對象：曾在日本預訂飯店或旅館的人（包括透過旅遊訂房網站預訂者），以及經營住宿業的人。本文以 Temairazu, Inc. 的官方公告，以及使用其系統的飯店公告為依據，不涵蓋攻擊或詐騙手法。
進行中：本文將隨該機構發布更多資訊而更新
截至 2026 年 10 月 11 日尚未確定
- 確定的人數與飯店家數
- 受影響的訂房期間與範圍（依該公司說明）
- 入侵的方式
- 外部調查的結果
Temairazu, Inc. 在 10 月 7 日（英文版為 10 月 8 日）的第二次報告中列出可能已被取走的項目，並於 10 月 9 日的適時揭露中提出涉及人數，最多約 445 萬人。外部資安機構仍在核實原因與範圍，該公司表示若有新的重大事實，將儘速公布。
旅客今天應該做什麼
確認自己是否可能受影響（包括透過旅遊網站的訂房）
該公司尚未公布受影響的訂房期間或範圍。目前已知的只有上限：最多約 445 萬人（10 月 9 日的適時揭露）。這不僅涵蓋直接向飯店訂房的人，也可能包括透過旅遊網站訂房的人（原因於下文說明）。
一則飯店公告（Hotel Grand Hill Ichigaya）指出，在符合以下三個條件的部分訂房中，觀察到 WhatsApp 假訊息：於 2026 年 9 月 21 日前成立、住宿日為 9 月 21 日（含）之後，且訂房者使用 WhatsApp。這些是觀察到假訊息的訂房條件，而不是可能遭取走資料的訂房範圍。不符合這些條件，並不代表你就安全。
數家使用該系統的飯店已在自家網站發布公告，請查看你住宿飯店的官方網站。不過，沒有公告並不代表安全。對於任何自稱來自飯店的訊息，請依照以下步驟處理。
不要開啟訊息中的連結，也不要回覆
該公司確認的訊息，會假冒飯店或訂房網站，並以確認訂房、提前辦理入住或維持訂房有效等理由，將收件人導向外部網站，要求輸入卡片資料或付款。這些訊息也會催促你立即行動。根據該公司的第一次公告，訊息經由 WhatsApp 等即時通訊軟體、電子郵件、簡訊及其他管道送達。該公司也提醒，若訊息透過 WeChat 或其他通訊軟體送達，同樣應保持相同的謹慎。
該公司提供四項建議：
- 不要開啟網址或連結
- 不要回覆
- 不要輸入卡片資料或個人資料
- 不要付款
透過訂房網站的官方應用程式或飯店的官方電話確認
要確認訂房時，請不要使用訊息中的連結或電話號碼，而是使用你自行開啟的官方管道。
- 若你透過旅遊網站訂房：從主畫面上的應用程式（或你自行加入書籤的官方網站）開啟訂房，查看付款方式與狀態
- 若你直接向飯店訂房：自行搜尋飯店的官方網站，並撥打上面列出的電話號碼
如果有人要求付款，但該付款不在你的訂房確認書中，單憑這一點就足以拒絕。如何判斷這類訊息，已在 Booking.com 訂房資料外洩事件 中詳細說明。
若已輸入資料或付款，請立即聯絡發卡銀行
該公司表示，若你曾在可疑網站輸入信用卡或其他資料，應儘速聯絡發卡銀行。請要求停用並補發卡片，並檢查帳單上是否有你不認得的消費。
在日本，你也可以撥打警方諮詢專線（#9110）或消費者熱線（188）。若你曾輸入訂房網站的密碼，請更改密碼並開啟兩步驟驗證（請參閱 如何選擇多重要素驗證）。
告知與你同行的人（也出現了日文訊息）
不只要告訴訂房的本人，也要告訴同住的家人以及從海外前來的同行者。根據一則飯店公告，10 月 5 日已確認有日文詐騙訊息，不只英文訊息。
不要以為只要是英文且語句不自然的訊息才需要留意。無論使用哪種語言或哪個應用程式，都請以同樣方式確認。
發生了什麼事（依 Temairazu, Inc. 的公告）
Temairazu, Inc. 於 2026 年 9 月 28 日（英文版為 9 月 29 日）發布第一次公告，於 10 月 7 日（英文版為 10 月 8 日）發布第二次報告，並於 10 月 9 日向股東與投資人發布適時揭露。以下日期中，9 月 26 日以及假訊息所見訂房的條件，來自使用該系統的飯店所發布的公告。
2026 年 9 月 21 日（週一）深夜起
數家飯店向該公司反映，旅客收到可疑訊息。在調查過程中，該公司確認其系統遭到不正存取。9 月 24 日（週四）
為控制損害並進行調查，系統的部分功能於上午約 10:58 暫停，並於當日晚間約 9:48 恢復（10 月 9 日揭露）。該公司表示，連結訂單、庫存與費率的核心引擎並未停止。9 月 26 日（週六）
根據飯店公告，原因已查明，修復也已完成。9 月 28 日
該公司發布公告。表示正在採取必要措施，包括向個人資訊保護委員會通報，並已聯絡警方。9 月 29 日
公告的英文版發布。10 月 5 日
根據一則飯店公告，已確認除英文外的日文詐騙訊息。10 月 7 日
該公司發布第二次報告（英文版為 10 月 8 日），列出可能已遭取走的資訊：姓名、電話號碼、電子郵件地址、住宿設施名稱、入住與退房日期及費用。10 月 9 日
在適時揭露中，該公司將涉及人數訂為最多約 445 萬人，表示已委託外部資安機構調查，並表示對其業績的影響目前尚無法合理估算。
- 系統
- TEMAIRAZU Series，住宿業訂房管理系統
- 發生的事
- 該公司系統遭到不正存取。部分旅客資訊可能已遭第三方閱覽或取得（該公司公告）
- 涉及人數
- 最多約 445 萬人（10 月 9 日適時揭露）。尚未公布飯店家數
- 可能已遭取走的項目
- 旅客姓名、電話號碼、電子郵件地址、住宿設施名稱、入住日期、退房日期、住宿費用（第二次報告）。10 月 9 日揭露以「等」字列出
- 假訊息
- 假冒飯店或訂房網站，並以提前辦理入住、維持訂房有效等理由，將人導向要求輸入卡片資料或付款的外部網站。該公司表示已確認與本事件相關的情況，並稱其看似為網路釣魚詐騙
- 該公司未保存的資訊
- 信用卡資訊，以及訂房網站的登入憑證（該公司公告）
- 原因
- 該公司表示已查明並修復原因，但不會揭露手法。根據飯店公告，是該公司過去提供之安裝型產品部分功能存在資安問題
- 不正存取的日期
- 根據一則飯店公告，該公司報告指出，目前確認的不正存取僅限於 2026 年 9 月 21 日發生的存取，且其他時間未確認到類似存取
- 回應
- 已阻斷存取，並加強存取控制與監控。9 月 24 日部分功能停用約 11 小時，同日恢復；系統目前正常運作（該公司公告）
- 通報與調查
- 已向個人資訊保護委員會通報，並諮詢警方。已委託外部資安機構核實原因與範圍；調查仍在進行中（10 月 9 日揭露）
- 聯絡方式
- 該公司緊急服務台（helpdesk@temairazu.com，見其官方公告）
已知與未知的事項
截至 2026 年 10 月 11 日的狀況（涵蓋至 10 月 9 日的適時揭露）。該公司發布更多資訊時，本表將更新。
| 項目 | 已公布的內容 | 狀態 |
|---|---|---|
| 不正存取 | 已在該公司系統確認 | 已確認 |
| 旅客資料是否遭取走 | 可能已遭閱覽或取得 | 可能 |
| 可能已遭取走的項目 | 姓名、電話號碼、電子郵件地址、設施名稱、入住與退房日期、費用（第二次報告；10 月 9 日揭露以「包括」表示） | 已公布 |
| 信用卡資料與訂房網站登入憑證 | 該公司未保存 | 已確認 |
| 受影響訂房的期間與範圍 | 該公司未說明（僅公布人數上限） | 未公布 |
| 看到假訊息的訂房 | 符合以下全部條件的部分訂房：9 月 21 日前成立、住宿日為 9 月 21 日（含）之後、訂房者使用 WhatsApp（飯店公告） | 來自飯店公告 |
| 不正存取日期 | 目前確認的存取僅限於 9 月 21 日（飯店公告，引述該公司） | 來自飯店公告 |
| 涉及人數 | 最多約 445 萬人（10 月 9 日揭露） | 已公布上限 |
| 飯店家數與最終人數 | 未公布 | 調查中 |
| 與假訊息的關聯 | 該公司表示已確認與本事件相關，並看似為網路釣魚 | 該公司說明的關聯 |
| 原因 | 已查明並修復；手法未揭露；舊安裝型產品的部分功能（飯店公告） | 部分揭露 |
| 向主管機關通報 | 已向 PPC 通報，已諮詢警方 | 已完成 |
| 外部調查 | 已委託資安機構 | 調查中 |
| 對業績的影響 | 目前尚無法合理估算 | 尚未確定 |
為什麼透過旅遊網站訂房也不能排除
日本多數飯店與旅館會同時在數個旅遊訂房網站（OTA，線上旅行社）與自家網站上架房間。某一網站賣出房間後，其他所有網站的空房數就必須同步減少，否則同一間房會被重複販售。
自動完成這項工作的系統稱為頻道管理系統（在日本稱為網站控制器，site controller）。TEMAIRAZU 即是其中之一；該公司將其作為住宿訂房管理系統提供。
訂房網站 A
旅客在應用程式中訂房
訂房網站 B
旅客在網頁上訂房
飯店自家網站
直接訂房
↓ 訂單、空房與費率一併傳送
頻道管理系統（TEMAIRAZU）
多家飯店的訂房資料集中於一個系統 → 本次確認遭不正存取
↓
各飯店的管理畫面
處理旅客聯絡方式、入住日期、訂房編號等
因此，即使訂房網站本身沒有問題，飯店所用的管理系統仍可能被取走訂房資料。沒有收到訂房網站的通知，並不代表安全。
姓名、聯絡方式與住宿日期可能被如何利用
已公布的項目，把聯絡資訊（姓名、電話號碼、電子郵件地址）與訂房細節（設施名稱、入住與退房日期、費用）結合在一起。一般而言，這樣的組合很適合用於詐騙，原因如下：
- 正確的飯店名稱、日期與價格，會讓訊息看起來真的來自飯店或訂房網站
- 若住宿日期接近，「現在不付款訂房就會取消」或「需要提前辦理入住」之類的說法會造成壓力
- 掌握電話號碼與電子郵件地址後，詐騙者可以透過簡訊、電子郵件或與該號碼綁定的通訊軟體，冒充飯店直接與你聯絡
由於退房日期也在內，住宿結束後也可能收到自稱「退款」或「補繳額外費用」的訊息。這類訊息同樣請依相同方式確認。
本事件的特點：在公告前就已出現假訊息
根據該公司的說法，飯店開始回報可疑訊息的時間是 9 月 21 日深夜，而公告則在 9 月 28 日發布。在公告前收到的訊息，同樣需要相同的謹慎。
若你在 9 月下旬之後，因為一則自稱飯店的訊息而輸入過卡片資料，即使已過了一段時間，也請現在就聯絡發卡銀行。
本站觀點：判斷訊息真偽，應看付款要求的方式，而非飯店名稱是否正確
住宿訂房後，付款方式幾乎不會改變，付款條件都寫在訂房確認書上。
無論訊息對訂房內容描述得多準確，只要它要求付款卻不在確認書所載的範圍內，或要求重新輸入卡片資料，單憑這一點就足以拒絕。無論訊息是透過哪個應用程式或以哪種語言送達，這項原則都同樣適用。
給經營住宿業者的人
該公司要求飯店做的事
更改 TEMAIRAZU 的登入密碼
作為預防措施，該公司要求飯店更改 TEMAIRAZU 的登入密碼。若你在其他管理畫面（訂房網站後台、電子郵件等）也使用相同密碼，請一併更改。
在管理畫面檢查是否有你不認得的登入或變更
若你發現管理畫面出現不認得的登入，或登錄內容遭到非預期的變更，該公司要求你立即與其聯絡。
該公司也要求各訂房網站與連線的合作對象，檢查是否有不認得的登入、帳號或權限的非預期變更、收款銀行帳戶等登錄資訊的非預期變更，以及可疑訊息或操作紀錄。你的住宿設施若使用各訂房網站的後台，同樣檢查這四點會更穩妥。
讓旅客每次都得到同樣的答覆
該公司要求飯店，在旅客詢問時告知不要開啟訊息中的網址，也不要輸入個人資料或卡片資料。
為避免櫃檯與客服的說法不一，請先決定一句標準說法，例如「本館絕不會透過訊息要求您重新輸入卡片資料或付款」，並附上正確的聯絡方式。也可以透過訂房網站的訊息功能，事先告知即將入住的旅客，有助於減少損失。
向 Temairazu, Inc. 確認的事項
該公司的公告並未說明哪些飯店的哪些訂房在範圍內。為了向旅客說明狀況，並判斷法律上的程序，請向該公司確認以下事項：
- 你的住宿設施的訂房是否在範圍內，若在，期間與筆數為何
- 已公布的項目中，哪些實際適用於你的設施訂房
- 你的設施過去是否使用過該安裝型產品，該軟體或其連線設定是否仍然存在
- 該公司已向個人資訊保護委員會通報到什麼程度，以及你的設施是否需要通報或通知旅客
向個人資訊保護委員會通報與通知旅客
根據日本個人資訊保護委員會（PPC）的說明，可能基於不正目的而發生的外洩（例如不正存取），無論人數多寡，都必須通報。時限的參考如下：
- 速報：知悉後儘速提出（約 3 至 5 日內）
- 確報：60 日內提出（若疑似基於不正目的；否則為 30 日內）
- 通知當事人：視情況儘速通知。若難以通知，可採用公布事件、設置諮詢窗口等替代措施
依 PPC 指引，若受委託的服務提供者通知委託其處理資料的業者，該服務提供者即免除通報義務，由委託業者通報。飯店或系統業者由誰通報，以及你的住宿設施是否在範圍內，取決於契約與事實情況。請根據上述問題的答案做判斷，若有疑慮，請諮詢 PPC。
本事件特有的檢查點：舊產品與連線是否仍然存在
根據飯店公告，原因是過去提供之安裝型產品的部分功能。該功能位於何處尚未公開，但任何設施都可能仍保留著自以為已不再使用的舊軟體，或其相關的連線設定。
- 列出所有處理訂房或旅客資料的系統，並為每一個記錄：目前版本、由誰管理，以及是否仍保留舊版本或整合功能
- 在與供應商確認後，解除安裝不再使用的舊產品，並關閉相關帳號與連線
- 若可用，為管理畫面登入開啟多重要素驗證，並將共用帳號改為個人帳號（以便從登入紀錄看出是誰進行的操作）
另一項教訓與偵測有關。這次的異常，最初是以旅客向飯店詢問可疑訊息的方式浮現。請事先決定：旅客回報「自稱是你飯店的可疑訊息」，不應只當作個別客訴處理，而應直接轉交系統供應商。
若想了解另一起飯店旅客資料外洩的案例，請參閱 澳洲 Quest Apartment Hotels 的外洩事件；若想了解供應商系統遭入侵時客戶可如何應對，請參閱 當你的網站主機供應商遭入侵時。
資料來源（公開紀錄）
本文的事實依據以下公開資訊。未公布的項目、數字與入侵手法，本文不做推測。
- Temairazu, Inc.，關於可疑訊息與本公司系統遭不正存取之致歉與公告（2026 年 9 月 28 日，日文）— temairazu.co.jp
- Temairazu, Inc.，「Notice and Apology Regarding Suspicious Messages and Unauthorized Access to TEMAIRAZU」（2026 年 9 月 29 日，英文）— temairazu.co.jp
- Temairazu, Inc.，關於不正存取的第二次報告（2026 年 10 月 7 日，日文）— temairazu.co.jp
- Temairazu, Inc.，「Update on Unauthorized Access to Our Systems and Our Response (Second Report)」（2026 年 10 月 8 日，英文）— temairazu.co.jp
- Temairazu, Inc.，關於本公司系統遭不正存取調查狀況及其因應之適時揭露（2026 年 10 月 9 日，日文）— temairazu.co.jp
- 飯店公告範例（原因、9 月 26 日的修復、不正存取日期、看到假訊息的訂房條件）：Hotel Grand Hill Ichigaya（2026 年 9 月 29 日，日文）— ghi.gr.jp
- 飯店公告範例（10 月 5 日的日文詐騙訊息）：Super Hotel（2026 年 10 月 5 日更新，日文）— superhotel.co.jp
- 個人資訊保護委員會，「洩漏等事件的因應與參考資料」（日文）— ppc.go.jp
- 個人資訊保護委員會，《個人資訊保護法指引（通則篇）》第 3-5 節，關於外洩通報與對當事人的通知（日文）— ppc.go.jp
更新紀錄
2026-10-22：在「延伸閱讀」中，註明 Commune 事件的 166,505 人為按社群計算的人數。
2026-10-11：依官方公告重新核對事實。飯店公告中的條件（9 月 21 日前成立、住宿日為 9 月 21 日（含）之後、訂房者使用 WhatsApp）是觀察到假訊息的訂房條件，並非外洩範圍，因此已修正文字（該公司尚未公布範圍）。新增已確認的不正存取僅限於 9 月 21 日（飯店公告）。將訊息管道與第一次公告一致化（WhatsApp 等即時通訊軟體、電子郵件、簡訊及其他）。
2026-10-10：反映該公司 10 月 9 日的適時揭露：涉及人數最多約 445 萬人、9 月 24 日的部分功能暫停與當日恢復、委託外部資安機構調查，以及對業績的影響（尚無法估算），已在標題、正文與表格中呈現。飯店家數與入侵手法仍未公布。
2026-10-09：反映該公司第二次報告（10 月 7 日；英文版 10 月 8 日）：可能遭取走的七項資訊、該公司未保存的資訊（訂房網站登入憑證），以及假訊息所用的理由（提前辦理入住、維持訂房有效）。數字與入侵手法仍未公布。
2026-10-07：重新確認官方公告（無更新）。新增「已知與未知」表格、10 月 5 日的日文詐騙訊息，以及飯店的通報與通知程序。由於該公司尚未公布外洩項目，項目描述已限縮為該公司公告的範圍。
2026-10-03：初版，依據 Temairazu, Inc. 9 月 28 日（日文）與 9 月 29 日（英文）的公告，以及使用該系統的飯店公告撰寫。
延伸閱讀
- 相同類型的詐騙：Booking.com 訂房資料外洩事件 ／ 什麼是網路釣魚？
- 其他住宿業案例：Quest Apartment Hotels（澳洲，信用卡與護照號碼）
- 旅遊訂房網站案例：skyticket（Adventure Inc.）遭入侵事件（訂房資料與密碼）
- 供應商遭入侵時：當你的網站主機供應商遭入侵時
- 透過供應商外洩聯絡資訊的案例：JR 東日本、VIEW Card 與 JR 九州電子郵件地址外洩
- 透過單一供應商外洩多家公司會員資料的案例：Commune 不正存取事件（166,505 名社群成員，按社群計算）
- 保護你的帳號：如何選擇多重要素驗證 ／ 如何選擇密碼管理工具
- 2026 年其他事件：資料外洩與網路攻擊事件一覽（日本與全球）