ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは10月20日、第三者による不正アクセスを受け、会員情報445万4,097件が外部に流出したと発表した。氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワードに加え、寄附控除の試算額も含まれる。同社は「ふるさとチョイス」の関連サービスを停止しており、再開時期は未定としている。
事案の詳細
同社によると、不正アクセスがあったのは10月17日（土）。19日（月）に通常と異なるアクセスの傾向を把握して確認したところ、会員の個人情報の流出が判明し、同日15時50分に関連サービスを停止した。件数は現時点で確認されたもので、今後の調査で変動する可能性がある。
流出した項目は次の6つ。
- 氏名
- メールアドレス
- 住所
- 電話番号
- ハッシュ化されたパスワード
- 寄附控除の試算額
同社は外部の専門家と協力して事実関係と影響範囲を調べるとともに、検知された脆弱性への対応を進めている。10月20日に個人情報保護委員会へ報告し、21日に所轄警察署へ被害を申告する予定としている。侵入経路の詳細は公表されていない。流出項目や件数、再発防止策は、確定次第公表するとしている。
影響と背景
今回の流出で特徴的なのは、寄附控除の試算額が含まれている点だ。ふるさと納税で控除を受けられる金額の目安は、年収や家族構成などをもとに試算される。そのため、試算額の情報は、氏名や住所と組み合わさると、その人のおおよその収入水準を推測する手がかりになり得る。金銭的に余裕があると見られた人を狙った詐欺や勧誘の材料として悪用されるおそれがある。
また、ふるさと納税は年末に向けて寄附が増える時期に入っている。「返礼品の発送確認」「寄附の再手続き」「ワンストップ特例の申請書類の不備」などを装ったメールやSMSは、受け取った人が本物と見分けにくい。氏名や住所、寄附に関する情報を知った攻撃者からの連絡であれば、なおさらだ。
なお、トラストバンクは2026年9月にも、Amazon Payで寄附した際に別の利用者の申込データが表示され得た不具合（254件）を公表していた。同社はこの件について、不正アクセスではなくシステムの処理の不具合が原因だと説明しており、今回の不正アクセスとは別の事案である。
対策・今後の展望（利用者向け）
- パスワードの使い回しを解消する：同社は、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合、そちらのパスワードを変更するよう呼びかけている。メールやネット通販、金融関連のサービスを優先したい。
- ふるさと納税や自治体を装う連絡に注意する：トラストバンクや関係先を装った不審なメール、SMS、電話、郵便物に注意し、身に覚えのない連絡に記載されたURLや添付ファイルを開かない。寄附や返礼品の状況は、自分でブックマークした公式サイトや、寄附先の自治体の公式の連絡先で確認する。
- 手続きはサービス再開後に公式サイトから：サービスは停止中で、再開時期は未定だ。年内の寄附を予定している場合も、再開の案内は同社の公式サイトで確認し、メールのリンクから手続きをしないようにしたい。
問い合わせ先は、トラストバンクの寄附者向け窓口（toiawase@trustbank.co.jp）。
CSRIからの現場アドバイス
【現場で何が起きているか】大規模な漏洩の後には、漏洩した企業やその業界を装ったフィッシングが急増するのが通例です。今秋も、スカイチケットやバーガーキングなどの事案の後に「お詫び」「返金」をうたう偽メールへの注意喚起が相次ぎました。ふるさと納税は寄附の時期が年末に集中するため、偽の連絡が紛れ込みやすい条件がそろっています。
【平易な解説】今回漏れたのは、名簿に「この人はふるさと納税でこれくらい控除を受けられる人」という書き込みが付いたようなものです。パスワードを変えれば済む話ではなく、その名簿を手にした人から、それらしい連絡が来るかもしれないと考えておく必要があります。
【今週中にできること】ふるさとチョイスを利用したことがある人は、同じパスワードを使っている他のサービスを洗い出して変更し、可能なものは多要素認証を有効にしてください。会社としては、ふるさと納税や返礼品を装うメールが社員の私用メールにも届く可能性があることを、注意喚起として共有しておくと効果的です。