ふるさと納税サイト「ふるさとチョイス」で、会員の個人情報4,454,097件が外部に流出したことが分かりました。運営するトラストバンクと親会社のチェンジホールディングスが10月20日に発表しています。流出したのは氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額です。
10月19日の時点では「不正アクセスの疑い」でサービスを停止したとだけ発表されていました（10月19日の記事）。この記事では、10月20日の公式発表をもとに、流出の経緯と対象の情報、寄附者が今やるべき対応を整理します。サービスの再開時期は未定です。
何が起きたか（時系列）
トラストバンクによると、10月19日（月）に通常と異なるアクセス傾向に気づいて確認したところ、10月17日（土）に不正アクセスがあり、会員の個人情報が外部に流出したことが判明しました。同社は同日15時50分に「ふるさとチョイス」と関連サービスを停止しています。
| 日付 | 出来事 |
|---|---|
| 10月17日（土） | 第三者による不正アクセス |
| 10月19日（月） | 通常と異なるアクセス傾向を把握し、不正アクセスと情報流出を確認。15時50分に関連サービスを停止し、一時停止を告知 |
| 10月20日（火） | 個人情報保護委員会への報告を完了。18時に流出の詳細を公表。チェンジHDも適時開示 |
| 10月21日（水） | 所轄警察署へ被害を申告する予定 |
流出が確認された情報
対象は「ふるさとチョイス」に会員登録している寄附者の情報で、件数は4,454,097件です。流出が確認された項目は次の6つです。
- 氏名
- メールアドレス
- 住所
- 電話番号
- ハッシュ化されたパスワード
- 寄附控除試算額
件数と項目は現時点で確認できたもので、今後の調査で変わる可能性があると明記されています。クレジットカード情報や寄附の履歴については、今回の発表では触れられていません。
今回は、氏名・住所・電話番号という連絡先がひとそろい流出している点が重いところです。メールだけでなく、電話や郵便物を使った詐欺にも悪用されえます。トラストバンクも、同社や関係先を装った不審なメール、SMS、電話、郵便物への注意を呼びかけています。
「寄附控除試算額」は、ふるさと納税で控除を受けられる寄附額の目安を試算した金額とみられます。試算には年収などを入力するのが一般的なため、金額からおおよその収入水準を推し量られるおそれがあります（この段落は筆者の推測です）。
原因と今後の見通し
原因は外部の専門家の協力を得て調査中です。ただし、トラストバンクは「今回の不正アクセスによって検知した脆弱性」への対応を進めているとしており、システムの脆弱性が突かれたことがうかがえます。具体的な内容は公表されていません。
サービスの再開時期は未定で、安全性の確認状況を踏まえて決めるとしています。チェンジホールディングスは、2027年3月期の連結業績への影響を精査中と開示しました。調査で判明した流出項目や件数、再発防止策は、確定し次第公表される予定です。
寄附者が今やるべきこと
1. 同じパスワードを使っている他のサービスを変更する
「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そちらのパスワードを変更してください。トラストバンクも、不正ログインを防ぐためとして同じ対応を求めています。
パスワードはハッシュ化されていましたが、短いものや単純なものは、攻撃者が総当たりで割り出せる場合があります。どの方式でハッシュ化していたかは公表されていないため、使い回しがあれば変えておくのが無難です。二段階認証を使えるサービスは、あわせて設定しておくと安心です。
2. ふるさとチョイスを名乗る連絡はすべて疑う
住所や電話番号も流出しているため、メール・SMSだけでなく、電話や郵便物にも注意が必要です。「返礼品の発送確認」「寄附金の返金手続き」といった、ふるさと納税らしい口実が使われる可能性があります。
メールやSMSのURL、添付ファイルは開かず、個人情報やパスワードを入力しないでください。問い合わせは、公式発表に記載された窓口（toiawase@trustbank.co.jp）を自分で確認して使うようにします。
3. 年内の寄附は再開を待つか、別の方法も検討する
ふるさと納税は、1月1日から12月31日までの寄附がその年の控除の対象になります。「ふるさとチョイス」の再開時期が決まっていないため、年内に寄附を予定している人は、再開の発表を待ちつつ、間に合わない場合に備えて別の方法も考えておくと安心です。
公表内容から読み取れること（考察）
ここからは、公式発表をもとにした筆者の考察で、推測を含みます。
まず、発覚までに2日かかっている点です。不正アクセスは10月17日（土）で、気づいたのは週明けの19日（月）でした。「通常と異なるアクセス傾向」から見つけたとされており、休日をまたいで異常の検知が遅れた可能性があります。
次に、件数の大きさです。445万件という規模は、個々のアカウントへの不正ログインではなく、会員情報を保管する仕組みそのものから一括で持ち出されたことを示唆しています。同社が「検知した脆弱性」と表現していることとも合います。
最後に、公表の速さです。停止の翌日には件数と項目を示し、個人情報保護委員会への報告も終えています。年末に向けて寄附が増える時期のサービス停止は事業への影響が大きく、再開には慎重な安全確認が求められるため、停止がしばらく続く可能性があります。
関連記事
【10月19日】ふるさとチョイスが不正アクセスの疑いでサービス一時停止｜判明していることと注意点
2026年9月〜10月の情報漏洩まとめ
まとめ
「ふるさとチョイス」では、不正アクセスにより会員情報4,454,097件が流出しました。氏名・住所・電話番号・メールアドレスに加え、ハッシュ化されたパスワードと寄附控除試算額も対象です。原因は脆弱性とみられますが詳細は調査中で、サービス再開の時期も決まっていません。
会員の人は、同じパスワードを使っている他のサービスを変更し、ふるさとチョイスを名乗るメール・電話・郵便物に注意してください。件数や項目は今後の調査で変わる可能性があるため、トラストバンクの続報も確認しましょう。
出典
出典：トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」（2026年10月19日）
元記事URL：https://www.trustbank.co.jp/newsroom/news/news261019/
出典：トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日）
元記事URL：https://www.trustbank.co.jp/newsroom/news/news261020/
出典：チェンジホールディングス「当社連結子会社における不正アクセスによる個人情報の外部流出に関するお知らせ」（適時開示）（2026年10月20日）
元記事URL：https://ssl4.eir-parts.net/doc/3962/tdnet/2897073/00.pdf
コメント