トラストバンクの不正アクセス 第2報｜5人の寄附履歴などの閲覧が判明

ふるさと納税サイト「ふるさとチョイス」への不正アクセスを公表していたトラストバンクが、2026年10月23日に第2報を出しました。 第1報の4,454,097件とは別に、寄附者5人について、ポイント履歴・寄附履歴・クレジットカードの一部の情報などが第三者に見られていたと分かったとしています（トラストバンクの2026年10月23日の発表）。 該当する5人には、同社から個別に連絡したとしています。

公表された内容

• 追加で分かった対象：寄附者5人（2026年10月23日の発表）。項目ごとの内訳は、ポイント履歴5人・寄附履歴2人・クレジットカードの情報（下4桁・名義・有効期限）2人・生年月日2人・送付先1人（重なりあり）
• カードの情報の扱い：カードの情報は同社のシステムに保存しておらず、マイページを表示するときに決済代行会社から毎回取り寄せる仕組みとしています。2人について、カードの情報を表示するページへの第三者のアクセスを確かめたとしています。発表では、この情報だけでカード決済はできないとしています
• 第1報の件数：4,454,097件の訂正は発表されていません
• 連絡：第1報の対象の会員には、2026年10月21日から順に個別のメールを送っているとしています
• 原因・侵入経路・サービスの再開・再発防止策：第2報では公表されていません

経緯

• 2026年10月19日：不正アクセスの疑いを検知し、15時50分にふるさとチョイスの関連サービスを止めたと公表
• 2026年10月20日：10月17日の不正アクセスで寄附者の情報4,454,097件が流出したと公表。同日、個人情報保護委員会へ報告
• 2026年10月21日：対象の会員へ個別のメールを順に送り始めた
• 2026年10月23日：第2報。寄附者5人について、ポイント履歴・寄附履歴・カードの一部の情報などが見られていたと公表

中小企業が今日からできること

• 会員のマイページで見られる情報を洗い出す：自社の会員サイトでログインすると何が表示されるか（購入履歴・住所・カードの下4桁など）を一覧にし、要らない項目は表示しないようにする
• カードの情報を自社で持たない形を保つ：決済代行会社に預ける形（カードの情報を自社のサーバーに残さない形）になっているか、EC サイトの制作会社に確かめる
• ページごとのアクセスの記録を取る：今回はどのページが見られたかまで追えている。会員サイトでも、だれがどのページを開いたかを記録して残す期間を決める
• 社員が会社のアドレスで登録したサービスのパスワードを変える：ふるさとチョイスを会社のアドレスで使っていれば、同じパスワードを使っている会社のアカウントのパスワードを変える
• ふるさと納税を名乗る連絡に注意する：寄附履歴やカードの下4桁を書いた、それらしいメール・SMS・電話が来るおそれがある。リンクを開かず、公式サイトから確かめるよう社内に伝える