最終更新：10 月 28 日 16:25（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 寄附した人がやること ／ 自治体・返礼品の事業者 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
ふるさと納税サイトの会員情報が外に漏れた事故。寄附の受付は提携先のサイトから順に戻り始めた（10 月 28 日の第 4 報まで）
- ふるさと納税サイト「ふるさとチョイス」に 10 月 17 日、外から何者かが入り込み（不正アクセス）、会員の名前・メールアドレス・住所・電話番号などが外に漏れた
- 自分の情報が漏れたかは、10 月 21 日から順に届く運営会社トラストバンクからのメールで分かる。同じパスワードをほかのサービスで使っているなら、そちらを変える
- 自治体と返礼品の事業者が使う仕組みは 10 月 26 日から順に動き出したが、新しい寄附の受付と寄附者向けのサイトは、まだ止まっている
どうすればいい？
よくある疑問と答え
-
自分は対象？
ふるさとチョイスに会員登録している人の情報です。漏れたかどうかと漏れた項目は、10 月 21 日から順に届くトラストバンクからの個別のメールで分かります。
→ 寄附した人がやること -
何が漏れた？
名前・メールアドレス・住所・電話番号・ハッシュ化されたパスワード（元に戻しにくい形に変えたもの）・寄附控除試算額で、4,454,097 件です。このうち 5 人は、寄附履歴やカード情報の一部なども漏れていました。
→ 漏れた情報の一覧 - パスワードは変えたほうがいい？ ふるさとチョイスと同じメールアドレスとパスワードを、ほかのサービスでも使っているなら、ほかのサービスのパスワードを変えてください。トラストバンクがそうお願いしています。
-
クレジットカードは大丈夫？
カードの下 4 桁・名義・有効期限を見られたのは 2 人で、本人には個別に連絡済みです。トラストバンクは、これらの情報だけではカードで決済できないとしています。
→ カード情報の仕組み（技術的な詳細） -
気をつけることは？
トラストバンクや関係先を名乗るメール・SMS・電話・郵便物に気をつけます。身に覚えのない URL や添付ファイルは開かないでください。
→ 最近の偽メール・偽 SMS の傾向 -
今は寄附できる？返礼品は届く？
新しい寄附の受付はまだ再開していません。すでに寄附した分の返礼品は、自治体や品物によって届くのが遅れる可能性があります。
→ 再開までの経緯 -
自治体や返礼品の事業者は？
10 月 26 日から、寄附管理システムが順に使えるようになりました。受け付け済みの寄附と発送の手配を確かめ、遅れそうなら寄附者に先に知らせます。
→ 事業者がやること
詳しくは：寄附した人（会員） ／ ふるさと納税にかかわる事業者
この記事では、ふるさとチョイスの情報漏洩（会員情報の外部流出）について、運営するトラストバンクの 10 月 19 日のお知らせ、10 月 20 日の発表、10 月 23 日の第 2 報、10 月 26 日の第 3 報（親会社チェンジホールディングスの同じ日の適時開示を含む）だけをもとに、何が起きたのかと、寄附した人・ふるさと納税にかかわる事業者がやることを整理します。
何が起きたか
10 月 20 日の発表で分かったことです。トラストバンクは 10 月 19 日、「ふるさとチョイス」にいつもと違うアクセスがあることに気づきました。調べると、10 月 17 日に会員情報へ外から入り込まれ、会員の個人情報が外に漏れていたことが分かりました。
トラストバンクは、被害が広がるのを防ぐため、10 月 19 日の 15 時 50 分に関連サービスを止めました。原因と影響の範囲は、外部の専門家の協力を得て調べているとしています。
| 対象 | 内容 |
|---|---|
| 会員情報（4,454,097 件） | 氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額。今の時点で確認できた件数と内容で、調査が進むと変わる可能性がある |
| 追加で分かったもの（5 人） | ポイント履歴（5 人）・寄附履歴（2 人）・クレジットカード情報の下 4 桁・名義・有効期限（2 人）・生年月日（2 人）・送付先（1 人）など。また 1 人は、登録した住所の一部（県名）が消されていた。項目ごとの人数は重なっていて、対象は合わせて 5 人。この 5 人には個別に連絡済み |
10 月 26 日の第 3 報では、自治体と返礼品の事業者が使う「寄附管理システム」を、この日から順に動かし始めたと発表しました。外部の専門家・専門機関の協力のもとで安全対策と検証を行い、安全を確かめたとしています。ただし、新しい寄附の受付を始めるものではありません。寄附者向けのサイトは、再開の時期が決まり次第知らせるとしています。
10 月 28 日の第 4 報（親会社チェンジホールディングスの適時開示）で分かったことです。チェンジホールディングスによると、提携先のサイトの中で寄附の申し込みから決済までが完結するサービスとつなぐ「連携システム」について、安全対策と検証を終えたとして、28 日から運用を再開しました。今のところ、提携先のサイトを使った寄附で個人情報が流出したことは確認されていません。ただし、提携先ごとの動作確認などを踏まえて順に再開するため、すべての提携先で一斉に寄附を受け付けるわけではありません。ふるさとチョイスの寄附者向けのサイトなど、ほかのサービスは止まったままです。
親会社のチェンジホールディングスも同じ日に適時開示を出しました。今回の再開はサービスの完全な再開に向けた第一歩で、寄附の再開を可能にするものではないとしています。2027 年 3 月期の業績への影響は精査中です。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 28 日 | 第 4 報（チェンジホールディングスの適時開示）。提携先のサイトとつなぐ連携システムの運用を再開し、提携先ごとに寄附の受付を順に再開。提携先サイト経由の寄附での流出は確認されていない。寄附者向けのサイトなどは停止中 |
| 10 月 26 日 | 第 3 報。寄附管理システムを、この日から順に再開。新しい寄附の受付は再開せず、寄附者向けのサイトは安全対策と検証を進めているとした。返礼品が遅れて届く可能性があると案内。親会社のチェンジホールディングスも適時開示 |
| 10 月 23 日 | 第 2 報。前回の公表のうち 5 人について、ポイント履歴・寄附履歴・クレジットカード情報の一部なども漏れていたと公表。会員へは 10 月 21 日から順に、漏れたかどうかと項目を個別のメールで知らせていると説明 |
| 10 月 20 日 | 会員の個人情報 4,454,097 件が外に漏れたと公表。同じ日に個人情報保護委員会へ報告し、10 月 21 日に所轄の警察署へ被害を申告する予定とした |
| 10 月 19 日 | いつもと違うアクセスに気づく。15 時 50 分に関連サービスを止め、不正アクセスの疑いでサービスを一時止めたと知らせた |
| 10 月 17 日 | 不正アクセスがあった日（10 月 20 日の発表で確認されたとした日） |
寄附した人（会員）がやること
トラストバンクの案内です。対象は「ふるさとチョイス」に会員登録している人の情報です。漏れたかどうかと、漏れた項目は、10 月 21 日から順に個別のメールで知らせるとしています。
- ふるさとチョイスと同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使っているなら、そちらのパスワードを変える（勝手にログインされるのを防ぐため）
- トラストバンクや関係先を名乗る、怪しいメール・SMS・電話・郵便物に気をつける。身に覚えのない URL や添付ファイルは開かず、怪しいサイトに個人情報やパスワードを入れない
- わからないことは、トラストバンクの寄附者向けの窓口（toiawase@trustbank.co.jp）に問い合わせる
この記事での整理です。届いたメールが本物か迷ったときは、メールのリンクからではなく、自分で開いたトラストバンクの公式サイトのお知らせで、同じ内容が出ているかを確かめると安心です。
ふるさと納税にかかわる事業者がやること
10 月 26 日から、寄附管理システムが順に使えるようになりました。寄附の受付の確認と返礼品の発送の手配は進められます。一方で、新しい寄附の受付と寄附者向けのサイトは止まったままです。事業者の情報が漏れたかどうかは、発表に書かれていません。ここからは、この記事での整理です。
- 寄附管理システムで、受け付け済みの寄附と、発送の手配がまだのものを確かめる。どの順で送るかは、自治体の案内に合わせる
- 発送が遅れそうなら、自社のサイトや SNS に「ふるさと納税の返礼品の発送が遅れる場合がある」と載せておく。トラストバンクも、届くのが遅れる可能性があると案内している
- 影響があるかは推測で決めず、トラストバンクの公式の発表と、自治体からの案内で確かめる
- 寄附者から問い合わせがあったら、トラストバンクの発表と窓口を案内し、自社を名乗る連絡に気をつけるよう添える
技術的な詳細（システム担当者向け）
ここからは、会員制のサイトやフォームを運用している担当者・エンジニア向けです。トラストバンクの発表から読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 検知 | 10 月 19 日に「通常と異なるアクセス傾向」を把握して確認し、10 月 17 日の不正アクセスを確認した |
| 初動 | 被害拡大の防止と安全確保を優先し、10 月 19 日 15 時 50 分に関連サービスを停止 |
| パスワード | ハッシュ化された状態で流出。ハッシュの方式やソルトの有無は書かれていない |
| カード情報 | 下 4 桁・名義・有効期限は、マイページで保存済みのカードを開くたびに決済代行会社から取り出して表示する仕組みで、トラストバンクのシステムには保存していない。2 人の会員について、この表示ページへの第三者のアクセスを確認 |
| 登録情報の削除 | 1 人の会員で、登録した住所の一部（県名）が削除されていた |
| 再開の進め方 | 外部の専門家・専門機関の協力で安全対策とその検証を行い、自治体・事業者向けの寄附管理システムから段階的に再開。寄附者向けサイトとほかのサービスは停止を続けている |
| 届出 | 10 月 20 日に個人情報保護委員会へ報告。10 月 21 日に所轄警察署へ被害申告の予定 |
| 発表に無いこと | 侵入の経路と原因（調査中）・悪用された脆弱性や設定・不正アクセスが続いた期間 |
この記事での整理です。住所の一部が削除されていたことから、閲覧だけでなく、会員の登録情報を書き換えられる経路があった可能性も考えて点検します。カード情報を自社で保存しない作り（決済代行会社に預ける）は、漏れる範囲を小さくする設計として参考になります。
自社で見直すこと
会員登録のある Web サービスでは、パスワードがハッシュ化されていても、同じパスワードを使い回している利用者には、ほかのサービスでの被害の心配が残ります。自社のサイトで会員や問い合わせの情報を預かっている場合にも、同じことが起こりえます（この記事での整理）。
- 預かっている情報を必要なものに絞る 会員登録やフォームで集めている項目と、保存しておく期間を見直す。持っていない情報は漏れない。カード情報は自社で持たず、決済代行会社に預ける。
- いつもと違うアクセスに気づける仕組みを持つ ログイン画面・マイページ・フォームへのアクセスの記録（ログ）を残し、普段と違う量や時間帯の動きを誰が見るかを決めておく。
- パスワードの保存のしかたを確かめる 会員のパスワードを、平文や古い方式ではなく、ハッシュ化して保存しているかを、制作会社や開発の担当者に確かめる。
- お知らせを出す手順と窓口を決めておく サービスを止めたときのお知らせのひな形、問い合わせを受けるアドレス、サイトに載せる手順を用意しておく。
次に読む：ほかの会社の最近の事故の一覧 ／ 返礼品の配送にもかかわる佐川急便の件
続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
