本文へ
無料診断

HACKING CASE ・ 調査中 ・ 2026年10月29日の公式発表（追記）時点

root@se-curity:~/hacking$ cat ./jirei/fines.md

ファインズの不正アクセス（2026年9月公表）

株式会社ファインズ ・ 動画・DX支援と、店舗向けの予約システム

予約システム「いつあき」「TSUNAGU」に不正アクセス。店舗・施設の予約者情報1,536,322件が漏えい

  • ソフトの弱点
  • 委託先への攻撃
  • 個人情報の漏えい
  • 予約内容の漏えい
  • 1,536,322件漏えいした予約者の情報（人数とは一致しないことがある）
  • 9月21〜22日不正アクセスが行われた日
  • 10月19日予約者へのメールでの連絡を始めた日
01
CHECK FIRST

まず、ここだけ確認

使っていた人が、いますぐやること

  1. 1
    店や施設を予約したことがある人

    ファインズからのメールが届いていないか確かめる。問い合わせは同社の専用フォームから

  2. 2
    全員

    会社や店を装う連絡で、パスワード・認証コード・カード番号を求められても応じない。リンクを使わず、公式サイトで確かめた窓口に問い合わせる

  3. 3
    マイページを使っていた人

    同じパスワードをほかのサービスで使っていれば、そのサービスのパスワードを変える

  4. 4
    予約システムを使っていた店舗・施設

    連名報告に加わるか、自分で報告するかを決める（自分でするときは10月31日を目処に連絡）

被害にあっているときの手順を見る →
漏れた可能性がある情報

1,536,322件（予約データのお客様IDの数。人数とは一致しないことがある）

含まれていないもの

クレジットカード番号とマイナンバー（予約データにその項目がない）

02
HOW THEY WERE HACKED

どんなハッキングをされた？

ひとことで

2026年9月、ファインズは、店舗や施設に提供している予約システムに第三者の不正アクセスがあり、予約者の情報が漏えいしたと発表しました。プログラムの入力処理の不備（作りの弱点）が悪用され、不正に作られた管理者用のアカウントで予約データが取られています。対象は1,536,322件で、氏名・電話番号・メールアドレスと、どの店で何をいつ予約したかが含まれます。すでに契約を終えた店の、過去の予約データも対象になりました。

1
ファインズ ・ 予約システム「いつあき」「TSUNAGU」入力処理の不備を悪用した不正アクセス
脆弱性とは →
  1. STEP 1入力処理の不備

    予約システムのプログラムの入力処理の不備を悪用された

  2. STEP 2管理者アカウント

    不正に作られた管理者用のアカウントが使われた

  3. STEP 3予約データを取る

    予約者の氏名・電話番号・メールアドレスと予約内容が取られた

  4. STEP 4監視で気づく

    9月22日早朝、運用保守会社の監視で異常に気づき、通信を遮断

くわしい内容を見る ↓
03
DETAILS

くわしい内容

1
ファインズ

予約システム「いつあき」「TSUNAGU」

手口9月21日から22日にかけて、予約システムのプログラムの入力処理の不備が悪用されました。不正に作られた管理者用のアカウントで、予約データが取られています。アカウントがどうやって作られたかと、被害の範囲のくわしいことは調べている途中です。

発生
9月21日〜22日
発覚
9月22日早朝。運用保守会社の監視で異常を検知し、同じ日に攻撃元の通信を遮断
公表
9月25日（速報）。10月29日の追記でシステム名を公表
対象
1,536,322件（予約データのお客様IDの数。人数とは一致しないことがある）
漏えいを確認した情報
氏名、電話番号、メールアドレス、予約内容（店舗・施設名、担当スタッフ名、メニュー名、予約日時、予約番号、料金・割引など）、顧客名の欄に書かれていた情報
漏えいのおそれ（調査中）
住所、生年月日、性別、マイページのログイン情報、顧客メモ、予約フォームの追加項目、契約者と管理画面の利用者の情報
含まれないもの
クレジットカード番号とマイナンバー（予約データにその項目がない）
契約を終えた店
過去の予約データも対象（例：ある猫カフェでは2020年1月8日〜2025年1月31日の予約）
04
TIMELINE

時系列

  1. 予約システム

    入力処理の不備を悪用した不正アクセス。予約データが取られる

  2. 予約システム

    早朝に監視で検知。攻撃元の通信を遮断し、不正なアカウントのパスワードを変える

  3. 予約システム

    速報を公表。個人情報保護委員会に速報を出す

  4. 契約している店舗・施設

    契約が終わった店も含め、対象の契約先にメールで報告

  5. 利用していた店

    契約を終えていた猫カフェが、自分の店の対象期間を公表

  6. 予約者

    専用の問い合わせフォームを設け、予約者にメールで順に連絡を始める

  7. 予約システム

    公式ページに追記。システム名と、契約者・予約者への案内文を掲載

05
RESPONSE

会社の対応と補償

遮断

攻撃元の通信を遮断し、不正に作られたアカウントのパスワードを変えた

調査

弁護士と連携して調べている

個別の連絡

契約先（契約が終わった店を含む）に報告し、予約者にメールで連絡。届かない人には電話・郵送も検討

専用フォーム

契約者向けと予約者向けの問い合わせフォームを設けた

連名報告

委託元の店にも報告の義務があるため、ファインズがまとめて報告する「連名報告」を案内

管理画面のパスワード

店舗・施設の管理画面のパスワードを、ファインズが再設定する

06
PROTECT YOUR COMPANY

同じことを自社で防ぐには

起きたことプログラムの入力処理の不備を悪用された自社でできる対策公開しているシステムを定期的に診断する脆弱性診断 →起きたこと不正な入力を止められなかった自社でできる対策WAFで、不正な入力を入口で止めるWAF →起きたこと契約を終えた店の過去の予約データも漏れた自社でできる対策契約を終えるときのデータ消去と、事故のときの連絡を契約で決める取引先・委託先の対策 →起きたこと運用の監視で異常に気づき、その日に遮断した自社でできる対策見張りを続け、異常のときの手順を決めておくSOC・MDR →
自社のセキュリティレベルを無料で診断する（18問・3分）
07
ABOUT THE COMPANY

どんな会社？

「Videoクラウド」「F-Learning」「Raise」「DXコンサルティング」「TSUNAGUシステム」などのサービスを提供している会社です。今回の事故は、店舗や施設に提供している予約システムで起きました。

事業

  • Videoクラウド
  • F-Learning
  • Raise
  • DXコンサルティング
  • 予約システム（TSUNAGUシステム）
会社名
株式会社ファインズ
創業
2009年5月8日
本社
東京都港区芝浦1-2-1 シーバンスＮ館 19F
代表者
代表取締役社長 三輪 幸将
資本金
235,943千円
決算期
6月

出典：会社の公式サイト「会社概要」

＋
READ MORE

くわしい記事

2026年9月25日予約システム「いつあき」「TSUNAGU」に不正アクセス。店舗・施設の予約者情報153万6,322件が漏えい
08
SOURCES

出典

  1. ファインズ「会社概要」
  2. ファインズ「弊社システムへの不正アクセスによる情報漏えいについてのお詫びとお知らせ【速報】（2026年10月29日追記済）」（2026年9月25日）
  3. 猫カフェ 猫ちゃんといっしょ「【重要】旧予約システムにおける個人情報漏えいに関するお詫びとお知らせ」（2026年10月17日）

このページは、会社の公式発表と適時開示だけをもとに作っています（2026年10月29日の公式発表（追記）時点、2026年11月4日更新）。被害を受けた会社を責めるものではありません。誤りに気づいたらお問い合わせからお知らせください。

← ハッキング事例図鑑の一覧へ

何から始めればいいか分からないときは

ボタンを押すだけ、URLを貼るだけの無料診断

無料診断を見る →