2026年10月20日、ふるさと納税サイト「ふるさとチョイス」で、445万4,097件の会員情報が外部に流出したことが発表されました。
運営会社のトラストバンクによると、10月17日に第三者による不正アクセスが発生し、氏名や住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額などが流出しました。
ふるさとチョイスは10月19日から関連サービスを停止しており、20日時点で再開時期は決まっていません。
利用者にとって気になるのは、自分の個人情報が流出しているのか、クレジットカード情報や寄附履歴も対象なのか、すでに申し込んだ返礼品や税控除に影響があるのかという点ではないでしょうか。
この記事では、約445万件の情報流出の対象者、漏れた情報、パスワードへの影響、寄附や返礼品の状況、サービス再開の見通しを整理します。また、10月5日に発表された254件の個人情報漏えいとの違いについても説明します。
ふるさとチョイスで約445万件の情報流出が判明
ふるさとチョイスは、株式会社トラストバンクが運営するふるさと納税のポータルサイトです。
今回の情報流出は、不正アクセスの可能性があるという段階ではなく、第三者による不正アクセスと会員情報の外部流出が確認された事案です。
10月20日に公表された内容をまとめると、以下のようになります。
| 項目 | 発表内容 |
|---|---|
| 対象サービス | ふるさとチョイス |
| 運営会社 | 株式会社トラストバンク |
| 情報流出件数 | 4,454,097件 |
| 不正アクセス発生日 | 2026年10月17日 |
| 異常を把握した日 | 10月19日 |
| サービス停止 | 10月19日15時50分 |
| 情報流出の発表 | 10月20日 |
| 流出した情報 | 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額 |
| サービス再開 | 未定 |
| 原因 | 第三者による不正アクセス。詳細は調査中 |
現時点では約445万件の流出が確認されていますが、運営会社は今後の調査によって件数や情報の内容が変わる可能性があると説明しています。
また、流出した情報にはハッシュ化されたパスワードも含まれているため、他のサービスで同じパスワードを使っている人に対して変更を呼びかけています。
なお、今回公表されたのは445万4,097「件」であり、445万4,097「人」と発表されたわけではありません。実際に何人の会員が対象となるのかについては、現時点で詳細を確認できていません。
約445万件の情報流出はいつ発生したのか？
トラストバンクによると、今回の不正アクセスが発生したのは2026年10月17日（土）です。
その後、10月19日（月）に通常とは異なるアクセス傾向を把握し、調査を行ったところ、17日に第三者による不正アクセスがあり、会員情報が外部に流出していたことが判明しました。
被害の拡大を防ぐため、同社は10月19日15時50分にふるさとチョイスの関連サービスを停止しました。
翌20日には、流出が確認された情報の件数や内容、今後の対応について正式に発表しています。
さらに同社は、10月20日に個人情報保護委員会への報告を完了し、10月21日には所轄警察署へ被害申告を行う予定であることも明らかにしました。
現在は外部の専門家とともに、情報流出の原因や影響範囲の調査を進めています。
情報漏えいの対象者は誰なのか？
今回、外部流出が確認されたのは、ふるさとチョイスに会員登録している寄附者の個人情報です。
ただし、会員全員の情報が流出したのか、過去に利用した会員や退会した人も含まれるのかなど、対象となる登録状況や利用期間の詳細は公表されていません。
そのため、以前ふるさとチョイスを利用していた人についても、今回の対象に含まれるかどうかを現時点で断定することはできません。
また、10月20日の公式発表では、利用者が自分の情報の流出状況を個別に照合できる専用ページや、対象者全員への通知時期についても具体的な案内は確認できませんでした。
「ふるさとチョイスで寄附したことがあるから必ず流出している」「最近利用していないから対象外」といった判断は、現時点ではできない状況です。
今後、運営会社から対象者の範囲や個別通知について追加発表が行われる可能性があるため、公式サイトの案内を確認する必要があります。
漏れた個人情報は何？カード番号や寄附履歴は対象？
トラストバンクが10月20日に公表した、流出が確認されている情報は次の6項目です。
・氏名
・メールアドレス
・住所
・電話番号
・ハッシュ化されたパスワード
・寄附控除試算額
これらは、今回の不正アクセスによって外部に流出したことが確認されている情報です。
一方、クレジットカード番号、セキュリティコード、実際の寄附履歴、マイナンバーなどは、10月20日の公式発表で流出項目として明示されていません。
ただし、公式発表の流出項目に記載されていないからといって、これらの情報が流出していないと確定したわけではありません。
同社は引き続き影響範囲を調査しているため、カード情報や寄附履歴についても、今後の公式発表で確認する必要があります。
なお、今回の流出情報には氏名、住所、電話番号、メールアドレスが含まれています。これらの情報が悪用された場合、本人を装った連絡や、実在するサービスになりすました詐欺などに利用される恐れがあります。
ただし、今回流出した情報を使った不正利用や二次被害が実際に発生しているかどうかについては、現時点で確認できていません。
寄附控除試算額とは？年収も漏れたのか？
今回の情報流出で特徴的なのが、「寄附控除試算額」という情報も対象になっている点です。
寄附控除試算額とは、ふるさと納税を利用した際に、どの程度の寄附金額まで税金の控除を受けられるかを試算した金額です。
ふるさとチョイスでは、年収や家族構成などの条件を入力することで、自己負担2,000円で寄附できる金額の目安を計算できます。
今回の流出項目には、このような機能で計算された寄附控除試算額が含まれています。
ただし、寄附控除試算額が流出したことと、年収や勤務先、家族構成などの入力情報そのものが流出したことは別です。
10月20日の公式発表では、年収や家族構成そのものは流出項目として明示されていません。また、試算額は実際に寄附した金額や、最終的に確定した税額と同じではありません。
試算額から年収を正確に特定できると断定することもできませんが、他の個人情報と組み合わされることで、利用者の経済状況を推測する材料になる可能性は考えられます。
このため、氏名や連絡先だけでなく、寄附控除試算額が流出項目に含まれていることにも注意が必要です。
ハッシュ化されたパスワードは安全なのか？
今回流出した情報には、ハッシュ化されたパスワードも含まれています。
ハッシュ化とは、パスワードを一定の計算処理によって別の文字列に変換する仕組みです。通常、元のパスワードをそのまま保存する場合とは異なり、ハッシュ値を見ただけで元の文字列が分かるわけではありません。
ただし、ハッシュ化されているからといって、絶対に安全というわけではありません。短く単純なパスワードや、推測されやすいパスワードの場合、攻撃者が元の文字列を割り出そうとする可能性があります。
今回、どのような方式でパスワードがハッシュ化されていたのかについては、公式発表で詳しく説明されていません。
トラストバンクは、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせを他のサービスでも使用している場合、不正ログインを防ぐため、そのサービスのパスワードを変更するよう呼びかけています。
例えば、ショッピングサイトやメールサービスなどで同じ組み合わせを使っている場合は、ふるさとチョイスの復旧を待たずに、それぞれのサービスの正規サイトからパスワードを変更することが重要です。
また、利用できるサービスでは二段階認証などの追加の認証方法を設定することも、不正ログイン対策として有効です。
ふるさとチョイス自体のパスワード変更については、現在サービスが停止しているため、再開後の公式案内に従って対応する必要があります。
すでに寄附した返礼品や税控除への影響は？
すでにふるさとチョイスを利用して寄附した人にとっては、申し込んだ返礼品が届くのか、税金の控除が受けられるのかという点も気になるところです。
しかし、10月20日のトラストバンクの公式発表では、過去に完了した寄附や返礼品の配送、寄附金受領証明書、ワンストップ特例申請などへの影響について、具体的な説明はありません。
そのため、現在確認できる情報だけで、返礼品の配送が停止している、税金の控除が受けられなくなるといった判断はできません。
そもそも、ふるさと納税は寄附先の自治体に対して行う制度です。ふるさとチョイスのサイトが停止したことだけを理由に、すでに成立した寄附が自動的に取り消されるわけではありません。
ただし、今回のシステム停止によって、寄附履歴の確認や一部の関連手続きにどのような影響が生じるかについては、引き続き確認が必要です。
すでに寄附を済ませている場合は、申し込み完了メールや決済の記録、自治体から送られてきた書類などを保管しておくとよいでしょう。
返礼品の配送状況や寄附金受領証明書、ワンストップ特例申請について不明な点がある場合は、寄附先の自治体や正規の問い合わせ窓口に確認してください。
なお、今回の発表では、実際の寄附履歴が流出したとまでは明示されていません。情報流出の範囲と、寄附手続きへの影響は分けて考える必要があります。
サービスはいつ再開する？他のふるさと納税サイトも停止？
ふるさとチョイスは、2026年10月19日15時50分から関連サービスを停止しています。
トラストバンクは、外部の専門家とともに調査を進め、安全性を確認したうえでサービスを再開する方針ですが、10月20日時点で具体的な再開日時は決まっていません。
また、今回の停止は、ふるさとチョイスの公式サイトだけに限られていません。
さいたま市が公表した情報では、ふるさとチョイスのサイトやアプリのほか、災害支援サイト、ガバメントクラウドファンディング（GCF）、企業版ふるさとチョイス、チョイスPayアプリ、パートナーサイトなども停止対象として案内されています。
さらに、ふるさとチョイスと連携している一部のふるさと納税サイトでも、自治体への寄附受付ができない状況となっています。
さいたま市が影響を公表したパートナーサイトには、次のようなサービスが含まれています。
・au PAYふるさと納税
・セゾンのふるさと納税
・ANAのふるさと納税
・KABU&ふるさと納税
・ふるラボ
・Vふるさと納税
・ニフティふるさと納税
・マルイふるさと納税 など
ただし、これらのサイトがすべての自治体で寄附受付を停止しているという意味ではありません。ふるさとチョイスの仕組みと連携している自治体やサービスによって、影響の範囲は異なります。
また、提携サイトで寄附できないことと、そのサイトの会員情報まで流出したことは別の問題です。今回の公式発表では、提携先サイトの利用者全員の個人情報が流出したと説明されているわけではありません。
敦賀市など、ふるさとチョイス以外のポータルサイトから引き続き寄附できると案内している自治体もあります。
そのため、ふるさと納税そのものが全国で停止しているわけではありません。希望する自治体への寄附ができない場合は、自治体の公式サイトで別の受付方法が案内されていないか確認するとよいでしょう。
10月5日の254件の情報漏えいとは何が違う？
実は、ふるさとチョイスでは今回の約445万件の情報流出より前にも、個人情報に関する問題が公表されていました。
トラストバンクは2026年10月5日、Amazon Payを利用した寄附手続きで、他の利用者が入力した個人情報が別の利用者の画面に表示される可能性があったと発表しています。
この事案では、2025年11月13日から2026年9月7日までの間に、個人情報を含む申込データ254件が別の利用者から閲覧できる状態になっていました。
今回の約445万件の流出とは、発生原因や対象となる情報が異なります。
| 比較項目 | 10月20日発表 | 10月5日発表 |
|---|---|---|
| 件数 | 445万4,097件 | 254件 |
| 原因 | 第三者による不正アクセス | 申込情報の復元処理の不具合 |
| 対象 | 会員情報 | Amazon Pay利用時の申込データ |
| 流出状況 | 外部流出を確認 | 別の利用者から閲覧可能な状態 |
| 主な情報 | 氏名、住所、パスワードのハッシュ値、寄附控除試算額など | 氏名、住所、連絡先、返礼品の配送先情報など |
| 対応状況 | サービス停止・調査中 | 不具合を修正済み |
10月5日に発表された事案では、254件のうち19件が申し込み画面まで進み、そのうち6件が決済手続きまで進んでいました。ただし、いずれも操作した本人のAmazonアカウントによるもので、不正な決済は確認されていません。
また、トラストバンクは、この不具合がAmazon Payの決済機能そのものに起因するものではなく、自社システムにおける申込情報の復元処理が原因だったと説明しています。
一方、10月20日に発表された今回の件は、第三者による不正アクセスで会員情報が外部に流出したものであり、発生の仕組みが異なります。
現時点では、10月5日の254件の事案と、今回の445万4,097件の流出が直接関連しているという情報は確認できていません。
そのため、2つの事案を同じ事件として扱うことはできません。
不正アクセスの原因は？ランサムウェア攻撃なのか？
今回の情報流出について、トラストバンクは第三者による不正アクセスが原因だったと発表しています。
ただし、具体的にどのような方法でシステムに侵入されたのか、攻撃者が誰なのか、どのような脆弱性が悪用されたのかについては、現時点では詳しく明らかにされていません。
また、ランサムウェア攻撃によるものだったのか、外部からの不正操作によって情報が持ち出されたのかといった詳しい手口についても確認できていません。
運営会社は外部の専門家と協力し、不正アクセスによって検知した脆弱性の調査や対策を進めています。
今後は、セキュリティ対策や監視体制、情報管理体制を強化するとしており、調査によって新たに判明した情報についても公表する方針です。
現時点で確認されていない攻撃手法や犯人像を推測することはできません。今後の調査結果や関係機関の発表を確認する必要があります。
利用者が今できる対応と問い合わせ先
ふるさとチョイスの利用者が現時点で注意したいのは、他のサービスで使用しているパスワードと、不審な連絡への対応です。
トラストバンクは今回の発表で、同じメールアドレスとパスワードの組み合わせを他のサービスでも使っている場合、パスワードを変更するよう呼びかけています。
また、運営会社や関係先を装った不審なメール、SMS、電話、郵便物にも注意が必要です。
具体的には、次のような対応が考えられます。
・他のサービスで同じパスワードを使っている場合は変更する
・パスワードを変更する際は、各サービスの正規サイトやアプリから手続きを行う
・不審なメールやSMSに記載されたURLや添付ファイルを開かない
・不審なサイトでID、パスワード、カード情報などを入力しない
・利用できるサービスでは二段階認証などを設定する
・寄附に関するメールや決済記録、証明書などを保管しておく
特に注意したいのは、情報流出に便乗した偽の案内です。今後、「アカウントの再設定が必要」「返礼品の配送先を再登録してください」「寄附金の返金手続きをしてください」などと称する連絡が届く可能性も考えられます。
ただし、こうした具体的な偽メールが今回すでに確認されたという意味ではありません。あくまで想定される詐欺の手口として注意が必要です。
不審な連絡を受け取った場合は、記載されたリンクから操作せず、公式サイトや正規の問い合わせ先から確認してください。
今回の件について、トラストバンクは寄附者向けの問い合わせ窓口を案内しています。
株式会社トラストバンク
問い合わせ先：toiawase@trustbank.co.jp
なお、この窓口へ問い合わせることで、個別の流出状況が直ちに判明するかどうかについては、現時点で確認できていません。
詳しい状況やサービスの再開情報については、トラストバンクの公式発表を確認してください。
ふるさとチョイスの約445万件情報流出まとめ
2026年10月20日、ふるさとチョイスを運営するトラストバンクは、第三者による不正アクセスで445万4,097件の会員情報が外部に流出したと発表しました。
流出が確認されたのは、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額の6項目です。
一方、クレジットカード番号や実際の寄附履歴などについては、今回の発表で流出項目として明示されていません。ただし、今後の調査によって情報の範囲が変わる可能性はあります。
また、10月19日からふるさとチョイスの関連サービスが停止しており、一部の提携サイトでも自治体への寄附受付に影響が出ています。
すでに申し込んだ返礼品や税控除への影響については、現時点で詳しい説明がないため、必要に応じて寄附先自治体などに確認する必要があります。
利用者が今できる重要な対応は、他のサービスで使い回しているパスワードの変更と、不審なメールやSMSへの警戒です。
なお、10月5日に発表された254件の個人情報漏えいは、Amazon Pay利用時のシステム不具合による別の事案であり、今回の不正アクセスとの直接的な関連は確認されていません。
今後は、情報流出の詳しい原因、対象者への通知、サービスの再開時期、寄附済みの利用者への影響などが明らかになるかが注目されます。
主な参考資料と確認日
情報確認日：2026年10月20日。トラストバンクの公式発表、ふるさとチョイスの公式情報、自治体の公表資料などを確認しています。約445万件の外部流出は確認されていますが、対象者の詳しい範囲、クレジットカード情報や寄附履歴への影響、不正アクセスの具体的な手口、サービス再開時期などは引き続き調査中です。今後の公式発表によって流出件数や対象情報、サービスの状況が変更される可能性があります。
- トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日）
- トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」（2026年10月19日）
- トラストバンク「ふるさとチョイスにおける個人情報の漏えいに関するお詫びとお知らせ」（2026年10月5日）
- ふるさとチョイス「控除上限額シミュレーション」
- さいたま市「ふるさとチョイスにおける不正アクセス検知に伴うサービス停止について」（2026年10月20日）
- 敦賀市「ふるさと納税サイト『ふるさとチョイス』のサービス停止について」（2026年10月20日）
- 福井市「ふるさとチョイスにおける不正アクセス検知に伴うサービス停止及び注意喚起について」（2026年10月20日）
- Impress Watch「ふるさとチョイス、不正アクセスで445万件漏えい 寄附控除試算額も」（2026年10月20日）
コメント