東証スタンダード上場で宿泊施設向け予約管理システムを手がける手間いらず（2477）は、最大で約445万人分の予約情報が第三者に閲覧または取得された可能性があると明らかにした。同社が提供する「TEMAIRAZU」への不正アクセスの調査状況に関する適時開示で、10月9日に公表した。
流出した可能性のある情報
対象は同システム上で取り扱われていた予約情報で、予約者の氏名、電話番号、メールアドレスなどの連絡先のほか、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金が含まれる。同社は445万人を対象者数の上限としている。情報は閲覧または取得された「可能性がある」としており、全データの窃取が確認されたわけではなく、流出の可能性を示すものだ。同社はクレジットカード情報は保有していないとしている。
経緯と対応
9月21日、同システムを利用する複数の宿泊施設から、予約者宛てに宿泊予約に関する不審なメッセージが送られているとの連絡を受け、同社は社内調査を始めた。その後、第三者による不正アクセスを確認し、被害拡大を防ぐ措置を講じたうえで、侵入経路を特定し、アクセス制御と監視体制を強化した。これまでに確認した原因箇所への対策は完了したという。
同社は9月24日午前10時58分ごろからシステムの一部機能を一時停止し、同日午後9時48分ごろに再開した。停止中は、一部の出力、設定、確認作業に制約が生じた。同社は、予約・在庫・料金を連携させる基幹エンジン全体は停止しておらず、現在システムは通常どおり稼働しているとしている。
不正アクセスの原因と影響範囲を検証するため、外部のセキュリティ専門機関に調査を委託している。同社は個人情報保護委員会に報告したほか、警察に相談した。これに先立ち、9月28日と10月7日に自社サイトで お知らせを掲載していた。
費用負担
同社は、外部機関による調査費用、セキュリティ強化費用、宿泊施設や予約者からの問い合わせへの対応費用などが生じる見込みとしている。影響範囲や関連費用を精査している段階のため、業績への影響を合理的に算定するのは困難だという。業績予想の修正やその他の重要な影響が判明すれば、速やかに開示するとしている。