「泊まる予定の宿から、カード情報の再入力を求めるメッセージが届いた」「手間いらずという会社の情報漏えいで、宿を予約した自分も対象なの？」と気になっている方に向けて、手間いらず株式会社の公式発表に書かれていることだけを整理しました。内容はすべて、同社が2026年9月28日・10月7日・10月9日に公表した文書（自社サイトのお知らせと適時開示）の原文で、2026年10月12日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】宿泊施設向けの予約管理システム「TEMAIRAZU」を提供する手間いらず株式会社は2026年10月9日、不正アクセスにより宿泊予約者の情報が第三者に「閲覧または取得された可能性がある」と公表しました。
- 対象者数は最大で約445万人。項目は氏名・電話番号・メールアドレス等の連絡先、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金等。同社はクレジットカード情報を保有していないと説明
- 予約者が手間いらずのサービスを直接使っている必要はなく、TEMAIRAZUを使う宿の予約情報として同社システムで扱われていた予約者が対象です。どの宿・いつの予約が対象かの一覧は公表されていません
- 宿や予約サイトを装い、WhatsApp・メール・SMS等で「事前チェックイン」「カード情報の再入力」「支払い」を求める不審なメッセージが確認されています。リンクを開かず、宿や予約サイトの公式窓口で確認するよう公式が案内しています
ほかの企業の公表も含めた全体像は、2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）にまとめています。
自分は対象？公式発表でわかること早見表
公式発表が対象者について書いているのは、次の範囲です。「どの宿に泊まった人か」「いつの予約か」は、公式発表には書かれていません。
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| 対象になりうる人 | 「当社システム上で取り扱われていた、予約者様の氏名・電話番号・メールアドレス等の連絡先、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金等を含む宿泊予約情報」が閲覧または取得された可能性（10月9日） |
| 対象者数 | 最大で約445万人（10月9日） |
| 不審なメッセージが届いている人 | 「TEMAIRAZU シリーズ」を「ご利用の宿泊施設に予約された方」（9月28日） |
| 対象の宿泊施設の名前・一覧 | 公式発表に記載なし |
| 対象となる予約の時期 | 公式発表に記載なし |
| 予約者への個別の連絡 | 公式発表に記載なし（9月28日は「ご利用施設様を通じた予約者様への注意喚起」を行っていると記載） |
| 自分が対象かを調べるページ | 公式発表に記載なし（照会ページの案内はない） |
| 予約内容を確かめたいとき | 「予約した宿泊施設または宿泊予約サイトの公式窓口へ問い合わせる」（9月28日） |
| 本件の問い合わせ先 | 緊急ヘルプデスク メールアドレス：helpdesk@temairazu.com |
手間いらずを使ったことがないのに、なぜ関係するの？
TEMAIRAZUは、宿泊施設が使う「サイトコントローラー」です。手間いらず株式会社のサービスサイトは、サイトコントローラーを「複数の宿泊予約サイトを一元管理できるオンラインシステム」と説明し、客室在庫や料金の設定に加えて「宿泊予約情報管理もサイトコントローラーひとつで管理可能」としています（サイトコントローラー 手間いらず）。
つまり、予約した人が手間いらずのアカウントを持っていなくても、予約した宿がTEMAIRAZUを使っていれば、その予約の情報が同社のシステムで扱われる仕組みです。ただし、TEMAIRAZUを使う宿のどの予約が今回の対象に含まれるのかは公表されていません。「自分が泊まった宿がTEMAIRAZUを使っているか」を調べる方法も、公式発表には書かれていません。
なお、公式発表がTEMAIRAZUのログインパスワードの変更をお願いしている相手は利用している宿泊施設です。予約者に向けたパスワード変更の案内はありません。同社は10月7日の第二報で、「宿泊予約サイトのログイン情報を保持しておりません」と説明しています。
何が漏れた？閲覧・取得された可能性のある項目
10月7日の第二報と10月9日の適時開示で、項目の書き方が少し違います。どちらも「閲覧・取得された可能性」で、流出が確認されたという書き方ではありません。
| 項目 | 10月7日 第二報 | 10月9日 適時開示 |
|---|---|---|
| 氏名 | 宿泊者の氏名 | 予約者様の氏名 |
| 電話番号 | あり | あり |
| メールアドレス | あり | あり（「メールアドレス等の連絡先」） |
| 宿泊施設名 | あり | あり |
| チェックイン日・チェックアウト日 | あり | あり |
| 宿泊料金 | あり | あり（「宿泊料金等を含む宿泊予約情報」） |
| クレジットカード情報 | 保持していない | 保有していない |
| 宿泊予約サイトのログイン情報 | 保持していない | 記載なし |
「最大で約445万人」の読み方
- 単位は「件」ではなく「人」です（10月9日の適時開示「これらの情報に係る対象者数は、最大で約 445 万人です」）
- 「最大で」とあるとおり上限の数字で、全員の情報が取得されたと確認されたわけではありません
- 同行者を含むかどうか、同じ人が複数回予約した場合の数え方は公式発表に記載なし
- 住所や生年月日は、10月7日・10月9日の発表では項目として挙げられていません（10月9日の文には「等」が付いています）
公式が確認している「宿や予約サイトを装う」不審なメッセージ
今回の発表は、不審なメッセージの報告から始まっています。9月28日の第1報は、メッセージが本件の不正アクセスに「起因する可能性がある」としたうえで、両者の関係を確認中と書いています。公式発表に書かれている特徴は次のとおりです。
| 項目 | 公式発表に書かれていること |
|---|---|
| 届く経路 | WhatsApp等のメッセージアプリ、電子メール、SMS等（9月28日）。予約者へのお願いではWeChatも挙げている |
| 名乗り | 「宿泊施設や宿泊予約サイト等を装った」もの（10月7日） |
| 本物らしく見える理由 | 「宿泊予約に関する情報を把握しているとみられる内容が含まれて」いる（9月28日） |
| 求めてくること | 予約の確認・確定、クレジットカード情報の再入力、緊急の支払い等。不審なウェブサイトへ誘導（9月28日） |
| 口実 | 事前チェックインや予約の維持等を理由に外部サイトへ誘導（10月7日） |
| あおり方 | 「すぐに手続きが必要」などと不安をあおり、早急な対応を求める（10月7日） |
| 目的 | クレジットカード情報等を不正に取得し、金銭をだまし取ることを目的とした「フィッシング詐欺とみられます」（10月7日） |
宿の名前やチェックイン日が正しく書かれていても、それだけで本物の連絡とは判断できない、というのが今回の発表から読み取れる注意点です。
漏れた項目ごとに起こりうる二次被害
電話番号：SMS・WhatsApp・知らない番号からの連絡に注意
公式発表で確認されている不審な連絡は、SMSやWhatsAppなどのメッセージです。電話での連絡については公式発表に記載がありません。ただ、電話番号が閲覧・取得された可能性がある以上、一般的な対策として、心当たりのない番号からの着信やSMSには出ない・返信しない・折り返さないのが基本です。SMSの送信元に「8180」「8190」のような番号が出たときの読み方は8180・8190・8170の電話やSMSは何？、番号の桁数から国内か海外かを見分ける方法は電話番号の桁数一覧、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。
うっかり海外からの着信に出てしまった・折り返してしまったときの対処は国際電話に出てしまったときの対処法、海外からの着信そのものを止めたいときは国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。
メールアドレス：宿や予約サイトを名乗るメールに注意
メールでも同じ手口が確認されています。公式は、予約内容や支払いに不安がある場合は「メッセージに記載された連絡先は使用せず、ご予約された宿泊施設または予約サイトの公式窓口からご確認ください」と案内しています。メール内のリンクではなく、ふだん使っている予約サイトのアプリやブックマークから予約を開いて確かめると、偽サイトへの誘導を避けやすくなります（一般的な対策）。
宿泊施設名・日付・料金：文面が本物らしくなる
宿泊施設名やチェックイン日・チェックアウト日、宿泊料金が知られていると、「〇月〇日にご予約の〇〇ホテルです」といった具体的な文面を作れます。公式発表も、確認されたメッセージに「宿泊予約に関する情報を把握しているとみられる内容」が含まれていると書いています。予約の中身が合っていることを、本物の連絡である根拠にしないでください。
クレジットカード：同社は保有していないが、偽サイトへの入力が危険
同社は「クレジットカード情報を保有しておりません」と説明しています（10月9日）。危ないのは、不審なメッセージから偽サイトに誘導され、自分でカード情報を入力してしまうことです。公式は、不審なサイトでカード情報を入力した場合は「速やかにカード発行会社へご相談ください」と案内しています。
今やること（公式の案内と一般的な対策）
公式が案内していること（予約者向け）
9月28日の第1報と10月7日の第二報で、予約者へのお願いとして書かれている内容です。
- メッセージに記載されたURLやリンクを開かない
- クレジットカード情報や個人情報を入力しない
- メッセージに返信しない
- メッセージの指示に従って支払いや送金を行わない
- 予約内容を確認する場合は、メッセージに書かれた連絡先は使わず、予約した宿泊施設または宿泊予約サイトの公式窓口へ問い合わせる
- 万が一、不審なサイトにクレジットカード情報を入力した場合は、速やかにカード発行会社（カード会社）へ相談する
一般的な対策（公式の案内ではないもの）
- 宿の電話番号やメールアドレスは、メッセージの中ではなく宿の公式サイトや予約サイトの施設ページで調べる
- クレジットカードの利用明細を確認し、覚えのない請求があればカード会社に連絡する
- 知らない番号からの着信には出ない・折り返さない。SMSのリンクは開かない
- 偽サイトで予約サイトのIDやパスワードを入力してしまった場合は、その予約サイトのパスワードを公式アプリや公式サイトから変更し、同じパスワードを使い回している他のサービスも変更する（考え方はパスワード流出の真相と安全対策）
補償・お詫びはある？
2026年10月9日の公式発表時点で、予約者への補償・お詫び金についての記載はありません。各発表には関係者へのお詫びの文言があります。10月9日の適時開示は、業績への影響の項目で「宿泊施設様および予約者様への対応費用等の発生が見込まれます」と書いていますが、その対応の中身は書かれていません（「当社システムへの不正アクセスに関する調査状況および対応について」（PDF））。
公式は、メッセージの指示に従って支払いや送金をしないよう呼びかけています。「補償」「返金」などを名目に支払いや手数料を求める連絡にも応じないでください（一般的な対策）。
経緯・原因と公表の履歴
原因について、公式発表は「第三者による不正アクセス」とだけ書いています。9月28日の第1報は「セキュリティ上の理由から、不正アクセスの具体的な手法および実施した対策の詳細については、公表を控えさせていただきます」としています。10月9日の適時開示では、確認された原因箇所への対策は完了し、外部のセキュリティ専門機関に調査・分析を委託して検証を進めていると説明しています。
| 日付 | 出来事・公表内容 |
|---|---|
| 2026年9月21日（月）深夜頃〜 | 複数の宿泊施設から、予約者に不審なメッセージが届いているとの連絡。同社が社内調査を開始 |
| 2026年9月24日 | 被害拡大防止と調査のため、システムの一部機能を午前10時58分頃に一時停止し、同日午後9時48分頃に再開（予約・在庫・料金の連携エンジン全体は停止していない） |
| 2026年9月28日 | 第1報 「不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ」（PDF）。不正アクセスを確認。宿泊者情報の一部が閲覧または取得された可能性を「否定できない状況」で、影響範囲を確認中 |
| 2026年9月29日 | 第1報の英語版を掲載 |
| 2026年10月7日 | 第二報 「当社システムへの不正アクセスに関する経過および対応について（第二報）」（PDF）。閲覧・取得された可能性のある項目（7項目）を公表。不審なメッセージは「フィッシング詐欺とみられます」 |
| 2026年10月8日 | 第二報の英語版を掲載 |
| 2026年10月9日 | 適時開示 「当社システムへの不正アクセスに関する調査状況および対応について」（PDF）。対象者数は「最大で約445万人」。個人情報保護委員会へ報告し、警察へ相談。業績への影響は「合理的に算定することは困難」 |
2026年10月12日に同社サイトのお知らせ一覧を確認した時点で、10月9日より後の公表はありません。
よくある質問
手間いらずを使ったことがないのに、なぜ対象になるのですか？
TEMAIRAZUは宿泊施設が予約情報などを管理するためのシステムで、予約した人が直接使うサービスではありません。公式発表は、同社のシステム上で取り扱われていた予約者の宿泊予約情報が閲覧または取得された可能性があるとしています。予約した宿がTEMAIRAZUを使っていた場合に、その予約の情報が含まれうる仕組みです。
自分が泊まった宿が対象かどうか調べる方法はありますか？
2026年10月9日の公式発表時点で、対象の宿泊施設の一覧や、自分が対象かを調べるページの案内はありません。予約内容を確かめたい場合、公式は予約した宿泊施設または宿泊予約サイトの公式窓口に問い合わせるよう案内しています。
対象者にメールなどで個別の連絡は来ますか？
予約者への個別の連絡については、公式発表に記載がありません。9月28日の第1報では、利用している宿泊施設を通じて予約者への注意喚起を行っていると書かれています。本件の問い合わせ先は緊急ヘルプデスク（helpdesk@temairazu.com）です。
クレジットカード番号は漏れましたか？
同社は、クレジットカード情報を保有していないと説明しています。一方で、宿や予約サイトを装ったメッセージでカード情報の再入力を求める手口が確認されています。不審なサイトでカード情報を入力した場合は、速やかにカード発行会社へ相談するよう公式が案内しています。
宿から「事前チェックイン」や「カード情報の再入力」を求めるメッセージが来ました。どうすればいいですか？
公式は、メッセージのURLやリンクを開かない、カード情報や個人情報を入力しない、返信しない、支払いや送金をしない、と案内しています。予約内容は、メッセージに書かれた連絡先ではなく、予約した宿泊施設または宿泊予約サイトの公式窓口で確認してください。
補償やお詫び金はありますか？
2026年10月9日の公式発表時点で、予約者への補償・お詫び金についての記載はありません。10月9日の適時開示は、宿泊施設や予約者への対応費用等の発生が見込まれると書いていますが、対応の中身は書かれていません。
ほかの情報漏えい事案
同じ時期に公表されたほかの事案も、公式発表をもとに整理しています。電話番号が含まれる事案は、不審な電話やSMSへの備えが共通します。全体の一覧は2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）をご覧ください。
- skyticketの情報漏えい、自分は対象？漏れた項目と今やること（旅行予約・電話番号を含む）
- 焼肉きんぐアプリの情報漏えい、自分は対象？漏れた4項目と今やること（電話番号を含む）
- ブックオフの情報漏えい、自分は対象？漏れた項目と今やること（電話番号を含む）
まとめ
- 手間いらず株式会社は、宿泊施設向けの予約管理システム「TEMAIRAZU」への不正アクセスを公表した（第1報 9月28日・第二報 10月7日・適時開示 10月9日）
- 予約者の氏名・電話番号・メールアドレス等の連絡先、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金等が閲覧または取得された可能性があり、対象者数は最大で約445万人。クレジットカード情報は保有していないと説明
- 対象の宿・予約の時期・個別連絡の有無は記載なし。予約内容は予約した宿や予約サイトの公式窓口で確認する
- 宿や予約サイトを装い、WhatsApp・メール・SMS等で事前チェックインやカード情報の再入力、支払いを求めるメッセージが確認されている。リンクを開かず、返信も支払いもしない
- 補償・お詫び金の記載はない。カード情報を入力してしまったら、すぐにカード会社へ相談する
この記事は、2026年10月9日の公式発表までの情報（2026年10月12日確認）で書いています。続報が出た場合は、公式のお知らせを優先してください。
出典
- 手間いらず株式会社「不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ」（PDF）（2026年9月28日・2026年10月12日確認）／英語版（2026年9月29日）
- 手間いらず株式会社「当社システムへの不正アクセスに関する経過および対応について（第二報）」（PDF）（2026年10月7日）／英語版（2026年10月8日）
- 手間いらず株式会社 適時開示「当社システムへの不正アクセスに関する調査状況および対応について」（PDF）（2026年10月9日）／TDnet掲載版（PDF）
- サイトコントローラー 手間いらず（「サイトコントローラーとは」の説明）
コメント