手間いらず：不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ

手間いらずが9月28日に不正アクセスを公表したあと、各宿泊施設も相次いで告知を出した。piyologの整理によれば、由布院温泉の旅館「冨季の舎」が9月26日に、手間いらずの運営会社から不審なメッセージが届く事象の連絡を受けたと告知している [s5]。ニューグロリアリゾートグループは9月27日付の告知で、9月26日に原因箇所を特定して対策を完了したとの記載を載せた [s5]。ファーストキャビンやMIMARU、スマイルホテルなどの初報は、手間いらずの公表より前の9月24日だった [s5]。クア・アンド・ホテルの初報は9月23日である [s5]。ワシントンホテルは9月24日に初報を出し、9月29日の第2報で手間いらずから不正アクセス確認の報告を受けたと記載した [s5]。藤田観光は、9月22日に顧客からの問い合わせで不審な通知の配信を確認したと告知した [s5]。

ある宿泊施設の告知によれば、手間いらずは、確認されている不正アクセスは9月21日に発生したものに限られ、9月26日に原因箇所を特定して対策を完了したと報告している [s6]。公表文の要約にある「9月24日の一部機能停止」と、この「9月26日の原因特定・対策完了」は別の時点の事実として併記されている [s6]。

攻撃者側の主張やリークサイトへの掲載を示す記述は、手元の出典にはない。

影響の中心は、宿泊施設の予約者に届いた不審なメッセージによる詐欺的な誘導である。基準日は9月21日で、宿泊施設の告知では、9月21日までに成立し、宿泊日が9月21日以降の予約の一部が対象とされている [s6][s9]。メッセージは、WhatsAppなどのメッセージアプリ、メール、SMSで届く。「ご予約の確認」「カード情報の再入力」「至急のお支払い」などを求め、偽サイトへ誘導する内容である [s6]。ある宿泊施設は、予約内容が正確に記載されていても、その施設からの連絡とは限らないと注意喚起した [s6]。

農園リゾートTHE FARMの10月8日更新の告知によれば、発生当初はWhatsAppで決済を促すメッセージが確認されていた。その後は、宿泊の前日や当日に、宿泊施設からの連絡を装ってクレジットカード決済を促すメールも確認されている [s9]。スーパーホテルは、送信元に+351など海外番号があることを告知した [s5]。同施設は9月29日に「予約がキャンセルされた」旨のメッセージを、10月5日に日本語のメッセージを確認したと追記している [s5]。フォレストグループも、+351などの海外番号から不審なメッセージが届いた事例を告知した [s5]。

THE FARMは、不正アクセスは手間いらずの予約管理システムで発生したもので、自施設のシステムに対するものではないと説明している [s9]。同様に、7gardenは自社管理のシステムへの不正アクセスは確認されていないとし [s5]、MIMARUは自社ホテルのパソコンのウイルス感染調査で痕跡は見つからなかったと告知した [s5]。

影響は多数の宿泊施設とその運営会社に広がり、piyologは100を超える組織の告知を一覧にしている [s5]。このなかには、UDS HOTELSのように、流出の可能性がある情報の対象を9月21日までに成立し9月21日以降が宿泊日の予約とした例がある [s5]。一方、東京の宿泊施設の告知のように、取消済みの予約を含むとした例や [s5]、大阪コロナホテルのように、電話で直接予約した顧客や法人団体担当営業との直接のやり取りで予約した顧客を対象外とした例もある [s5]。ホテルボストンプラザ草津などは、該当するすべての予約で確認されているわけではないとしている [s5]。センチュリオンホテルは、在庫、料金、予約連携などは正常稼働との報告を受けたと告知した [s5]。

セキュリティ担当者向けには、宿泊施設側の対応が参考になる。LIVELY HOTELSは管理用パスワードの変更などを進めており [s5]、ポラリス・ホールディングスも、システムのアクセス権限の強化、パスワードの変更、管理画面の監視強化を実施した [s5]。UMITOとWITH SEAは、手間いらずに流出件数や経路の個別報告と再発防止策を求めるとした [s5]。

unitis.jpの月次まとめでは、手間いらずのほかにクア・アンド・ホテル、ホロニック、日建ホテルマネジメントなど利用施設側の公表も別項目で並んでいる [s7]。同じ9月には、予約システムへの不正アクセスとしてファインズの事例（対象1,536,322件）も掲載されている [s7]。

注意喚起は、手間いらずと各施設でほぼ共通している。メッセージのリンクやURLを開かない、カード情報や個人情報を入力しない、返信しない、指示に従った支払いや送金をしない、の4点である [s6][s8][s9]。予約内容の確認は、メッセージ記載の連絡先ではなく、宿泊施設または予約サイトの公式窓口に問い合わせるよう求めている [s6][s9]。カード情報を入力した場合や送金した場合は、カード会社や金融機関に連絡するよう案内されている [s6][s9]。