【10月20日続報を反映】ふるさとチョイスの会員情報4,454,097件が、第三者による不正アクセスで外部に流出したことが確認されました。トラストバンクが2026年10月20日に公表しています。前日の「不正アクセスの疑いでサービス停止」から、情報流出の確認へと状況が変わりました。
利用していた方が先に行いたいのは、同じメールアドレスとパスワードを使っている別サービスのパスワード変更です。ふるさとチョイスの再開を待たず、使い回し先で対応できます。
流出した情報、利用者の対応、サービス停止と寄付への影響を整理します。10月20日の公式続報をもとに更新しました。
ふるさとチョイスの個人情報流出｜何が確認された？
| 対象 | ふるさとチョイスの会員情報 |
|---|---|
| 確認された件数 | 4,454,097件（445万4,097件） |
| 情報の項目 | 氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額 |
| 不正アクセス | 2026年10月17日 |
| 異常の把握 | 10月19日に通常と異なるアクセス傾向を把握 |
| サービス停止 | 10月19日15時50分に関連サービスを停止 |
| 再開時期 | 10月20日発表時点では未定 |
流出した事実は確認されていますが、件数と情報の項目は調査途中の数字です。公式発表では、今後の調査で変動する可能性があるとしています。「最終的な被害が445万件で確定した」という意味ではありません。
利用者が今すぐ行うこと
- 使い回し先のパスワードを変更する。ふるさとチョイスと同じメールアドレス・パスワードの組み合わせを使っているサービスを確認し、それぞれ別のパスワードへ変更します。
- メールやSMSのリンクから再認証しない。トラストバンクや関係先を装う連絡に注意し、公式サイトを直接開いて案内を確認してください。心当たりのない添付ファイルも開かないでください。
- 電話・郵便による連絡にも注意する。氏名や住所を知っている相手でも、その情報だけで公式窓口とは判断できません。
上記は公式の注意喚起に沿った対応です。問い合わせ窓口として、トラストバンクは toiawase@trustbank.co.jp を案内しています。
パスワードや年収、カード情報はどうなった？
パスワードはハッシュ化された状態で流出したと公表されています。入力した文字列がそのまま流出したという発表ではありません。ただし、「ハッシュ化されているから対応不要」とせず、公式が求める使い回し先の変更を進めてください。
また、流出項目には寄附控除試算額が含まれます。これは寄付に関する試算の情報です。10月20日の発表では年収・家族構成そのものは流出項目として挙げられておらず、「年収がそのまま流出した」とは書かれていません。
クレジットカード番号も、同発表の流出項目には挙がっていません。ただし、この記載だけで「カード情報の流出は一切ない」と断定することはできません。個別の対象確認方法や、攻撃に使われた脆弱性の詳しい内容も、同発表では示されていません。
実際にアクセスするとサービス停止のお知らせが表示
筆者も実際にふるさとチョイスへアクセスしたところ、通常のページに代わり、サービスの一時停止を知らせる画面が表示されました。以下は、その際に撮影したスクリーンショットです。
このスクリーンショットは10月19日時点の案内です。その後、10月20日の公式続報で個人情報の流出が確認されました。
JRE MALLふるさと納税でも一部の寄付申し込みに影響
影響は連携先にも出ています。JRE MALLふるさと納税は10月19日16時現在、ふるさとチョイスとデータ連携する一部自治体の返礼品で、寄付を申し込めないと案内しています。
- 連携対象の返礼品：寄付申し込みができない
- 連携対象ではない返礼品：通常どおり申し込み可能
- 対象返礼品の受付再開：未定
同サイトは、今回の事象についてJRE MALLふるさと納税が不正アクセスを受けたものではないと明記しています。サイト全体ですべての寄付が止まっているわけではありません。JRE MALLふるさと納税の公式案内
申し込み済みの人は何を確認すればいい？
10月20日の続報だけでは、完了済みの寄付、返礼品の配送、寄付履歴の閲覧、申請関連機能への影響までは分かりません。サービス停止だけを理由に、寄付が取り消された、配送されなくなったと判断することはできません。
以下は公式の復旧手順ではなく、手続きの状況を確認するための一般的な対応です。
- 確認メールを保管する。寄付先、申し込み日時、受付番号、金額が分かるメールを残しておきます。
- 決済履歴を確認する。完了したか分からないときは、同じ寄付を申し込み直す前にメールやカード等の履歴を確認します。決済履歴だけで手続き全体の完了を判断せず、不明点を問い合わせる際の記録にしてください。
- 急ぎの用件は公式窓口へ確認する。配送や手続き期限が気になる場合は、手元の案内にある寄付先自治体などの公式窓口で確認してください。
- 復旧案内は公式サイトで確認する。メールやSMSで「再認証」「返金」などを求められても、そのリンクから認証情報を入力せず、公式のお知らせを直接確認します。
10月5日のAmazon Pay関連の情報漏えいとの違い
10月5日の発表は、Amazon Payを使った寄付手続きで、別の利用者の申込情報が画面に表示される可能性があったというものです。トラストバンク側の申込情報の復元処理に不具合があり、修正を完了したと説明されています。
今回の不正アクセスとの関連は、確認した公式発表では示されていません。10月5日の「カード番号の漏えいはない」という説明を、そのまま今回の不正アクセスの説明に当てはめないようにしてください。10月5日の公式発表
復旧はいつ？再開と追加調査の確認先
10月20日の公式続報では、サービスの再開時期は未定です。安全性を確認したうえで決めるとしており、外部専門家と調査・対策を進めています。個人情報保護委員会への報告は10月20日に完了し、警察への被害申告は10月21日に行う予定と説明しています。
利用者はまず、使い回し先のパスワード変更と、不審な連絡への警戒を進めてください。再開日時や対象者への案内は、トラストバンクの公式ニュースルームで確認できます。
更新内容：10月20日の公式続報を反映。初報の「情報漏えい未確認」を修正し、流出件数・情報項目・利用者への注意喚起を追加しました。停止画面は10月19日の筆者撮影、イラストは説明用です。
