トラストバンク「ふるさとチョイス」の不正アクセス(2026年10月公表)
結論から
- ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは、2026年10月17日に不正アクセスを受け、会員情報4,454,097件が流出したと10月20日に公表しました。項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額です。
- 10月23日の第2報で、うち5名はポイント履歴や寄附履歴なども流出し、2名はクレジットカードの下4桁・名義・有効期限が見られていたと公表しました。全会員の現在のパスワードは無効化されています。
- 自治体・事業者向けの寄附管理システムは10月26日、提携先サイトとの連携システムは10月28日に再開しました。寄附者向けサイトは停止が続き、侵入経路は公表されていません(2026年10月30日時点)。
概要
- 公表日
- 2026年10月20日
- 発生
- 2026年10月17日
- 検知・発覚
- 2026年10月19日
- 最新の公表
- 2026年10月28日
- 組織・業種
- トラストバンク「ふるさとチョイス」(ふるさと納税ポータル / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- 会員情報4,454,097件(氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額)。うち5名は、ポイント履歴(5名)、寄附履歴(2名)、クレジットカードの下4桁・名義・有効期限(2名)、生年月日(2名)なども流出(第2報、2026-10-23)
- 業務への影響
- 2026-10-19 15:50に関連サービスを停止。自治体・事業者向けの寄附管理システムは10-26、提携先サイトとの連携システムは10-28に再開。寄附者向けサイトなどは停止が続いている(2026-10-30時点)
- 行政の対応
- 2026-10-20に個人情報保護委員会へ報告。10-21に所轄の警察署へ被害届の相談
- 手口
- 不正アクセス(経路未公表)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
会社・サービス別の影響と復旧状況(2026年10月28日の第4報時点(10月30日に確認))
| 会社・サービス | 止まったもの | 2026年10月28日の第4報時点(10月30日に確認)の状況 |
|---|---|---|
| 寄附者向けサイト(ふるさとチョイス) | 2026-10-19 15:50 | 停止中。安全対策と検証を進めており、再開時期は決まり次第知らせるとしている。全会員の現在のパスワードは無効化され、再開後に再設定する [6] [5] |
| 寄附管理システム(自治体・お礼の品の取扱事業者向け) | 2026-10-19 15:50 | 10月26日から順次再開。寄附受付の確認や発送手配が進むが、お届けに遅れが出る可能性がある。新たな寄附の受付ではない [4] |
| 提携先サイトとの連携システム(提携先内で申し込みから決済まで完結するもの) | 2026-10-19 15:50 | 10月28日に再開。各提携先での寄附受付は、提携先の準備に合わせて順次再開。これらのサイト経由の寄附で個人情報の流出は確認されていない [6] |
経緯
-
「ふるさとチョイス」の会員情報に第三者による不正アクセスがあった(10月19日の確認で判明) [2]
-
通常と異なるアクセス傾向を把握して確認し、10月17日の不正アクセスと会員情報の流出が分かった。15時50分に関連サービスを停止し、不正アクセスの疑いによる一時停止を告知 [1]
-
会員情報4,454,097件の流出を公表。同日、個人情報保護委員会に報告した [2]
-
全会員に、流出の有無と項目を知らせる個別メールを順次送り始めた。所轄の警察署に被害届の相談をした [5]
-
第2報。5名について、ポイント履歴・寄附履歴・カード情報の一部などの追加の流出が分かったと公表し、対象者に個別に連絡 [3]
-
第3報。自治体や事業者が使う寄附管理システムを順次再開。新たな寄附の受付ではないと説明。同日、寄附者向けのよくある質問を公開 [4]
-
第4報。提携先サイト内で申し込みから決済まで完結するサービスとの連携システムを再開。寄附者向けサイトなどは停止を継続 [6]
侵入経路と原因
侵入経路は未公表です。会社は「第三者による不正アクセス」とし、不正アクセスで検知した脆弱性への対応と詳細な調査を、外部の専門家・専門機関の協力を得て進めているとしています(2026年10月30日時点)。
どの機能から会員情報が取得されたかも公表されていません。第2報では、2名について、マイページの保存済みカード情報を表示するページへの第三者のアクセスが確認されたとしています。
影響
流出したのは会員情報4,454,097件で、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額です。会社は、件数と項目は今後の調査で変わる可能性があるとしています。
寄附控除試算額は、シミュレーションで計算された控除上限の試算額です。シミュレーションで入力した年収や家族構成は、流出が確認されていません(よくある質問、2026年10月26日)。
第2報では5名について、ポイント履歴(5名)、寄附履歴(2名)、カードの下4桁・名義・有効期限(2名)、生年月日(2名)などの流出が分かりました。カード情報は決済代行会社から表示のたびに取得する仕組みで、会社のシステムには保存していません。会社は、この情報だけで決済はできないとしています。
業務への影響として、10月19日から関連サービスが止まりました。寄附管理システムの再開後も、お礼の品の発送に遅れが出る可能性があります。提携先サイトで申し込みから決済まで完結した寄附では、個人情報の流出は確認されていません。
会社の対応と再発防止策
会社は流出の判明後に関連サービスを止め、外部の専門家・専門機関の協力を得て、事実関係と影響範囲の確認を進めています。セキュリティ対策、監視体制、情報管理体制を強化するとしています。
全会員の現在のパスワードを無効化しました。10月21日からは全会員に個別メールを送り、流出が確認された人には項目を、確認されていない人にはその旨を知らせています。
会員には、同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合、そちらのパスワードを変えるよう求めています。会社を装った不審なメール・SMS・電話・郵便物への注意も呼びかけています。問い合わせ窓口は toiawase@trustbank.co.jp です。
業務用のシステムから順に、安全対策の検証を終えたものを再開しています。流出した項目と件数、再発防止策は、確定次第知らせるとしています(2026年10月30日時点)。
この事案から学べること
- パスワードはハッシュ化されていましたが、会社は全会員の現在のパスワードを無効化しました。流出した時点で、ハッシュ化だけに頼らない対応が取られています。
- カード情報を自社で保存せず、表示のたびに決済代行会社から取得する仕組みでも、表示ページに第三者が入れば下4桁などは見られました。表示する画面も守る対象です。
- 寄附控除試算額のように、利用者が計算して保存した結果も流出の対象になりました。会員情報として何を保存しているかが、流出時の影響の範囲を決めます。
- 寄附者向けサイトを止めたまま、自治体・事業者向けの業務システムと提携先との連携を先に再開しました。止める単位と再開の順番が、業務への影響を左右しています。
- 流出の有無を全会員に個別メールで知らせ、流出が確認されていない人にもその旨を伝えています。同じアドレスで複数登録していると両方のメールが届くことも案内しました。
自社で確認すること
- 1 自社サービスで、計算結果や履歴など、氏名や連絡先以外にどんな項目を会員ごとに保存しているか一覧にしていますか?
- 2 外部の決済代行会社などから取得して表示する情報の画面にも、アクセスの制御と記録がありますか?
- 3 利用者向けのサイトを止めても、取引先が使う業務用のシステムを分けて再開できる構成と手順になっていますか?
関連する事案
- 2026年10月27日 ・ So-net ISPの会員データベースに不正アクセス。So-net会員214万1,986件、plala(Sコース)会員44万3,495件の情報が漏えい
- 2026年10月8日 ・ ローソン ローソンIDの情報を表示する仕組みに不正アクセス。215万5,345件の個人情報が漏えい
- 2026年10月22日 ・ カプコン ゲーム会員IDに不正アクセス。全世界1,177万4,247件のメールアドレスなどが漏えいし、196件はパスワードを不正に変更
- 2026年10月26日 ・ 楽天トラベル 旅行予約サイト2カ所に不正アクセス。海外ホテル予約のログイン利用者 最大約260万件などが対象に
よくあるご質問
- ふるさとチョイスから通知メールが届いたら、何をすればよいですか?
- トラストバンクは10月21日から全会員に個別メールを送り、流出が確認された人には項目を、確認されていない人にはその旨を知らせています。両方が届いた場合は、同じメールアドレスで複数の会員登録があるためです。同じメールアドレスとパスワードを他のサービスで使っていれば、そちらのパスワードを変えてください。会社を装った不審なメールやSMSのURLは開かないよう求めています。不明点は toiawase@trustbank.co.jp へ問い合わせてください(2026年10月30日時点)。
- ふるさとチョイスのパスワードは変えるべきですか?
- 会社は全会員の現在のパスワードを無効化しており、いまはログインできません。サービスの再開後に、新しいパスワードを設定するよう案内しています。会社も、会員が設定していたパスワードを確認できないとしています。同じパスワードを他のサービスで使っている場合は、先にそちらを変えてください。
- クレジットカード情報は漏れましたか?
- 第2報によると、2名について、カードの下4桁・名義・有効期限の流出が分かりました。対象の2名には個別に連絡しています。会社は、この情報だけで決済はできないとしています。それ以外の会員のカード情報の流出は確認されていません。カード情報は会社のシステムに保存しておらず、表示のたびに決済代行会社から取得する仕組みです。
- 控除額のシミュレーションで入力した年収や家族構成は漏れましたか?
- 流出が確認されたのは、シミュレーションで計算された控除上限の試算額だけです。入力した年収や家族構成などは、流出が確認されていません(寄附者向けのよくある質問、2026年10月26日)。
- 申し込んだ寄附のお礼の品や、ワンストップ特例の申請はどうなりますか?
- 自治体などが使う寄附管理システムは10月26日から順次再開しており、お礼の品の発送手続きが進みます。ただし、自治体やお礼の品によっては、お届けが遅れる可能性があります。ワンストップ特例の申請と確定申告の手続きは、再開の目処が決まり次第知らせるとしています(2026年10月30日時点)。
出典
- 不正アクセスの疑いに伴うサービス一時停止のお知らせ ↗ (株式会社トラストバンク、2026-10-19)
- 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ ↗ (株式会社トラストバンク、2026-10-20)
- 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ(第2報) ↗ (株式会社トラストバンク、2026-10-23)
- 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ(第3報)自治体様・事業者様向け管理システムの運用再開について ↗ (株式会社トラストバンク、2026-10-26)
- 不正アクセスによる個人情報流出に関するよくあるご質問(寄附者様向け) ↗ (株式会社トラストバンク、2026-10-26)
- 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ(第4報)提携先サイトとの連携システムの再開について ↗ (株式会社トラストバンク、2026-10-28)
- ふるさと納税の「ふるさとチョイス」、会員情報445万件流出 寄附控除試算額も ↗ (ITmedia NEWS、2026-10-20)
- 「ふるさとチョイス」に不正アクセス - 会員情報が流出 ↗ (Security NEXT、2026-10-21)