要点
- ふるさと納税サイト「ふるさとチョイス」が不正アクセスを受け、会員の氏名・メールアドレス・住所・電話番号など445万4097件が外に漏れた。
- 漏れた情報には、ふるさと納税でいくらまで控除を受けられるかの試算額も入っている。
- 2026年11月6日12時にWeb版から寄附の受付を再開する。全会員のパスワードは無効になり、使うには新しいパスワードの設定が要る。
何が起きたか
運営するトラストバンクの発表によると、流れは次のとおりだ。
- 10月17日（土）: 不正アクセスがあった。
- 10月19日（月）: いつもと違うアクセスに気づいて調べ、不正アクセスを確かめた。15時50分にふるさとチョイスの関連サービスを止めた。
- 10月20日: 会員情報4,454,097件の流出を公表した。同じ日に個人情報保護委員会へ報告し、10月21日に警察へ相談した。
- 10月23日（第2報）: このうち5人は、ほかの項目も漏れていたと発表した。ポイントや寄附の履歴、生年月日、クレジットカードの下4桁・名義・有効期限（2人）などだ。
- 11月5日（第5報）: 11月6日12時から、Web版で寄附の受付を順に再開すると発表した。
第1報によると、漏れたのは6つの項目だ。連絡先にあたる氏名・住所・電話番号・メールアドレスの4つに、寄附控除の試算額と、ハッシュ化（元のパスワードに戻しにくい形に変えること）をしたパスワードが加わる。
試算額について、気になるのはその元になった数字だろう。寄附者向けの FAQ の説明では、外に出たのは計算の答えだけで、シミュレーションに打ち込んだ年収や家族構成は、漏れたと確かめられていない。カードの情報が漏れた2人については、漏れた下4桁・名義・有効期限だけで決済されることはないと、トラストバンクは説明している。
どこから入られたかは、発表されていない。第1報（10月20日）の時点で、トラストバンクは原因と影響の範囲を調べているとしていた。第5報には、原因調査がどこまで進んだかは書かれていない。
日本の利用者への影響
漏れた件数は445万4097件にのぼる。控除の試算額は、おおまかな収入の手がかりになりうる。名前・住所・電話番号・メールアドレスとそろって漏れたので、本人に合わせた偽の連絡が作りやすくなる。
再開の範囲は限られている。
- 11月6日12時から再開: ふるさとチョイスの Web 版
- 再開の時期は未定: アプリ版、電子ポイントでお礼の品を受け取る「チョイスPay」
- 再開済み: 自治体や事業者が使う寄附の管理システム（10月26日から）、提携先のサイトの中で申し込みから支払いまで済むしくみ（10月28日から順に）。提携先のサイト経由の寄附では、個人情報の流出は確かめられていないという。
すでに寄附をした人にも影響は残る。止まっていた自治体側の処理が動き出したばかりなので、FAQ は、お礼の品が出るのも届くのも遅れることがあるとしている。ワンストップ特例（確定申告なしで控除を受ける手続き）の申請などは、いつ再開するかがまだ決まっていない。年末に寄附や手続きをする人は、公式のお知らせを見ておきたい。
今すぐやること
- 自分が対象かをメールで確かめる。 トラストバンクは10月21日から、会員ごとに流出の有無と漏れた項目をメールで送っている。届かない・分からないときは、窓口（toiawase@trustbank.co.jp）に聞く。
- ほかのサービスのパスワードを変える。 同じメールアドレスとパスワードをほかでも使っているなら変えるよう、トラストバンクが呼びかけている。変えたあとは、サービスごとに別のパスワードにする。
- ふるさとチョイスのパスワードは、自分で公式サイトを開いて設定し直す。 11月6日12時以降、ログインのときに新しいパスワードを決める。dアカウント・Amazon・Google・LINE などのほかのサービスの ID だけでログインしている人は、設定し直さなくてよい。ID とパスワードでのログインも使っているなら、設定し直す。
- ふるさと納税や自治体を名乗る連絡を疑う。 トラストバンクは、同社や関係先を装ったメール・SMS・電話・郵便物に気をつけるよう呼びかけている。メールや SMS のリンクや添付ファイルは開かない。「パスワード再設定」「控除の手続き」「お礼の品の再送」などをうたうものは特に気をつける。
- カードの明細を見る。 カードの情報が漏れたと発表されたのは2人だが、心当たりのない請求がないかを、ときどき確かめると安心だ。
背景
ふるさと納税サイトには、名前・住所・電話番号に加え、寄附の額や控除の試算額のような、お金にかかわる情報が集まる。漏れた本物の名前や住所が入った偽の連絡が来ても、それだけで本物と思わないことが大事だ。
侵入の入口や、なぜ445万件にまで広がったかは、まだ発表されていない。第5報は、再開を決めた理由として、外部の専門機関の手を借りて安全対策を確かめたことを挙げる。再発を防ぐ手としては、システムの監視を強めることと、点検・改善を続けることの2つを示している。
技術者向けの詳細
- 運営: 株式会社トラストバンク。発表は第1報（10/20）、第2報（10/23）、第3報（10/26）、第4報（10/28）、第5報（11/5）。
- 件数: 4,454,097件（第1報。今後変わる可能性があるとしている）。
- 漏れた項目（6つ）: 個人を特定できる情報4つ（氏名・住所・電話番号・メールアドレス）、パスワードのハッシュ値、寄附控除の試算額。ハッシュの方式やソルトの有無は公表されていない。
- 第2報で追加: 5人について、ポイント履歴（5人）、寄附履歴（2人）、カードの下4桁・名義・有効期限（2人）、生年月日（2人）、送付先（1人）、住所の一部（1人）。第2報の注記によると、これらのカード項目はトラストバンクのシステムには置かれず、マイページの保存済みカードの画面を開くたびに決済代行会社から読み込まれる。2人分は、第三者がこの画面を開いたことが確かめられた。
- 侵入経路・脆弱性: 第1報は、不正アクセスで見つかった脆弱性への対応を、外部の専門家と一緒に詳しく調べるとしている。詳細は未公表。
- 対応: 全会員のパスワードを無効にした。ID とパスワードでログインする会員は、11月6日12時以降にメールで再設定する。同じメールアドレスで複数の ID がある場合は ID ごとに必要。ほかのサービスの ID（dアカウント・Amazon・Google・LINE など）だけでログインしている会員は不要。
- 組織で注意すること: 会社のメールアドレスで登録した社員がいれば、漏れた情報を使った標的型のフィッシングに気をつける。同じパスワードの使い回しによる不正ログイン（リスト型攻撃）も見ておきたい。
