トラストバンクに不正アクセス｜ふるさとチョイスの約445万件が流出

ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは2026年10月20日、不正アクセスにより寄附者の情報が外部に流出したと公表しました。 流出が確認できたのは4,454,097件で、不正アクセスは10月17日にあったとしています（トラストバンクの発表）。 ふるさとチョイスで寄附をした人と、同じメールアドレスとパスワードを他のサービスでも使っている人に関係します。

公表された内容

• 時期：2026年10月17日に不正アクセスがあり、10月19日にふだんと違うアクセスの傾向に気づいて確かめたとしています
• 件数：4,454,097件（2026年10月20日の発表時点。今後の調査で変わる可能性があるとしています）
• 情報の種類：氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附金控除の試算額
• クレジットカードの情報：発表では触れられていません
• 原因：侵入の経路は公表されていません。見つかった脆弱性への対応を進めているとしています
• 二次被害：発表では触れられていません

経緯

• 2026年10月19日：不正アクセスの疑いがある事象を検知したとして、15時50分にふるさとチョイスの関連サービスを止めたと公表
• 2026年10月20日：寄附者の情報の流出を公表。同日に個人情報保護委員会へ報告

会社の対応

• ふるさとチョイスの関連サービスを止めたまま、安全を確かめてから再開の時期を知らせるとしています
• 2026年10月20日に個人情報保護委員会へ報告し、10月21日に警察へ被害を申告する予定としています
• 監視の体制・情報の管理の体制を強めるとしています。寄附者向けにメールの問い合わせ窓口を設けています
• 利用者には、同じメールアドレスとパスワードを他のサービスで使っていれば変えること、トラストバンクや関係先を装った不審なメール・SMS・電話・郵便物に気をつけることを呼びかけています

中小企業が今日からできること

• 社員が会社のメールアドレスで外部のサービスに登録していないか確かめる：会社のアドレスと同じパスワードを使い回していると、他社での流出から自社のメールやクラウドに入られる。会社のアカウントのパスワードは使い回さないよう周知する
• 「ふるさと納税」「寄附金控除」を名乗る不審なメールに備える：流出した情報には控除の試算額も含まれるため、それらしい金額を書いたメールが届くおそれがある。リンクを開かず、公式サイトから確かめるよう社内に伝える
• ふだんと違うアクセスに気づける仕組みを置く：今回は「ふだんと違うアクセスの傾向」から気づいている。自社の会員サイトや EC サイトでも、大量のログインの失敗・短い時間の大量の読み出しで知らせが来るようにする
• 会員のパスワードの保管のしかたを確かめる：自社のサイトが会員のパスワードを平文で持っていないか、制作会社に確かめる。ハッシュ化に加え、ログインに多要素認証を使えるようにする
• 止める判断の手順を先に決める：疑いの段階でサービスを止められるよう、だれが止めるかと、取引先・利用者への知らせ方を先に決めておく