不正アクセスによる「ふるさとチョイス」会員情報445万件の流出で、何が分かり、何が分かっていないのか

1はじめに

2026年10月20日、株式会社トラストバンクは、運営するふるさと納税サイト「ふるさとチョイス」で第三者による不正アクセスがあり、会員登録している寄附者の個人情報445万4097件が外部に流出したと発表しました。前日の19日15時50分から、ふるさとチョイスの関連サービスは止まっています。

ふるさとチョイスは、全国の自治体の返礼品を探して寄附を申し込める仲介サイトです。ITmedia NEWSによると、契約する自治体は1,700を超え（2024年10月時点）、掲載する返礼品は98万点以上にのぼります（2026年5月時点）。寄附者が氏名や住所を預けている先は、寄附先の自治体ではなく、このサイトを運営する民間企業です。

KEYRINGの速報（No.0264）では第1報の内容を伝えました。このレポートでは、10月23日の第2報、同じ年に公表された2つの事案、寄附を受ける自治体の告知、個人情報保護委員会の制度をあわせて読み、次の問いに答えます。

• 何が、いつ、どの順番で起きたのか
• 流出した情報には、どんな重さがあるのか
• 侵入の経路について、何が公表され、何が公表されていないのか
• 寄附を受ける自治体や、提携する他のサイトに何が起きたのか
• 寄附者と、個人情報を預かる企業は、いま何を確かめればよいのか

2発覚から公表までの経緯

不正アクセスは10月17日の土曜日に起きました。トラストバンクが通常と異なるアクセスの傾向に気づいたのは、週明けの19日です。同じ日の午後にサービスを止め、翌20日に流出を公表し、個人情報保護委員会への報告を終えています。第2報は3日後の23日でした。

不正アクセスから異常の把握までは2日、把握から公表までは1日でした。

第2報の5名は、第1報の445万4097件に含まれる会員です。件数が増えたのではなく、一部の会員について、流出した項目が増えました。調査が進むと、同じ人の情報でも、どこまで外に出たかの見え方が変わることを示しています。

19日の告知は「不正アクセスの疑い」にとどまり、流出を伝えたのは翌20日です。第2報の公表までに会員へのメールを始めており、会員は自分の情報が含まれるかを、メールで確かめられる形になりました。

3流出した情報と、その重さ

第1報で流出が確認されたのは6つの項目です。第2報では、5名について、ほかの項目も流出していたことが分かりました。

カードの情報は、表示のたびに決済代行会社から取っていた

第2報によると、マイページで保存済みのカードを表示するとき、カードの下4桁・名義・有効期限は、その都度、決済代行会社から取得して表示する仕組みでした。トラストバンクのシステムにはこれらを保存していません。2名については、このカード情報の表示ページに第三者がアクセスしていたことが確認されました。トラストバンクは、この情報だけでカード決済はできないとしています。

この記述からは、会員情報が外部に流出したことに加えて、少なくとも2名については、会員のマイページの画面にも入っていたことが分かります。どうやってマイページに入ったのかは公表されていません。

個人情報保護委員会は、報告が必要な事態の例として「クレジットカード番号を含む個人データ」の漏えいを挙げる一方、カード番号の下4桁と有効期限の組み合わせだけであれば、それだけで直ちに財産的被害のおそれがある事態には当たらないとしています。今回は、それとは別に、1,000人を超える本人の数という点で報告の対象に当たり、第三者の不正アクセスという点でも当たるとみられます（第9章）。

ハッシュ化されたパスワードは、変えなくてよいわけではない

パスワードはハッシュ化された形で保存されていました。ハッシュ化は、元のパスワードに戻せないように変換して保存する方法です。ただし、どの方式でハッシュ化していたか、パスワードごとに別の値（ソルト）を混ぜていたかは公表されていません。短いパスワードやよく使われるパスワードは、手元で総当たりに計算して突き合わせることで、元の値が割り出される場合があります。

トラストバンクが、ふるさとチョイスではなく「他のサービス」のパスワードの変更を求めているのは、このためと考えられます。ふるさとチョイスそのものは止まっており、再開の前にパスワードの扱いがどうなるかは発表されていません。4月の不正ログインは、他で漏れた認証情報を使うリスト型攻撃が疑われていました。今回流出したメールアドレスとパスワードの組み合わせが割り出されれば、同じ組み合わせを使っている他のサービスが、次の入口になります。

寄附控除試算額は、収入の目安になる

寄附控除試算額は、利用者がサイトで計算した、自己負担が2,000円に収まる寄附の上限額です（朝日新聞）。上限額は、その年の収入や家族構成によって決まります。試算額が氏名・住所・電話番号と結び付いて外に出たことで、受け取った側は、その人のおおよその収入の水準を推し量れます。

収入の見当がつく名簿は、投資や副業をかたる勧誘、税の還付をかたるメールや電話に使われるおそれがあります（編集部の見立て）。トラストバンクも、同社や関係先を装ったメール・SMS・電話・郵便物への注意を呼びかけています。寄附控除試算額は、個人情報保護法の「要配慮個人情報」には当たりません。法令上の区分が重くなくても、寄附者にとっての重さは別にあります。

寄附履歴が流出した2名については、どの自治体にいくら寄附したかが外に出ました。寄附先は、出身地や支援したい地域、好みの返礼品を映します。件数は2名ですが、ふるさと納税サイトが預かる情報の中で、本人の暮らしに近い情報です。

41つのサイトが止まると何が止まるか

ふるさとチョイスは、寄附者と自治体の間に立つ仕組みです。寄附者はサイトで返礼品を選び、会員情報と支払いの情報を入力します。申込の情報は、寄附先の自治体と、返礼品を送る事業者に渡ります。会員情報を預かり、守るのは、サイトを運営するトラストバンクです。

トラストバンクが止めたのは、ふるさとチョイスのサイトだけではありません。佐賀県有田町の告知は、停止中のサービスとして、次のものを挙げています。

名前の違うサイトが同時に止まったのは、それらが返礼品の情報をふるさとチョイスから受け取っていたためです。JRE MALLふるさと納税は、自らが不正アクセスを受けたのではないと説明しています。寄附者から見れば別々の窓口でも、裏側では1つの仕組みにつながっていました。

5分かっていること、分かっていないこと

10月26日時点で、トラストバンクの発表は第2報までです。原因の中心にあたる侵入の経路は、まだ公表されていません。

公表されている事実のうち、侵入の経路を考えるうえで手がかりになるのは2つです。1つは、トラストバンク自身が「検知した脆弱性」と書いていること。もう1つは、第2報で、少なくとも2名についてマイページのカード情報表示ページに第三者がアクセスしていたことです。会員データの持ち出しと、個別のマイページへのアクセスが、同じ手口によるものかどうかは分かりません。

ふるさとチョイスは、Amazon Payなどの外部の決済の仕組みや、カード情報を預かる決済代行会社とつながっています。10月5日に公表した不具合は、Amazon Payの認証のあとに申込情報を復元する処理で起きていました。今回の脆弱性が、こうした外部との連携部分にあったのか、会員データを扱う別の部分にあったのかは、公表された情報からは判断できません。

6同じ年に続いた3つの事案

ふるさとチョイスでは、2026年に入ってから、会員の情報にかかわる公表が3回ありました。4月と10月5日の2件は原因が公表されており、互いに異なります。10月20日の事案の原因は公表されていません。

4月の事案は、他で漏れたIDとパスワードを使って、本物のログイン画面から入る手口が疑われました。トラストバンクは、ログイン機能へのアクセス制限や防御の追加、監視の強化を行い、会員にログイン認証コードの設定を勧めています。10月5日の事案は外部からの攻撃ではなく、自社のシステムの処理の不具合でした。認証・決済の処理の再点検、テストと監視の体制の強化を約束しています。

10月5日の不具合は、2025年11月13日から2026年9月7日まで、約10か月続いていました。別の利用者のブラウザ上で閲覧可能な状態となった申込データは254件で、漏えいした可能性がある情報は、氏名、住所、電話番号、メールアドレス、お礼の品の配送先などです。トラストバンクは、不正な決済や、カード番号・セキュリティコードの漏えいはないとしています。外部からの攻撃でなくても、処理の誤りで個人情報が他人に見える状態は起こります。

10月20日の事案は、その公表から15日後に公表されました（日数は編集部が数えた）。前の2件は、ログイン画面への攻撃と、決済の処理の不具合でした。3件に共通しているのは、どれも会員の情報が集まる一つのサイトで起きたことです。前の2件の対策が今回の事案にどう関係したかは、発表に書かれていません。

7寄附を受ける自治体への影響

今回の事案で、寄附者の次に影響を受けたのは、ふるさとチョイスを寄附の窓口として使う自治体です。自治体は個人情報の流出の当事者ではありませんが、寄附者からの問い合わせを受け、寄附を受け付ける別の手段を案内しなければなりませんでした。

自治体が出した告知

cokiによると、広島県福山市には19日午後4時ごろトラストバンクから連絡が入り、返礼品の掲載と寄附の受付が止まりました。同じ記事によると、東京都西東京市では、ふるさとチョイス本体に加えて、ガバメントクラウドファンディングと連携するパートナーサイトも停止の対象になりました。ガバメントクラウドファンディングは、自治体が使い道を示して寄附を募る仕組みで、返礼品目当ての寄附とは別の、地域の事業のための資金集めにも使われています。

告知の内容は、多くがトラストバンクの発表の写しと、不審な連絡への注意です。自治体が自ら調べられることは限られます。滝川市が書いたように、自分の市に寄附した人の情報が含まれるかどうかも、運営会社の調査を待つしかありません。自治体と運営会社の間で、事故の際に誰が何を寄附者に伝えるかを、あらかじめ決めておく必要があることが分かります。

年末を控えた停止

停止の時期も影響を大きくしています。ふるさと納税は年末に寄附が集まります。その年の分の控除を受けるには、原則として12月31日までに寄附の決済を終える必要があり、会社員は年末に年収の見通しが立ってから上限額を確かめて寄附する人が多いためです（coki）。経済産業研究所（RIETI）の小西葉子上席研究員（特任）のコラムによると、2024年に寄附した人の50.6%が12月に寄附していました。2025年は、10月1日施行のポイント付与を伴う寄附募集の禁止を前に9月の寄附（41.1%）が12月（29.1%）を上回りましたが、12月も3割近くを占めています。

総務省によると、令和7年度のふるさと納税の受入額は約1兆3,314億円、件数は約5,963万件でした。仲介サイトは、この寄附を集める窓口の一つです。仲介サイトが止まれば、寄附者は別のサイトへ移ることができますが、自治体の側では、そのサイトにしか掲載していない返礼品の受付が止まり、返礼品を出す地域の事業者の受注にも響きます。cokiは、広島県福山市がふるさとチョイス以外のサイトで受付を続けた例を挙げ、複数の窓口を持つことが代替手段になったと伝えています。

8同じ月に相次いだ会員情報の流出

2026年10月は、会員情報の大規模な流出の公表が続いた月でした。KEYRINGの記録から、10月に公表された主なものを挙げます。原因の種類はいずれも不正アクセスです。今回の事案との関係を示す情報はありません。

原因の種類ごとの一覧は不正アクセスと認証情報の漏れのページにまとめています。会員のメールアドレスとハッシュ化されたパスワードが一度に大量に出回ると、リスト型攻撃の材料が増えます。ふるさとチョイス自身が4月にリスト型攻撃とみられる不正ログインを受けていたことを考えると、他社で流出した情報が、次に別のサイトへの攻撃に使われる循環が起きうると読めます。

9漏えい等報告と、企業に求められること

個人情報保護法は、一定の漏えい等が起きたとき、事業者に個人情報保護委員会への報告と、本人への通知を義務づけています。報告が必要になるのは、次の4つのいずれかに当たる場合です。

報告は2段階です。発覚から速やかに（個人情報保護委員会の案内では3〜5日以内）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出します。トラストバンクは、異常を把握した翌日の10月20日に報告を終えたと公表しました。

トラストバンクは、調査で判明した事実（流出した情報の項目と件数、再発防止策など）は、確定次第速やかに知らせるとしています。

本人への通知は、状況に応じて速やかに行うことが求められます。トラストバンクは21日から会員に個別のメールを送り、流出の有無と項目を知らせています。445万件規模の会員に、本物の通知をどう見分けてもらうかは、別の課題になります。流出を伝えるメールそのものを装ったフィッシングが届くおそれがあるため、御殿場市はメールのリンクを開かず、公式サイトで照合するよう呼びかけました。

情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「システムの脆弱性を悪用した攻撃」が4位に挙がっています。トラストバンクの発表は「検知した脆弱性」の調査を進めるとしています。どのシステムの、どの種類の脆弱性だったのかは、同じような仲介サイトを運営する事業者にとって、確報や最終報で確かめたい点です。

10影響が広がった3つの条件

条件の整理は、公開された情報をもとにKEYRING編集部が行ったもので、原因を特定したものではありません。侵入の経路が公表されれば、見直します。

11利用者と企業が取るべき対応

トラストバンクと自治体が求めている対応に、編集部が勧める対応を加えて並べます。編集部の勧めの部分は、そう明記しています。

個人情報を預かる企業と自治体が確かめること

12提言

今回の事案では、全国の自治体への寄附を一つにまとめる便利さが、そのまま会員情報の集中と、受付の窓口の集中になっていました。この調査から、KEYRINGは次の4つを提言します。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

用語集

ふるさと納税

自分で選んだ自治体に寄附すると、自己負担の2,000円を除いた額が、所得税や住民税から控除される仕組み

寄附控除試算額

自己負担が2,000円に収まる寄附の上限額を、収入などから試算した値

仲介サイト（ポータルサイト）

多くの自治体の返礼品を一覧にし、寄附の申込と支払いを受け付けるサイト

ハッシュ化

元に戻せないように変換して保存する方法。短いパスワードは計算で割り出される場合がある

ソルト

ハッシュ化の前にパスワードごとに混ぜる別の値。同じパスワードでも違うハッシュになる

リスト型攻撃

他のサービスから漏れたIDとパスワードの組み合わせを使って、ログインを試す手口

漏えい等報告

一定の漏えい等が起きたときに、事業者が個人情報保護委員会へ行う報告。速報と確報の2段階

ガバメントクラウドファンディング

自治体が使い道を示して寄附を募る、ふるさと納税の仕組み。ふるさとチョイスではGCFと呼ぶ

参考文献

• トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」2026.10.19
• トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」2026.10.20
• トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第2報）」2026.10.23
• トラストバンク「ふるさとチョイスにおける不正ログインに関する状況報告とお願い」2026.04.24
• トラストバンク「『ふるさとチョイス』における個人情報の漏えいに関するお詫びとお知らせ」2026.10.05
• ふるさとチョイス（Yahoo!ショッピング店舗のお知らせ）「【重要なお詫びとお知らせ】不正アクセスによる個人情報流出とサービス停止について」2026.10.21
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」2026.10.26 閲覧
• 総務省「ふるさと納税に関する現況調査結果」（令和8年度調査）2026.10.26 閲覧
• 情報処理推進機構「情報セキュリティ10大脅威 2026」2026.10.26 閲覧
• 福岡県「ふるさと納税ポータルサイト『ふるさとチョイス』不正アクセスによる個人情報の流出に伴う注意喚起」2026.10.21
• 滝川市「ふるさと納税（寄付金）」2026.10.21 13時現在の記載
• 御殿場市「ふるさと納税サイト『ふるさとチョイス』等の一時停止について」2026.10.26 閲覧
• 有田町「ふるさと納税ポータルサイト『ふるさとチョイス』における不正アクセス検知に伴うサービス停止及び注意喚起について」2026.10.20
• 千代田区「不正アクセスによる『ふるさとチョイス』の会員情報の外部流出について」2026.10.26 閲覧
• JRE MALLふるさと納税「一部自治体・返礼品の掲載休止ならびに寄付受付休止について」2026.10.19
• ITmedia NEWS「『ふるさとチョイス』不正アクセスの疑いでサービス停止」2026.10.19
• Impress Watch「ふるさとチョイス、不正アクセスで445万件漏えい　寄附控除試算額も」2026.10.20
• ケータイ Watch「ふるさと納税サイト『ふるさとチョイス』に不正アクセス、寄附者445万人のデータ流出」2026.10.21
• 朝日新聞「ふるさとチョイス、情報流出445万件　NECは委託先から漏洩」2026.10.20
• 日本経済新聞「ふるさと納税の『ふるさとチョイス』、不正アクセスでサービス停止」2026.10.19
• 日本経済新聞「ふるさとチョイス、個人情報445万件流出　不正アクセスで」2026.10.20
• 時事通信「ふるさとチョイス、445万件情報流出　不正アクセスでサービス停止」2026.10.20
• 日本テレビ「【解説】『ふるさとチョイス』サービス一時停止　不正アクセス受けた疑い」2026.10.20
• 経済産業研究所 小西葉子「速報：2025年ふるさと納税 ― 返礼品の選択構造と制度改正の影響、利用継続意向」2026.03.11
• coki「ふるさとチョイス突然停止　過去に2688件の不正ログイン、個人情報漏洩も　年末の寄付は大丈夫？」2026.10.20

このレポートは2026年10月26日時点の公開情報にもとづきます。トラストバンクの調査は続いており、侵入の経路や流出の範囲は今後の発表で変わる可能性があります。新しい情報があれば更新します。最終閲覧日はいずれも2026年10月26日です。