【最大約445万人】TEMAIRAZU不正アクセス続報｜宿泊予約情報の漏えい項目と対処法

宿泊施設向け予約管理システム「TEMAIRAZU（手間いらず）」への不正アクセスについて、手間いらず株式会社が続報を出しました。10月7日の第二報で、第三者に閲覧・取得された可能性のある情報の項目を公表しました。10月9日には株主・投資家向けの開示で、対象者が最大で約445万人にのぼると明らかにしています。

9月28日の第一報の時点では、影響範囲は「確認中」でした。この記事では、第一報から何が分かったのかを整理し、予約者が警戒すべき点をまとめます。偽メッセージが確認された施設名や対象予約の条件など、第一報の詳しい内容はTEMAIRAZU不正アクセスの解説記事で扱っています。

第一報からの変化：漏えいの可能性がある項目と人数が判明
漏れた可能性があるのは「誰が、どこに、いつ、いくらで泊まるか」
偽メッセージの手口：「事前チェックイン」「予約の維持」を口実に支払いへ誘導
予約者がとるべき対応
考察：被害の規模は見えたが、利用者が知りたい点はまだ出ていない
まとめ
関連記事

第一報からの変化：漏えいの可能性がある項目と人数が判明

項目	9月28日（第一報）	10月7日・9日（続報）
閲覧・取得の可能性がある情報	宿泊者情報の一部（範囲は確認中）	氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金
対象者数	公表なし	最大で約445万人
保有していない情報	クレジットカード情報	クレジットカード情報、宿泊予約サイトのログイン情報
不審なメッセージ	不正アクセスに起因する可能性があり、関係を確認中	本件に関連して送信されている事象を確認。フィッシング詐欺とみられる
調査体制	外部の専門機関にも協力を依頼	外部のセキュリティ専門機関に調査・分析を委託
システムの停止	一時停止していた機能は再開済み	9月24日10時58分頃に一部機能を停止し、同日21時48分頃に再開。予約・在庫・料金の連携エンジン全体は止めていない

個人情報保護委員会への報告と警察への相談は、いずれの公表でも続けて行っているとしています。現在、TEMAIRAZUは通常どおり稼働しています。

漏れた可能性があるのは「誰が、どこに、いつ、いくらで泊まるか」

判明した項目を並べると、ひとつの予約をほぼ再現できる組み合わせです。氏名と連絡先に加えて、宿泊施設名、チェックイン・チェックアウト日、宿泊料金まで含まれています。カード情報は対象外でも、本物の予約内容を書き添えた偽メッセージを作る材料としては十分です。

電話番号とメールアドレスの両方が含まれているため、メールだけでなくSMSやメッセージアプリでも届く可能性があります。実際、9月21日以降に確認された偽メッセージは、WhatsApp、メール、SMSなど複数の経路で送られていました。

自分が対象かどうかを予約者側で確かめる方法は、今のところありません。手間いらず社はTEMAIRAZUを使っている施設の一覧を公表しておらず、予約者への個別連絡の方針も各報には書かれていません。予約サイト経由の予約でも、宿側がTEMAIRAZUで在庫や予約を管理していれば、その情報はシステムに入ります。

なお、10月10日に告知を出した東京・本郷のホテル機山館は、手間いらず社から受けた報告として次の内容を伝えています。