宿からの連絡で、リンクからカード番号を入れさせようとするものは、まず偽物を疑ってください。予約の中身が合っていても、本物とは限りません。気になったら、メッセージは使わずに、自分で予約サイトか宿の公式サイトを開いて確かめます。この3つを覚えておけば、宿からの連絡を落ち着いて見分けられます。
宿が予約を管理するのに使うシステム「TEMAIRAZU（手間いらず）」に、外から不正に入られていたことが分かりました。運営する手間いらず株式会社（東京証券取引所スタンダード市場）は、2026年10月9日（金）、予約した人の情報が最大で約445万人分、第三者に見られたり取られたりしたおそれがあると発表しました。
この記事では、会社の発表で分かっていること、偽のメッセージの見分け方、もう入力してしまったときにすることを、2026年10月13日に確かめた範囲でまとめます。
何が起きたのか
手間いらず株式会社の発表をまとめると、次のとおりです。
- 2026年9月21日（月）の深夜ごろから、TEMAIRAZUを使う宿に予約した人に、不審なメッセージが届き始めました。届いた先は、WhatsApp（ワッツアップ）などのメッセージアプリ、メール、SMS（携帯電話番号あてのショートメッセージ）などです
- メッセージには、予約の中身を知っているような内容が書かれていました。そのうえで、予約の確認や、クレジットカード情報の入れ直し、急ぎの支払いを求め、偽のサイトへ誘い込むものでした
- 会社が調べたところ、システムに外から不正に入られていたことが分かりました。会社は9月28日（月）に第一報を出しました
- 10月9日（金）の発表で、見られたり取られたりしたおそれがある人数は、最大で約445万人としました。「おそれがある」人数で、全員の情報が漏れたと決まったわけではありません
- 会社は、不正に入られた原因の場所を見つけて対策を済ませ、システムはいま通常どおり動いていると説明しています。個人情報保護委員会への報告と、警察への相談もしています
見られたおそれがある情報と、ない情報
10月7日（水）の第二報で、会社は見られたり取られたりしたおそれがある情報を7つ挙げました。
- 泊まる人の名前
- 電話番号
- メールアドレス
- 泊まる宿の名前
- チェックインの日
- チェックアウトの日
- 宿泊料金
いっぽうで会社は、クレジットカード情報は扱っておらず、持っていないと書いています。予約サイトのログイン情報（IDやパスワード）も持っていないとしています。
つまり、偽のメッセージを送る側は、名前・宿・日付・料金を知っていても、カード番号は知りません。だから「カード情報を入れ直してください」と頼んでくるのです。
自分も対象かどうか
10月13日時点の会社の発表には、自分が対象かどうかを一人ずつ調べる方法は書かれていません。対象になりうるのは、TEMAIRAZUを使っている宿に予約した人です。ただ、どの宿がこのシステムを使っているかは、予約する側からは見えません。
手がかりになるのは、予約した宿の公式サイトの「お知らせ」です。この件について、自分の宿のお客さんに向けて注意を出している宿があります。
たとえば静岡県伊豆市の土肥温泉にある牧水荘 土肥館は、10月8日（木）にお知らせを出しました。そこには、宿の公式サイトから予約した人も、予約サイトから予約した人も含まれると書かれています。そのうえで、不審なメッセージが届いたと確認できているのは、9月21日までに申し込み、9月21日以降に泊まる（または泊まった）予約の一部だとしています。これは土肥館が確認した範囲で、ほかの宿も同じとは限りません。
宿も、システムを使っていたことで被害を受けた側です。お知らせが出ているかどうかで、宿の良し悪しを決めることはできません。対象かどうか分からなくても、これから届く宿からの連絡に、次の見分け方を当てはめておけば十分です。
偽のメッセージを見分ける3つのこと
1. リンクからカード番号を入れさせようとしたら、偽物を疑う
システムの会社は、カード情報を持っていません。それでもカード番号を聞いてくるのは、偽物がいちばん欲しいものがカード番号だからです。「事前チェックイン」「予約の確定」「予約を残すため」など、理由はいろいろ付けてきます。
2. 予約の中身が合っていても、本物の証拠にはならない
名前、宿の名前、泊まる日、料金は、見られたおそれがある情報そのものです。「私の予約を知っているから本物だろう」とは考えないでください。
3. 「今すぐ」「取り消されます」と急がせてきたら、手を止める
会社の第二報も、「すぐに手続きが必要」などと不安をあおる連絡に気をつけるよう呼びかけています。急がせる連絡ほど、いったん閉じて、自分で確かめてからにします。
メッセージのリンクは開かず、返信もしません。書かれた指示どおりに支払いや送金もしません。
宿からの連絡か確かめる方法
確かめるときは、メッセージに書かれたリンクや電話番号は使いません。自分で開いた画面、自分で調べた番号だけを使います。
- 楽天トラベルなどの予約サイトで予約した人 予約サイトのアプリか、自分で開いた予約サイトにログインします。予約の確認画面で、予約が残っているか、支払いがどうなっているかを見ます。予約サイトの問い合わせ窓口に聞くときも、予約サイトの中から窓口を開きます
- 宿の公式サイトで予約した人 宿の名前で検索して、宿の公式サイトを開きます。そこに載っている電話番号にかけて「こういう連絡が届いたが、宿から送ったものか」と聞きます
- 宿に電話するときは、届いたメッセージを消さずに残しておくと、話が早く済みます
予約サイトの画面で予約が残っていて、宿も「送っていない」と言えば、そのメッセージは放っておいてかまいません。
もう入力してしまった、払ってしまったとき
早く動くほど、被害を小さくできます。次の順番で進めます。
- カード会社に電話する カードの裏に書いてある番号か、カード会社の公式アプリ・公式サイトに載っている番号にかけます。偽のサイトにカード番号を入れたことを伝え、カードを止めるか、番号を変えるかを相談します。手間いらず株式会社も、入力してしまった人にはカード会社へすぐ相談するよう呼びかけています
- パスワードを入れていたら、すぐ変える 偽のサイトにIDやパスワードを入れていたら、そのパスワードを変えます。同じパスワードを使っているほかのサービスも、すべて変えます（警察庁の案内）
- 利用明細を見る カード会社のアプリやサイトで、身に覚えのない使い方がないか見ます。しばらくは、ときどき見返します
- 警察に相談する 最寄りの警察署か、警察庁のサイトにあるサイバー被害のオンライン受付窓口に相談します。電話なら#9110（警察の相談専用の全国共通番号）で、かけた地域の都道府県警察の相談窓口につながります。受付時間は都道府県ごとに違います（長野県警察は平日8時30分〜17時15分）。お金をだまし取られた直後などの急ぎは110番です
- どうしたらよいか分からないときは、消費者ホットライン188にかけると、近くの消費生活センターなどの相談窓口を案内してもらえます
この件についての手間いらず株式会社の問い合わせ先は、緊急ヘルプデスク（メール helpdesk@temairazu.com）です。
これから温泉宿を予約するときに
- 会社は、原因への対策を済ませ、システムは通常どおり動いていると説明しています。予約そのものを控える必要はありません
- 予約したら、予約サイトのアプリを入れておくか、予約確認画面を自分で開けるようにしておきます。怪しい連絡が来たとき、すぐ見比べられます
- 宿から連絡が来ても、カード番号や支払いの話は、メッセージの中では済ませない。予約サイトの画面か、宿に自分でかけた電話で確かめます
- カード会社のアプリで、カードを使ったときに知らせが届く設定にしておくと、身に覚えのない使い方に早く気づけます
まとめ
- 宿の予約管理システム「TEMAIRAZU」に不正に入られ、最大で約445万人分の予約の情報（名前・電話番号・メールアドレス・宿の名前・チェックインとチェックアウトの日・料金）が見られたり取られたりしたおそれがある（手間いらず株式会社、10月9日）
- 会社はカード情報も、予約サイトのログイン情報も持っていない。だから偽のメッセージはカード番号を入れさせようとする
- 予約の中身が合っていても本物とは限らない。リンクや書かれた番号は使わず、予約サイトのアプリか、宿の公式サイトに載っている電話番号で確かめる
- 入力してしまったら、すぐカード会社に電話。パスワードを入れていたら変える。警察署か#9110、迷ったら188
- 自分が対象かを調べる方法は、10月13日時点では発表されていない。予約した宿の公式サイトの「お知らせ」が手がかりになる
※この記事は2026年10月13日時点の手間いらず株式会社の発表（9月28日・10月7日・10月9日）、NHK・トラベルボイスの報道、牧水荘 土肥館のお知らせ、警察庁・消費者庁・長野県警察の案内に基づきます。調査は続いており、対象の範囲や人数は今後変わることがあります。
出典
- 手間いらず株式会社「不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ」（2026年9月28日・PDF）
- 手間いらず株式会社「当社システムへの不正アクセスに関する経過および対応について（第二報）」（2026年10月7日・PDF）
- 手間いらず株式会社「当社システムへの不正アクセスに関する調査状況および対応について」（2026年10月9日・適時開示・PDF）
- NHKニュース「宿泊予約管理システム「手間いらず」最大445万人情報漏えいか」（2026年10月10日）
- トラベルボイス「宿泊予約管理「TEMAIRAZU」に不正アクセス、宿泊者情報の一部が第三者に閲覧・取得された可能性」（2026年9月29日）
- 牧水荘 土肥館（土肥温泉）「外部事業者の予約管理システム（手間いらず）への不正アクセスによる個人情報漏洩の可能性と、不審なメッセージへのご注意のお願い」（2026年10月8日）
- 警察庁「フィッシング対策」
- 長野県警察「警察の相談ダイヤル#9110」
- 消費者庁「消費者ホットライン」
あわせて確認したい記事
おすすめ
