手間いらず不正アクセス｜ホテル予約情報が漏れた？対象者と怪しい連絡の見分け方

ホテルから突然、「カード情報をもう一度入力してください」というメッセージが届いたら、ちょっと焦りますよね。

しかも、自分の名前だけでなく、予約したホテル名や宿泊日、さらには予約番号まで合っていたら、「これは本物だ」と思ってしまいそうです。

ところが今、そんな“本物に見えるメッセージ”に注意が必要です。宿泊施設向けの予約管理システム「TEMAIRAZU（手間いらず）」に不正アクセスがあり、宿泊予約に関する情報が閲覧・取得された可能性があると公表されています。実際に、その情報を使ったとみられる不審なメッセージも確認されています。

私も旅行の予約は楽天トラベルやBooking.comをよく使うので、ニュースを見た瞬間は「自分の予約は大丈夫かな…」とドキッとしました。だからこそ、この記事では「自分の予約は対象か」「怪しいメッセージをどう見分けるか」「押してしまったらどうするか」を、不安をひとつずつ消しながら整理します。

先に、いちばん大事なことだけ伝えておきます。予約番号・ホテル名・宿泊日が正しく書かれていても、それだけで本物の連絡とは判断しないでください。そして、カード情報の再入力を求められたら、そのメッセージのリンクは使わず、ホテルや予約サイトの公式ページから確認してくださいね。なお、この記事は2026年9月30日時点の公表情報をもとにしています。

手間いらず（TEMAIRAZU）で何が起きた？

まず、事件そのものを簡単に整理します。難しい技術の話は最小限にして、旅行者に関係するところだけ押さえていきましょう。

公表されている流れ

手間いらず株式会社の公表によると、2026年9月21日ごろ、TEMAIRAZUを利用している複数の宿泊施設の予約者に不審なメッセージが届いていることが分かりました。同社はすぐにアクセスの遮断や調査を進め、9月26日には脆弱性への対策が完了。そして9月28日に「不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ」を公表し、翌29日には英語版も出されています。

原因は過去のインストール型サービスの一部機能

原因について、公表されているのは「現在主流のクラウド型サービスそのものの欠陥ではなく、過去に提供されていたインストール型サービスを構成する機能の一部に、セキュリティ上の弱点があった」という点です。古い仕組みの一部が入り口にされた、というイメージですね。

システムの中でどんな操作が行われたのか、詳しい手口までは公式には細かく語られていません。ネット上では「データベースへの不正な問い合わせが使われたのでは」という推測も見かけますが、これはあくまで推測です。この記事では、はっきり分かっていることと、分かっていないことを分けて書いていきます。

システムの今の状況

気になるのは「今も危ないの？」というところだと思います。公表では、原因の特定と対策が完了し、一時的に止めていた機能も含めて、すべて正常に動いているとされています。あわせて、TEMAIRAZUを使っている全宿泊施設へのログインパスワード変更の要請、アクセス制御の厳格化、監視体制の強化も実施済みとのことです。

また、データを暗号化して身代金を要求するランサムウェアの被害や、業務が止まったという報告は出ていません。ホテルの予約そのものが消えたり壊れたりした話ではない、という点は、後の「キャンセルは必要？」の話にもつながる大事なポイントです。

TEMAIRAZUって何？楽天トラベルやBooking.comとの関係

「手間いらずなんて、聞いたことない」という方がほとんどだと思います。私もニュースで初めて知りました。旅行者にはなじみがなくても、宿泊業界ではかなり重要な裏方の仕組みなんです。

ホテル予約をまとめて管理する「サイトコントローラー」

ホテルや旅館は、自社サイトだけでなく、たくさんの予約サイトに同時に部屋を出しています。そうすると、どこかで予約が入った瞬間に、ほかのサイトの残り部屋を減らさないといけません。手作業だと時間差でダブルブッキング（二重予約）が起きてしまいますよね。

そこで使われるのが、サイトコントローラーと呼ばれるBtoB向けのシステムです。TEMAIRAZUはまさにこの役目を担っていて、イメージはこんな感じです。

• 楽天トラベル
• じゃらん
• Booking.com
• Agoda

これらの予約サイトで入った予約が、すべて「TEMAIRAZU」に集まり、そこからホテルの管理画面につながります。ある予約サイトで部屋が売れたら、ほかのサイトの在庫を自動で減らす“ハブ”のような存在ですね。

楽天トラベルやBooking.com自体が攻撃されたわけではない

ここで、いちばん誤解しやすいところを整理します。今回、不正アクセスを受けたのは、ホテル側の受け皿であるTEMAIRAZUです。楽天トラベルやじゃらん、Booking.comといった予約サイト本体のセキュリティが破られた、という話ではありません。

予約情報が「集まる場所」だから注意が必要

とはいえ、安心しきってはいけません。TEMAIRAZUには「誰が、いつ、どの予約サイト経由で、どのホテルを予約したか」という情報が集まる作りになっています。予約の台帳が一か所に集まっている場所が狙われた、と考えると分かりやすいと思います。

何の情報が見られた可能性がある？

次は、「結局、私のどんな情報が見られた可能性があるの？」という疑問です。ここは断定しすぎないことが大切なので、「閲覧・取得された可能性がある」という言い方で整理します。

閲覧・取得された可能性がある情報

公式発表と、実際に届いている不審なメッセージの内容から考えると、次のような情報が対象になり得ると見られています。

情報	状況
氏名	閲覧・取得された可能性
ホテル名	閲覧・取得された可能性
宿泊日	閲覧・取得された可能性
予約番号	閲覧・取得された可能性
電話番号	閲覧・取得された可能性
メールアドレス	閲覧・取得された可能性
宿泊人数・料金	閲覧・取得された可能性
どの予約サイト経由か	閲覧・取得された可能性
クレジットカード情報	TEMAIRAZUでは保有していないとされる

クレジットカード番号そのものが漏れた事件ではない

とても大事なので、ここだけは強調しておきます。TEMAIRAZUのシステムはクレジットカード情報を取り扱っていない、と説明されています。カード番号・有効期限・セキュリティコードは、TEMAIRAZUの中には最初から無いので、ここから漏れたわけではありません。

ただし、それは「カードが安全」という意味ではないんですよね。本物そっくりの予約情報を使って偽サイトに誘導し、そこで本人にカード情報を入力させる、という流れが問題になっています。漏れた情報が“だます材料”に使われている、という構図です。

住所などは「分からない」のまま受け止める

住所については、公式発表でも触れられておらず、詐欺メッセージの中で使われた例も確認されていません。ただ、予約情報として保存されているなら、可能性を完全には否定できません。

なぜ詐欺師が私の名前や宿泊日を知っているの？

この記事でいちばん伝えたいのが、この章です。「自分しか知らないはずの情報が書いてあるのに、なぜ偽物なの？」というモヤモヤに答えていきます。

本物の予約番号が書いてあっても安心できない

たとえば、こんなメッセージが届いたとします。

「○○様、○月○日の△△ホテルのご予約（予約番号：123456）について、カード認証が完了していません。24時間以内にご確認ください」

名前も合っている。ホテル名も合っている。日付も合っている。予約番号まで本物。普通は信じてしまいます。私でも、疲れている日に見たら、うっかり押してしまうかもしれません。

でも今回のケースでは、その「本物の予約情報」自体を、第三者が手に入れている可能性があります。だから、書かれている内容が正しいことは、本物の証拠になりません。

「情報が正しい」と「送信者が本物」は別

ここは、頭の中で切り分けておきたいポイントです。

• 書かれている情報が正しい → 送った人がその情報を持っている、というだけ
• 送信者が本物のホテル → 別の問題。情報の正しさでは判断できない

予約の台帳を見られてしまった状態を想像してみてください。台帳を見た人は、名前も日付も予約番号も、いくらでも“本物そっくり”に書けますよね。これまでの「日本語が不自然なら偽物」「情報が合っていれば本物」という見分け方は、もう通用しにくくなっています。

このあたりの「本物に見えるほど危ない」という感覚は、楽天のアカウント乗っ取りや詐欺の手口とも共通しています。気になる方は、こちらもあわせてどうぞ。

→ 楽天で何が起きてる？アカウント乗っ取りと詐欺の全手口と今すぐできる防衛策

狙われやすいとみられる予約の条件

被害を公表している複数のホテルの報告を合わせると、不審なメッセージが届いた予約には、次のような共通点があると伝えられています。

• 2026年9月21日までに成立した予約
• 宿泊日が9月21日以降の、これから泊まる予約
• WhatsAppなどのメッセージアプリが使える状態の連絡先

システムに残っていた「これからの宿泊予定リスト」から、電話番号をもとにメッセージを一斉に送っている、という見方です。ただし、これは今のところ分かっている範囲の話です。条件に当てはまらないから絶対に安全、と考えるのは避けて、どんな連絡でも一度立ち止まる習慣をつけておくと安心です。

こんなメッセージが来たら注意

実際に確認されている文面を見ておくと、いざ届いたときに落ち着いて対応できます。パターンは大きく3つです。

「カード情報を再入力してください」

「システムエラーにより、クレジットカード情報の再入力・更新をお願いします」「クレジットカードの認証が完了していません」といった文面です。予約が成立したあとに、ホテル側がメッセージアプリでカード番号の再入力を求めるのは、通常の運営ではまず考えにくい流れです。

「24時間以内に手続きしないとキャンセル」

「24時間以内に手続きしない場合、予約は自動キャンセルとなります」「予約を維持するため緊急の支払いが必要です」のように、期限で急かすタイプです。焦らせて、冷静に考える時間を奪うのが狙いなんですよね。

この“期限で急かす手口”は、給付金の詐欺通知でもよく使われます。見分けのコツは共通しているので、参考にしてみてください。

→ 【注意】スマホの「給付金5万円」通知は詐欺？本物と偽物を一瞬で見抜く方法

WhatsAppやSMSからURLが届く

最も多く報告されている経路がWhatsAppで、海外の国番号（ポルトガルの「+351」など）から届いた例もあります。ほかに、SMSや不審なメールからの誘導も確認されています。

ここで気をつけたいのは、「WhatsAppだから100％詐欺」と決めつけないこと。ただ、今回はWhatsAppなどが不審なメッセージの経路として実際に確認されています。だから、内容にかかわらず、届いたメッセージ内のリンクからは手続きしない、と決めておくのが安全です。

見るべきは「文面」より「連絡経路」

まとめると、文面がどれだけ自然でも、情報がどれだけ正確でも、判断の軸は「どこから来た連絡か」です。予約サイトのアプリや公式サイトにログインして確認できるか。ホテルの公式サイトに載っている電話番号に、自分から電話して確かめられるか。この2つを基準にしておけば、迷いが減りますよ。

自分の予約は対象？確認する方法

「結局、私の予約は対象なの？」に、いちばん確実な方法でお答えします。特別な操作はいりません。

まずホテル公式サイトのお知らせを見る

宿泊予定のホテルの名前を検索して、公式サイトを開きます。トップページや「お知らせ」「重要なお知らせ」に、TEMAIRAZUの不正アクセスや不審なメッセージについての告知が出ていないか確認しましょう。今回は、複数のホテルが個別に注意喚起を出しています。

分からなければホテルへ直接確認する

公式サイトに情報がない、あるいは読んでも判断できないときは、公式サイトに書かれている代表電話に問い合わせるのがいちばん確実です。「TEMAIRAZUというシステムを使っているか」「今回の件で自分の予約に影響があるか」を聞いてみましょう。

このとき、不審なメッセージに書かれていた電話番号やURLは使わないでください。メッセージへの返信で確認する、というのも避けたほうが安心です。

対象ホテルは今後増える可能性も

手間いらず社からは、現時点で対象ホテルを網羅した一覧は出ていません。影響範囲の調査が続いているためです。TEMAIRAZUは全国の多くの施設で使われていて、すでに次のような施設が、公式サイトで注意喚起を出しています（2026年9月30日時点で確認できた一部です）。

• あなぶきホテルズ系列（ロイヤルパークホテル倉敷、高松国際ホテル、琴平パークホテルなど）
• スーパーホテル
• センチュリオンホテル
• ワシントンホテルプラザ
• ファーストキャビン
• グランドヒル市ヶ谷
• NIPPONIA HOTEL 竹原 製塩町
• THE SHARE HOTELS
• 葉山ホテル音羽ノ森、農園リゾート THE FARM など

大事なのは、このリストにないから安心とは言えない点です。公表が追加されれば増える前提で、あくまで「例」として見てください。

楽天トラベル・じゃらん・Booking.comで予約した場合は？

検索でもよく調べられている疑問です。結論から言うと、どの予約サイトを使ったかだけでは、対象かどうかは判断できません。

国内の予約サイトで予約した場合

楽天トラベル、じゃらん、Yahoo!トラベル、一休.comなどで予約した場合でも、宿泊先のホテルがTEMAIRAZUを使っていれば、予約情報がTEMAIRAZUに集まっている可能性があります。「楽天トラベルだから大丈夫」とは言い切れないんです。

海外の予約サイトで予約した場合

Booking.com、Agoda、Expediaなどの海外の予約サイトも同じです。TEMAIRAZUはこうした国内外の予約サイトと連携して予約情報を集めるので、ホテルが使っていれば、予約経路にかかわらず影響を受けている可能性があります。

判断の軸は「ホテル側の利用状況」

整理すると、こうなります。

• 予約サイトが安全か危険か → これだけでは決まらない
• 泊まるホテルがTEMAIRAZUを利用しているか → ここが本当の分かれ目

怪しいリンクを押してしまったらどうする？

「もう押しちゃった…」という方も、落ち着いてください。どこまで操作したかで、やることが変わります。段階別に見ていきましょう。

リンクを開いただけの場合

何も入力していないなら、まず画面を閉じてください。ページを見ただけで、すぐに個人情報が抜き取られたり、お金を取られたりすることはほとんどありません。念のため、ブラウザの閲覧履歴やキャッシュを消しておくと、より安心です。

氏名・電話番号・メールアドレスを入力した場合

お金の被害にすぐつながるわけではありませんが、入力した連絡先には、今後さらに巧妙な詐欺の連絡が届きやすくなります。知らない番号からの着信やメッセージには応じない、という警戒レベルを一段上げておきましょう。

ID・パスワードを入力した場合

正規の予約サイトに、ブックマークや検索から自分でアクセスして、すぐにパスワードを変更します。同じ組み合わせを他のサービスでも使い回している場合は、そちらも変更してください。私も、使い回しがあると気づいたら、その日のうちにまとめて変えるようにしています。

カード番号を入力した場合

ここは時間との勝負です。カードの裏面にある窓口（24時間対応が多いです）に電話して、次の内容を伝えましょう。

• 「ホテル予約を装った偽サイトにカード情報を入力してしまった」と伝える
• 利用停止と再発行を依頼する
• 身に覚えのない請求がないか、最新の利用状況を確認してもらう

ワンタイムパスワードまで入力した場合

近年は「リアルタイムフィッシング」と呼ばれる手口があります。偽サイトにカード情報を入れた瞬間、犯人が裏で本物のサイトで決済を試みます。すると、あなたのスマホにカード会社から本人確認用のコードが届きます。それを偽サイトに入力してしまうと、犯人の決済が通ってしまうんです。

この場合は実際の被害が出ている可能性があります。すぐにカード会社へ連絡し、警察にも被害相談をしてください。「コードが届いても、頼まれていない画面には入力しない」が鉄則です。

被害が出たら補償される？

「もしお金をだまし取られたら、戻ってくるの？」という点も気になりますよね。ここは、カード会社の規約や個別の事情で結果が変わるので、一般的な考え方だけをお伝えします。

カード不正利用の補償は規約しだい

クレジットカードには、第三者による不正利用を補償する仕組みが付いているのが一般的です。ただ、補償が受けられるかどうかは、各カード会社の会員規約と、調査結果によって決まります。「必ず返ってくる」とも「返ってこない」とも、ここでは言えません。

被害に気づいたら、できるだけ早くカード会社に相談し、経緯を正直に伝えることが第一歩になります。

自分で認証コードを入力した場合は注意

規約には、会員に「重大な過失」があった場合は補償の対象外になり得る、と書かれていることが多いです。特に、本人しか知らないワンタイムパスワードを自分で入力していた場合、本人が認証したとみなされて、補償が難しくなるケースもあります。

個人情報の漏えい自体への慰謝料は現実的？

「情報を見られたこと自体に対して、賠償を請求できるの？」という疑問もあると思います。過去の事例では、氏名や連絡先などの一般的な情報の漏えいにとどまる場合、認められる慰謝料は1人あたり数千円程度といわれています。

手間や費用を考えると、現実的な救済方法とは言いにくいのが実情です。そして、フィッシングでカード情報を入力させたのは第三者の犯罪グループなので、ホテルや手間いらず社に、その金銭被害の賠償を求めるのは、法的にもハードルが高いとされています。だからこそ、被害を出さない行動が一番の防御になります。

ホテル予約はキャンセルしたほうがいい？

「怖いから、予約自体をキャンセルしちゃおうかな」と思う方もいるかもしれません。結論は、慌ててキャンセルしなくても大丈夫です。

慌ててキャンセルしなくて大丈夫な理由

今回の件は、予約情報が閲覧・取得された可能性があるというもので、予約データが壊されたり消されたりしたわけではありません。システムはすでに対策済みで、正常に動いています。ホテル側には、あなたの正しい予約が安全に残っています。

そのまま宿泊できるのに、恐怖から自己都合でキャンセルしてしまうと、キャンセルポリシーに沿って料金がかかる可能性があります。これはもったいないですよね。

実際にキャンセル料を計算してみた

どのくらい差が出るのか、私もイメージが湧かなかったので、たとえの数字で計算してみました。前提は、1人1泊12,000円、2人で2泊、キャンセル規定は「前日20％・当日50％・不泊100％」というごくあるパターンです。

• 宿泊料金：12,000円×2人×2泊＝48,000円
• 前日キャンセル：48,000円×20％＝9,600円
• 当日キャンセル：48,000円×50％＝24,000円
• 不泊（連絡なし）：48,000円×100％＝48,000円

一方、個人情報の漏えいで認められる慰謝料は、上で触れた1人3,000〜5,000円程度が目安です。慌ててキャンセルして払う可能性のある48,000円は、慰謝料の上限5,000円の約9.6倍にもなります（48,000÷5,000＝9.6）。この計算をしてみて、「怖いからキャンセル」がいかに損になりやすいか、私も実感しました。

不安なときの安心の取り方

不安が残るなら、ホテルの公式サイトの電話番号に連絡して、「予約が有効か」を口頭で確認しましょう。これがいちばん確実で、お金もかかりません。

→ 2泊3日女子旅の持ち物完全版

今回いちばん覚えておきたいこと

最後に、この記事で持ち帰ってほしいことをまとめます。

「本物にしか見えない偽物」が届くかもしれない

今回、本当に怖いのは、見るからに怪しいメールではありません。名前も合っている。ホテルも合っている。宿泊日も合っている。予約番号まで合っている。そんな「本物にしか見えない偽物」が届く可能性があることです。

私も、今回のニュースを調べるまでは、「予約番号が合っていれば本物」と無意識に思っていました。その思い込みが、いちばんのスキだったんだと気づいたんです。

持ち帰ってほしい3つの行動

覚えておくのは、この3つだけです。

• 情報が合っているから信用するのではなく、連絡経路を確認する
• カード情報の再入力を求められたら、そのメッセージのリンクは使わない
• 確認したいときは、ホテルや予約サイトの公式ページ・公式電話から自分で連絡する

そして、もしリンクを押してしまっても、落ち着いて、入力した内容に合わせた対応を取れば大丈夫です。今回の件は、ホテルの予約が消えたわけでも、予約サイトが破られたわけでもありません。正しく知って、正しく確認すれば、旅の予定はそのまま楽しめますよ。

公表内容は今後変わる可能性があります。最新の情報は、手間いらず社と、泊まるホテルの公式サイトのお知らせで確認してくださいね。

よくある質問

Q. ホテルから「カード情報を再入力してください」と連絡が来ました。本物ですか？

偽物の可能性が高いので、リンクは開かないでください。予約が成立したあとに、メッセージアプリでカード番号の再入力を求めるのは、通常の運営では考えにくい流れです。確認したいときは、ホテルの公式サイトに載っている電話番号に自分から連絡しましょう。

Q. 自分の名前と予約番号が正確に書いてあります。それでも偽物なのですか？

その可能性があります。今回の不正アクセスで予約情報が閲覧・取得された可能性があり、それを使って本物らしく見せているメッセージが確認されています。書かれた情報が正しいことと、送信者が本物であることは別なんです。

Q. 楽天トラベルで予約したので、今回の件は関係ないですよね？

関係ないとは言い切れません。楽天トラベル自体が攻撃されたわけではありませんが、泊まるホテルがTEMAIRAZUを使っていれば、予約情報が集まる先が今回の対象になった可能性があります。じゃらんやBooking.comなど、ほかの予約サイトでも同じです。

Q. 自分の予約が対象かどうか、どうやって確認できますか？

泊まるホテルの公式サイトのお知らせを、自分で検索して開いて確認します。分からなければ、公式サイトの代表電話に問い合わせて、TEMAIRAZUの利用の有無と、自分の予約への影響を聞いてみましょう。メッセージに書かれた連絡先は使わないでください。

Q. 予約をキャンセルしたほうがいいですか？

慌ててキャンセルする必要はありません。今回は予約データが消えたり壊れたりしたわけではなく、ホテル側に予約が正しく残っています。自己都合でキャンセルするとキャンセル料がかかる可能性があるので、不安ならホテルに直接確認しましょう。

Q. リンクを押しただけなら大丈夫ですか？

何も入力していなければ、すぐに画面を閉じれば、ほとんどの場合で大きな問題にはなりません。念のためブラウザの履歴やキャッシュを消しておくと安心です。気になるときは、端末のセキュリティ対策ソフトでスキャンしてみましょう。

Q. カード番号を入力してしまいました。どうすればいいですか？

すぐにカードの裏面に書かれたカード会社の窓口に電話して、利用停止と再発行を依頼してください。あわせて、最近の利用明細を確認してもらい、警察のサイバー犯罪相談窓口にも相談しておくと、後の手続きで役立ちます。

Q. スマホに届いた認証コード（ワンタイムパスワード）まで入力してしまったら？

不正な決済が完了している可能性があります。一刻も早くカード会社に連絡し、警察にも被害を相談してください。認証コードは、自分が始めた手続き以外では入力しないのが基本です。

Q. 被害にあったら、お金は戻ってきますか？

カード会社の規約や調査結果によって変わります。第三者による不正利用は補償の対象になることが多い一方で、自分で認証コードを入力した場合などは対象外になる可能性もあります。まずカード会社と警察に相談しましょう。

Q. 日本のホテルから、WhatsAppで連絡が来ることはありますか？

日本国内の旅行者に、業務連絡をWhatsAppで送るホテルは多くありません。ただ、「WhatsAppだから必ず偽物」と決めつけるのではなく、今回は実際に不審なメッセージの経路として確認されているため、届いたメッセージ内のリンクからは手続きしないようにしてください。

おすすめアイテム

ビサイユのトートバッグ

予約の確認やチケットの表示で、旅先ではカードやスマホを何度も出し入れしますよね。ビサイユのトートバッグはスキミング防止ポケット付きで、大事なカード類を分けて入れておけるのが安心。撥水加工で急な雨の日も気にならないよ。

軽量ショルダーBCS-140

ホテルまでの道のりは、できるだけ身軽に歩きたい派です。斜めがけできる超軽量のBCS-140なら、RFIDスキミング防止の収納にパスポートやカードを入れて、体の前で守りながら街歩きが楽しめるよ。