适用对象：在日本预订过酒店或旅馆的人（包括通过旅游预订网站预订的人），以及经营住宿业务的人。本文基于Temairazu, Inc.的官方通知以及使用其系统的酒店发布的通知撰写，不涉及攻击或诈骗手法。
进行中：随着机构发布更多信息，本文将持续更新
截至2026年10月11日尚不清楚
- 最终人数和酒店数量
- 受影响的预订时间段和范围（据公司）
- 入侵方式
- 外部调查结果
Temairazu, Inc.在10月7日的第二份报告（英文版10月8日）中列出了可能被获取的项目，并在10月9日的临时公告中给出了涉及人数，最多约445万人。外部安全机构仍在核实原因和范围，公司表示如有新的重要事实，将及时公布。
住客今天应该做什么
确认自己是否可能受影响（包括通过旅游网站的预订）
公司尚未公布受影响的预订时间段或范围。目前已知的只是一个上限：最多约445万人（10月9日的临时公告）。这不仅包括直接向酒店预订的人，也可能包括通过旅游网站预订的人（原因见下文）。
一家使用该系统的酒店（Hotel Grand Hill Ichigaya）的通知称，在同时满足以下三个条件的部分预订中观察到了WhatsApp虚假消息：2026年9月21日前完成预订、入住日期为9月21日或之后，并且住客使用WhatsApp。这些是观察到虚假消息的条件，而不是可能被获取数据的预订范围。不符合这些条件并不代表你是安全的。
多家使用该系统的酒店已在自己的网站上发布通知，请查看你所住酒店的官方网站。不过，没有通知并不能证明安全。对于任何声称来自酒店的消息，请按照以下步骤处理。
不要打开消息中的链接，也不要回复
公司确认的消息冒充酒店或预订网站，并以确认预订、提前办理入住或保持预订有效等为由，引导收件人访问外部网站输入银行卡信息或付款。消息还会催促你立即行动。根据公司的第一份通知，这些消息通过WhatsApp等即时通讯应用、电子邮件、短信及其他方式送达。如果消息通过微信或其他即时通讯应用送达，公司也要求同样谨慎对待。
公司给出四条建议：
- 不要打开网址或链接
- 不要回复
- 不要输入银行卡或个人信息
- 不要付款
通过预订网站的官方应用或酒店官方电话进行核实
核实预订时，请不要使用消息中的链接或电话号码，而应使用你自己打开的官方渠道。
- 如果你通过旅游网站预订：从主屏幕上的应用（或你自己收藏的官方网站）打开预订，查看付款方式和状态
- 如果你直接向酒店预订：搜索酒店官网，自行拨打上面列出的电话
如果有人要求支付预订确认单中没有的款项，仅此一点就足以拒绝。关于如何判断此类消息，请参阅Booking.com预订数据泄露事件中的详细说明。
如果已输入信息或付款，请立即联系发卡银行
公司表示，如果你在可疑网站上输入了信用卡或其他信息，应尽快联系发卡银行。请要求冻结并重新发卡，并检查账单中是否有你不认识的扣款。
在日本，你还可以拨打警察咨询热线（#9110）或消费者热线（188）。如果你输入了预订网站的密码，请更改密码并开启两步验证（参见如何选择多因素认证）。
告知同行的人（也出现了日文消息）
不仅要告诉预订人本人，也要告诉同住的家人以及从国外前来的同行者。据一家酒店的通知，10月5日确认了日文诈骗消息，而不仅是英文消息。
不要以为只有语法生硬的英文消息才需要警惕。无论使用什么语言或应用，都请用同样的方式核实。
发生了什么（来自Temairazu, Inc.的通知）
Temairazu, Inc.于2026年9月28日（英文版9月29日）发布了第一份通知，于10月7日（英文版10月8日）发布了第二份报告，并于10月9日向股东和投资者发布了临时公告。以下日期中，9月26日以及观察到虚假消息的预订条件，均来自使用该系统的酒店发布的通知。
2026年9月21日（周一）深夜起
多家住宿设施联系公司，称其住客收到了可疑消息。公司在调查过程中确认了系统遭到不正访问。9月24日（周四）
为遏制损害并进行调查，系统部分功能于约上午10:58暂停，并于当日约晚上9:48恢复（10月9日公告）。公司表示，连接预订、库存和价格的核心引擎并未停止。9月26日（周六）
根据酒店的通知，原因已被查明，修复工作已完成。9月28日
公司发布通知。通知称，公司正在采取必要措施，包括向个人信息保护委员会报告，并已联系警方。9月29日
发布通知英文版。10月5日
据一家酒店的通知，确认了日文诈骗消息，而不仅是英文消息。10月7日
公司发布第二份报告（英文版10月8日），列出可能被获取的信息：姓名、电话号码、电子邮件地址、住宿设施名称、入住和退房日期以及费用。10月9日
在临时公告中，公司将涉及人数公布为最多约445万人，称已委托外部安全机构进行调查，并称目前无法合理估算对其业绩的影响。
- 系统
- TEMAIRAZU系列，住宿预订管理系统
- 发生了什么
- 公司系统遭到不正访问。部分住客信息可能已被第三方查看或获取（公司通知）
- 涉及人数
- 最多约445万人（10月9日临时公告）。未公布酒店数量
- 可能被获取的信息
- 住客姓名、电话号码、电子邮件地址、住宿设施名称、入住日期、退房日期、住宿费用（第二份报告）。10月9日公告以"等"列出
- 虚假消息
- 冒充酒店或预订网站，并以提前办理入住或保持预订有效等为由，引导至外部网站要求输入银行卡信息或付款。公司表示已确认这些消息与本事件有关，并称其疑似网络钓鱼诈骗
- 公司不保留的信息
- 信用卡信息和预订网站的登录凭据（公司通知）
- 原因
- 公司表示已查明并修复原因，但不会披露手法。根据酒店通知，是公司过去提供的一款已安装产品部分功能存在安全问题
- 不正访问的日期
- 根据一家酒店的通知，公司报告称，目前确认的不正访问仅限于2026年9月21日发生的访问，其他时间未确认到类似访问
- 应对措施
- 已阻断访问；加强访问控制和监控。9月24日部分功能暂停约11小时，当日恢复，系统目前运行正常（公司通知）
- 报告与调查
- 已向个人信息保护委员会报告并咨询警方。已委托外部安全机构核实原因和范围；调查仍在进行中（10月9日公告）
- 联系方式
- 公司紧急服务台（helpdesk@temairazu.com，见其官方通知）
已知与未知
截至2026年10月11日的状态（截至10月9日的临时公告）。公司发布更多信息后，本表将随之更新。
| 项目 | 已公布内容 | 状态 |
|---|---|---|
| 不正访问 | 已在公司系统上确认 | 已确认 |
| 住客数据是否被获取 | 可能已被查看或获取 | 可能 |
| 可能被获取的项目 | 姓名、电话号码、电子邮件地址、设施名称、入住和退房日期、费用（第二份报告；10月9日公告以"包括"列出） | 已公布 |
| 银行卡信息和预订网站登录凭据 | 公司不保留 | 已确认 |
| 受影响的预订时间段和范围 | 公司未说明（仅公布人数上限） | 未公布 |
| 观察到虚假消息的预订 | 部分同时满足以下条件的预订：9月21日前完成、入住日期为9月21日或之后、住客使用WhatsApp（酒店通知） | 来自酒店通知 |
| 不正访问的日期 | 目前确认的访问仅限于9月21日（酒店通知，引用公司说法） | 来自酒店通知 |
| 涉及人数 | 最多约445万人（10月9日公告） | 已公布上限 |
| 酒店数量和最终人数 | 未公布 | 调查中 |
| 与虚假消息的关联 | 公司表示已确认这些消息与本事件有关，并称其疑似网络钓鱼 | 由公司说明关联 |
| 原因 | 已查明并修复；手法未披露；为较早安装产品的部分功能（酒店通知） | 部分披露 |
| 向主管机构报告 | 已向个人信息保护委员会报告；已咨询警方 | 已完成 |
| 外部调查 | 已委托安全机构 | 调查中 |
| 对业绩的影响 | 目前无法合理估算 | 未确定 |
为什么通过旅游网站预订也不能排除受影响
日本的大多数酒店和旅馆会同时在多个旅游预订网站（OTA，在线旅游平台）和自己的官网上挂出房间。一个平台售出房间后，其他所有平台的可订房数量都必须相应减少，否则同一房间就会被重复出售。
自动完成这一工作的系统称为渠道管理系统（日本称"站点控制器"）。TEMAIRAZU就是其中之一，公司将其作为住宿预订管理系统提供。
预订网站A
住客在应用中预订
预订网站B
住客在网页上预订
酒店自有网站
直接预订
↓ 预订、空房和价格一并传递
渠道管理系统（TEMAIRAZU）
多家酒店的预订数据汇集于一个系统 → 本次确认遭到不正访问
↓
各酒店和旅馆的管理界面
处理住客联系方式、入住日期、预订编号等
因此，即使预订网站本身没有问题，酒店所用管理系统中的预订信息仍可能被获取。没有收到预订网站的通知，并不能证明安全。
姓名、联系方式和入住日期可能被如何利用
已公布的项目将联系方式（姓名、电话号码、电子邮件地址）与预订详情（设施名称、入住和退房日期、费用）结合在一起。一般来说，这种组合很适合用于诈骗，原因如下：
- 正确的酒店名称、日期和价格，会让消息看起来确实来自酒店或预订网站
- 入住日期临近时，"现在不付款就会取消"或"需要提前办理入住"之类的说法会造成压力
- 掌握电话号码和电子邮件地址后，诈骗者可以通过短信、邮件或与该号码绑定的即时通讯应用，冒充酒店直接联系你
由于包含退房日期，入住结束后也可能收到以"退款"或"结算额外费用"为名的消息。请同样用上述方式核实。
本事件的特点：公开之前已经出现虚假消息
据公司称，酒店于9月21日深夜左右开始报告可疑消息，而公告发布于9月28日。在公告发布之前收到的消息同样需要警惕。
如果你在9月下旬之后因冒充酒店的消息输入过银行卡信息，即使已经过去一段时间，也请立即联系发卡银行。
本站观点：判断消息真假应看付款要求，而非酒店名称是否正确
酒店预订在下单后很少改变付款方式，付款条款写在预订确认单中。
无论消息对你的预订内容描述得多么准确，只要它要求支付确认单中没有的款项，或要求重新输入银行卡信息，仅此一点就是拒绝的理由。无论消息通过哪种应用或以何种语言送达，这条规则都同样适用。
致经营住宿业务的人
公司要求酒店做的事
更改TEMAIRAZU登录密码
作为预防措施，公司要求酒店更改TEMAIRAZU登录密码。如果你在其他管理界面（预订网站的管理后台、电子邮件等）使用相同的密码，也请一并更改。
检查管理界面，看是否有不认识的登录或更改
如果发现不认识的登录，或管理界面上登记信息被意外更改，公司要求酒店立即与其联系。
公司还要求预订网站和相连合作方检查是否有不认识的登录、账户或权限的意外更改、收款银行账户等登记信息的意外更改，以及可疑消息或操作日志。建议你也在自己设施所用的预订网站管理后台上检查这四项。
对住客的咨询给出统一的答复
公司要求酒店告诉前来咨询的住客：不要打开消息中的网址，不要输入个人信息或银行卡信息。
为了让前台和呼叫中心的回答保持一致，请统一一句话，例如"我们从不会通过消息要求您重新输入银行卡信息或付款"，并附上正确的联系方式。通过预订网站的消息功能等方式提前告知即将入住的住客，有助于减少损失。
需要向Temairazu, Inc.确认的事项
公司的通知没有说明哪些酒店的哪些预订在范围内。为了向住客作出说明并决定法律上的应对，请向公司确认以下几点：
- 你的设施的预订是否在范围内；如在范围内，对应的时间段和数量是多少
- 已公布的项目中，哪些实际适用于你的设施的预订
- 你的设施过去是否使用过那款较早安装的产品，该软件或其连接设置是否仍然存在
- 公司已向个人信息保护委员会报告到什么程度，你的设施是否也需要报告或通知住客
向个人信息保护委员会报告并通知住客
根据日本个人信息保护委员会（PPC）的说明，可能因不正当目的（如不正访问）造成的泄露，无论涉及人数多少，都必须报告。时限大致如下：
- 速报：知悉后尽快提交（大约在3至5天内）
- 确报：60天内提交（怀疑存在不正当目的的情况；其他情况为30天内）
- 通知当事人：根据情况尽快进行。如果难以通知，可以采取公布事件、设立咨询窗口等替代措施
根据PPC的指南，如果受托服务提供商通知了委托其处理数据的企业，服务提供商可免于报告，由委托企业报告。酒店还是系统提供商来报告，以及你的设施是否在范围内，取决于合同和事实情况。请根据上述问题的答案作出判断，如有不确定，请咨询个人信息保护委员会。
本事件特有的检查：旧产品和连接是否仍然存在
根据酒店的通知，原因是公司过去提供的一款已安装产品的部分功能。该功能所在的具体位置尚未披露，但任何设施都可能仍保留着自认为已不再使用的旧软件，或其相关的连接设置。
- 列出所有处理预订或住客数据的系统，并分别记录：当前版本、由谁管理、是否仍保留旧版本或集成组件
- 在与提供商确认后，卸载不再使用的旧产品，并关闭相关账户和连接
- 如果可用，为管理后台登录开启多因素认证，并以个人账户取代共享账号（以便登录记录能显示是谁进行了操作）
另一个教训在于发现问题的途径。这次，问题首先是通过住客向酒店询问可疑消息而暴露出来的。应事先确定：住客报告"收到冒充你所住酒店的可疑消息"，不应仅作为个人投诉处理，而应直接转交给系统提供商。
关于另一起酒店住客数据泄露事件，请参阅澳大利亚Quest Apartment Hotels泄露事件；关于客户在提供商系统遭入侵时如何应对，请参阅当你的网站托管服务商遭入侵时。
来源（公开记录）
本文的事实依据以下公开信息。未公布的项目、数量和入侵手法不作推测。
- Temairazu, Inc.，关于可疑消息及本公司系统遭不正访问的致歉与通知（2026年9月28日，日文）— temairazu.co.jp
- Temairazu, Inc.，《Notice and Apology Regarding Suspicious Messages and Unauthorized Access to TEMAIRAZU》（2026年9月29日，英文）— temairazu.co.jp
- Temairazu, Inc.，关于不正访问的第二份报告（2026年10月7日，日文）— temairazu.co.jp
- Temairazu, Inc.，《Update on Unauthorized Access to Our Systems and Our Response (Second Report)》（2026年10月8日，英文）— temairazu.co.jp
- Temairazu, Inc.，关于系统遭不正访问调查情况及应对的临时公告（2026年10月9日，日文）— temairazu.co.jp
- 酒店通知示例（原因说明、9月26日的修复、不正访问的日期、观察到虚假消息的预订条件）：Hotel Grand Hill Ichigaya（2026年9月29日，日文）— ghi.gr.jp
- 酒店通知示例（10月5日的日文诈骗消息）：Super Hotel（2026年10月5日更新，日文）— superhotel.co.jp
- 个人信息保护委员会，《Responding to leaks and useful materials》（日文）— ppc.go.jp
- 个人信息保护委员会，《个人信息保护法指南（通则篇）》第3-5节，关于泄露报告和通知当事人（日文）— ppc.go.jp
更新记录
2026-10-22：在"延伸阅读"中，将Commune事件的166,505人数据说明为按社区统计的人次。
2026-10-11：根据官方通知重新核对事实。酒店通知中的条件（9月21日前完成预订、入住日期为9月21日或之后、住客使用WhatsApp）描述的是观察到虚假消息的预订，而非泄露范围，因此已修改文本（公司尚未公布范围）。补充了已确认的不正访问仅限于9月21日（酒店通知）。将消息渠道与第一份通知保持一致（WhatsApp等即时通讯应用、电子邮件、短信及其他）。
2026-10-10：反映公司10月9日的临时公告：涉及人数最多约445万人、9月24日部分功能暂停及当日恢复、委托外部安全机构调查、对业绩的影响（尚无法估算），已体现在标题、正文和表格中。酒店数量和入侵手法仍未公布。
2026-10-09：反映公司第二份报告（10月7日；英文版10月8日）：可能被获取的七项信息、公司不保留的信息（预订网站登录凭据）、虚假消息的借口（提前办理入住、保持预订有效）。数量和入侵手法仍未公布。
2026-10-07：重新核对官方通知（无更新）。新增"已知与未知"表格、10月5日的日文诈骗消息，以及酒店的报告和通知步骤。由于公司未公布泄露的具体项目，项目描述已收窄至公司通知所述范围。
2026-10-03：初版，依据Temairazu, Inc.9月28日（日文）和9月29日（英文）的通知，以及使用该系统的酒店通知撰写。
延伸阅读
- 同类诈骗模式：Booking.com预订数据泄露事件 / 什么是网络钓鱼？
- 另一起住宿业案例：Quest Apartment Hotels（澳大利亚，银行卡和护照号码）
- 旅游预订网站案例：skyticket（Adventure Inc.）泄露事件（预订信息和密码）
- 提供商遭入侵时：当你的网站托管服务商遭入侵时
- 通过供应商泄露的联系方式：JR东日本、VIEW Card及JR九州电子邮件地址泄露
- 通过同一提供商泄露多家公司的会员数据：Commune不正访问事件（166,505名社区会员，按社区统计）
- 保护你的账户：如何选择多因素认证 / 如何选择密码管理器
- 2026年其他事件：数据泄露和网络攻击一览（日本及全球）