宿泊予約の「TEMAIRAZU」最大約445万人の情報漏えいの可能性、漏れた氏名・連絡先・宿泊日で何をされるのかまとめました

2026年10月9日、手間いらず株式会社は、同社が提供する宿泊施設向け予約管理システム「TEMAIRAZU」への不正アクセスについて調査状況を開示しました[3]。予約者の氏名・電話番号・メールアドレスなどの連絡先と、宿泊施設名・チェックイン日・チェックアウト日・宿泊料金などを含む宿泊予約情報が、第三者に閲覧または取得された可能性があるとしています。対象者数は「最大で約 445 万人」です[3]。クレジットカード情報と宿泊予約サイトのログイン情報は保持していないとされていますが[2]、それで安心とは言い切れません。すでに、予約者あてに偽のメッセージが届いていると同社は公表しています[2]。

「自分の名前と宿泊予定で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた可能性のある情報が悪用されうる場面と、特に狙われやすくなった場所を整理しました。経緯は短くとどめます。

この記事の要点

• 名前・宿泊先・宿泊日まで正しく書かれた、施設や予約サイトを名乗る偽メッセージがすでに届いています。メッセージ内のリンクは開かず、予約した施設や予約サイトの公式窓口で確かめてください。
• 「事前チェックイン」「予約の維持」を理由にカード番号の入力や支払いを求められたら、偽物を疑ってください。入力してしまった時は、すぐにカード会社へ相談を。
• 会社側がまず見直したいのは、施設の管理画面と、まとめて管理する本部アカウントのログインのしかたです。

なお、本記事は公表文と公式サイトの説明など公開情報だけをもとにし、管理画面などを試す調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][3]によると、概要は次のとおりです。

偽メッセージは、事前チェックインや予約の維持などを理由に外部サイトへ誘導し、カード情報の入力や支払いを求めるもので、同社はフィッシング詐欺とみられるとしています[2]。初報では、メッセージに「宿泊予約に関する情報を把握しているとみられる内容」が含まれているとも書かれています[1]。

漏れた情報で、何ができてしまうか

今回の情報の特徴は、「誰が・どこに・いつ泊まるか」がそろっている点です。カード情報は含まれていないとされていますが、だます側には、カード情報を入力させるための「本物らしさ」の材料になります。

正しい名前と宿泊日が書いてあっても、もう本物の証拠にはなりません。

このシステムで認証が使われる場所

TEMAIRAZUは、宿泊施設が複数の予約サイトの在庫・料金・予約をまとめて管理するためのシステムです[4]。旅行者が直接ログインするサービスではないため、認証が使われる場所は、施設のスタッフが使う管理画面、連携する予約サイト側、そして予約者に届く連絡の3つに分かれます。公表文と公式サイトの説明[4][5]で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、アクセス制御と監視体制の強化[1][3]、施設へのログインパスワード変更のお願い[1]、予約サイトや接続先パートナーへの管理画面の確認のお願い[1]が挙げられています。一方で、ログインの確認方法そのものを変えるといった記載は、10月9日の適時開示までの公表文には見当たりませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 施設の管理画面と本部アカウントのログインに、パスワード以外の確認をもう一つ足す。予約者の情報をまとめて見られる場所ほど、パスワードを変えるだけでは守りきれません。複数施設に届く本部アカウントと、予約情報を出力できるアカウントから始めるのが考えられます。
2. 取り消しにくい操作に追加の確認を入れる。送金先口座の変更、権限の変更、予約情報の一括出力などです。初報で予約サイト側に確認を求めた項目[1]は、そのまま「狙われると困る操作」の一覧になっています。毎回のログインを重くせず、狙われる操作だけを固めるという考え方です。
3. 予約者への連絡の「本物の確かめ方」を決めて伝える。施設からの連絡でカード番号を聞くことがあるのか、確認は公式の予約サイトの中でできるのか。あわせて、電話窓口で予約の変更や取り消しを受ける時、名前と宿泊日だけで本人と見なしていないかも確かめたい所です。

認証の観点から：「名前と宿泊日を知っている」と「その電話を持っている」は違う

偽メッセージが本物らしく見えたのは、相手が「知っている」からでした。

ここで分けて考えたいのは、「情報を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。管理画面のログインや大事な操作の確認を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[6]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今の管理画面の流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら