が使われる場所

同社の公式サイトに載っている予約システムは「TSUNAGUシステム」で、店舗の空き状況を公開して24時間ネット予約を受け付け、顧客のユーザー情報管理やメルマガ配信の機能も備えるとしています[4][5][6]。ただし、今回の対象がこのシステムかどうかは公表文では示されていません。以下は、公式サイトの説明で確認できた範囲で、店舗の予約システムに一般にある場所を並べたものです。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、影響範囲の特定とセキュリティ強化を進めるとしています[1]。一方で、ログインの確認方法を変えるといった具体的な記載は、10月13日時点の公表文にはありませんでした。原因も示されていないため、今回の事故がどこから起きたかは分かっていません。そのうえで、認証の観点からは次の順で見直すことが考えられます。

1. 店舗の管理画面のログインに、パスワード以外の確認をもう一つ足す。予約者の情報をまとめて見られる場所ほど、パスワードを変えるだけでは守りきれません。複数の店舗を見られるアカウントや、顧客情報を出力できるアカウントから始めるのが考えられます。
2. 取り消しにくい操作に追加の確認を入れる。顧客情報の一括出力、メルマガの一斉配信、権限の変更などです。毎回のログインを重くせず、狙われる操作だけを固めるという考え方です。
3. 予約客への連絡の「本物の確かめ方」を決めて、店舗と一緒に伝える。店からの連絡でカード番号やパスワードを聞くことがあるのか、予約の確認はどこでできるのか。あわせて、電話で予約の変更や取り消しを受ける時、名前と予約日時だけで本人と見なしていないかも確かめたい所です。

認証の観点から：「予約の中身を知っている」と「その電話を持っている」は違う

今回の偽の連絡が本物らしく見えるとすれば、それは相手が予約の中身を「知っている」からです。

ここで分けて考えたいのは、「情報を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。管理画面のログインや大事な操作の確認を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[8]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今の管理画面の流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら