宿泊予約システム「TEMAIRAZU」に不正アクセス、なぜ予約者本人にしか分からない情報つきの不審メッセージが届いたのか。仕組みと対策を整理する

まず初めに

「予約内容を把握した上での不審メッセージ」というのは、詐欺の中でもかなり質が悪い部類に入る。行き先も泊まる日も知らない相手から適当に送られてくる迷惑メールとはわけが違い、実際の予約データを握られていると分かれば、疑わずに従ってしまう人が出てもおかしくない。原因が「過去に提供していた」旧サービスの脆弱性だったという点も、地味に厄介だ。使われなくなったシステムの後始末を怠ると、こうして何年も経ってから足元をすくわれる。※個人の感想です

何が起きているのか

宿泊施設向けのサイトコントローラー(複数の予約サイトの在庫・予約情報を一元管理するシステム)「TEMAIRAZUシリーズ」を提供する手間いらず株式会社は、2026年9月28日、自社システムへの第三者による不正アクセスと、それに伴う不審なメッセージの配信について発表しました。

発端は2026年9月21日深夜ごろ、TEMAIRAZUを利用する複数の宿泊施設から「予約者に不審なメッセージが届いている」との報告が同社に寄せられたことでした。届いたメッセージはWhatsApp・電子メール・SMSなど複数の経路を通じて送られており、宿泊予約に関する情報を把握しているとみられる内容を含んでいました。具体的には、予約の確認・確定を装いながらクレジットカード情報の再入力や緊急の支払いを求め、不審なウェブサイトへ誘導する内容だったとしています。

報告を受けて同社が調査を進めた結果、システムへの不正アクセスが確認されたため、直ちにアクセスを遮断し被害拡大防止の措置を取りました。原因については、同社が過去に提供していたインストール型サービスの特定機能に存在した脆弱性であったことが判明し、2026年9月26日にアクセス制御・監視体制の強化を含む対策を完了したとしています。具体的な侵入手法や技術的な詳細は、セキュリティ上の理由から公表されていません。

この不正アクセスにより、TEMAIRAZUシリーズを利用する宿泊施設側で管理していた宿泊者情報の一部について、第三者による閲覧・取得の可能性を否定できないとしています。対象となりうる情報は宿泊施設名・宿泊者名・宿泊期間・予約番号などの予約情報で、クレジットカード情報自体は同社で保有していないため対象外です。同社は個人情報保護委員会への報告と、警察への通報・相談を行ったとしています。

なぜ重要なのか

TEMAIRAZUのようなサイトコントローラーは、宿泊施設が複数の予約サイト(OTA)の在庫や予約情報をまとめて管理するために使う、旅行・宿泊業界の裏側を支えるBtoB向けシステムです。宿泊者自身が直接そのシステム名を意識することはほとんどありませんが、実際には多くの宿泊施設がこうした共通基盤を通じて予約情報をやり取りしています。

今回の事案が示しているのは、宿泊施設1社1社のセキュリティ対策がどれだけしっかりしていても、共通して使うBtoBシステム側が突破されれば、その先にいる宿泊者全員に被害が及びかねないという構造的なリスクです。しかも今回は実際に不審メッセージという形で被害が発生しており、単なる「漏えいの可能性」にとどまらず、既に悪用が始まっている実害発生型の事案である点が重要です。原因が「過去に提供していたインストール型サービス」という、いわば使われなくなった旧システムの脆弱性だった点も、システムの廃止・移行時の後始末の重要性を示しています。

私たちへの影響

心当たりのある宿泊施設への予約がある、あるいは最近予約をした人は、予約確認を装ったメッセージがWhatsApp・メール・SMSなどで届いていないか確認してください。特に、実際の予約内容(宿泊施設名や宿泊日程など)を正確に含んだメッセージであっても、クレジットカード情報の再入力や緊急の支払いを求めてくる内容であれば、フィッシングを疑う必要があります。不審なリンクは開かず、カード情報を入力しないことが基本です。

不安な場合は、メッセージ内のリンクからではなく、宿泊施設の公式サイトや電話番号など、自分で確認した連絡先から直接問い合わせることをおすすめします。TEMAIRAZUを導入している宿泊施設側は、公式サイトや宿泊者への個別連絡で今回の事案に関する注意喚起を行っている場合があるため、そちらもあわせて確認すると安心です。

初心者が知っておくべきこと

フィッシングふぃっしんぐとは、実在する企業やサービスになりすましたメールやメッセージで偽サイトに誘導し、パスワードやクレジットカード情報などを盗み取る詐欺の手口です。今回のように実際の予約情報を含んだメッセージは、通常のフィッシングより本物らしく見えるため、「詳しい情報を知っているから本物だろう」と信じ込まないことが大切です。

サイトコントローラーさいとこんとろーらーとは、宿泊施設が複数の予約サイトの在庫・料金・予約状況を一元管理するために使う業務システムのことです。宿泊者からは見えない裏方のシステムですが、こうしたBtoBシステムが攻撃を受けると、そこにつながる多数の施設・宿泊者に影響が広がる可能性があります。

よくある質問

Q. 自分の予約が対象になっているか、どうやって確認すればいいですか。 A. 現時点で確認できた出典の範囲では、宿泊者本人が直接確認できる専用窓口については明らかになっていません。利用した宿泊施設からの個別連絡や、手間いらず株式会社・各宿泊施設の公式発表を確認することが基本になります。不審なメッセージが届いた場合は、施設に直接問い合わせて事実確認をすることをおすすめします。

Q. クレジットカード情報は漏れたのですか。 A. 手間いらず株式会社はクレジットカード情報を保有していないと説明しており、今回の漏えい対象には含まれていません。ただし、不審メッセージ自体がカード情報の入力を求めてくる手口のため、メッセージ経由で新たに入力してしまわないよう注意が必要です。

IT Postの見方――「もう使っていないシステム」こそが一番危ない

IT Postでは、被害が実際のフィッシングメッセージという形で表面化する前に、宿泊施設側からの報告を起点に不正アクセスを突き止められた点は評価できると考えます。ただし、原因が「過去に提供していたインストール型サービス」の脆弱性だったという説明には引っかかりを覚えるとIT Postでは考えます。現役で使っているサービスならまだしも、既に提供を終えたはずのシステムが攻撃の入口になっていたのだとすれば、それは「終わったサービスの後始末」が甘かったことの証拠に他なりません。BtoBのシステム会社にとって、自社の看板サービスだけでなく、過去に提供していた旧サービスの棚卸しと安全な廃止手続きまでがセキュリティ対策の範囲であるはずだと、IT Postでは考えます。宿泊施設も宿泊者も、自分では気づけない裏方のシステムに情報を預けている以上、それを預かる側の「後始末」まで含めた責任は重いはずです。※個人の感想です

今後どうなりそうか

手間いらず株式会社は、影響を受けた宿泊施設・宿泊者への個別対応や、再発防止策の詳細について今後さらに発表を行う見通しです。現時点で確認できた出典の範囲では、影響を受けた宿泊施設数や宿泊者数の全容は明らかになっていません。個人情報保護委員会への報告は行われているとされており、今後の調査進展を踏まえた続報が予想されます。IT Postでは、続報があれば改めて取り上げます。