この記事の要点
- 10月26日に自治体・事業者向けの寄附管理システム、10月28日に提携先サイトとの連携システムの運用を再開した（第3・4報）
- 全会員の現在のパスワードを無効化したうえで、11月6日12時に「ふるさとチョイス」Web版の寄附受付を順次再開した（第5報）
- 11月9日15時にアプリ版を再開。チョイスPayは今後再開を予定しているが、時期は示されていない（第6報）
ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは11月9日、不正アクセスによる寄附者情報の外部流出について第6報を公表し、同日15時から「ふるさとチョイス」アプリ版を再開したと発表した。Web版は11月6日に寄附の受付を再開しており、安全を期すため全会員の現在のパスワードを無効化している。10月20日に公表された流出の概要は前回の記事で伝えている。
事案の詳細
同社は不正アクセスの検知以降、「ふるさとチョイス」と関連サービスを一時停止し、外部の専門家・専門機関の協力のもとで事実関係と影響範囲の確認、再発防止策を進めてきた。サービスは安全対策とその検証を終えたものから、次の順で再開している。
- 10月26日（第3報）：自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を順次再開。新たな寄附の受付を始めるものではなく、発送手続きによってはお礼の品の到着が遅れる可能性があるとした。
- 10月28日（第4報）：提携先サイト内で寄附の申し込みから決済までが完結するサービスの連携システムの運用を再開。これらのサイトを利用した寄附に関する個人情報の流出は確認されていないという。各提携先での寄附受付は、準備状況に応じて順次再開される。
- 11月6日12時（第5報）：「ふるさとチョイス」Web版の寄附受付を順次再開。
- 11月9日15時（第6報）：「ふるさとチョイス」アプリ版を再開。
決済サービス「チョイスPay」は、第6報の時点で「今後、再開を予定しているサービス」とされており、再開の時期は示されていない。
影響と背景
同社は10月23日の第2報で、前回公表の対象者のうち寄附者5人について、追加の情報項目が流出していたと明らかにしている。内訳はポイント履歴5人、寄附履歴2人、クレジットカード情報（下4桁、名義、有効期限）2人、生年月日2人、送付先1人など（重複あり）。カード情報は同社のシステムには保存されておらず、マイページの保存済みカード情報の表示ページへの第三者のアクセスが2人分確認されたもので、この情報だけでカード決済はできないとしている。5人には個別に連絡したという。
第5報・第6報では、不正アクセスの侵入経路や原因についての新たな説明はない。
対策・今後の展望
全会員のパスワードが無効化されているため、ログインする際には新しいパスワードの設定が必要になる。同社は再発防止に向けて、システムの監視強化と継続的なシステム点検・改善に取り組むとしている。
あわせて、同社や関係先を装った不審なメール、SMS、電話、郵便物に注意するよう呼び掛けている。身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワードなどを入力しないよう求めている。問い合わせ窓口は寄附者向けが toiawase@trustbank.co.jp。
CSRIからのアドバイス
サービス再開とパスワード再設定のタイミングは、偽の案内が紛れ込みやすい時期でもある。「パスワードの再設定はこちら」「再開に伴う会員情報の確認」といったメールやSMSは、本物と同じ時期に届くため見分けにくい。全会員のパスワードが無効化されている今回は、なおさら注意が必要だ。
例えるなら、マンションの鍵を全戸で交換すると決まった直後に、「新しい鍵をお渡しします」と管理会社を名乗る人が訪ねてくるようなものだ。本物の案内があると知っているからこそ、偽物を疑いにくくなる。
ふるさとチョイスを使っている個人は、今週中に、メールのリンクからではなく、ブックマークや公式アプリから自分でアクセスして新しいパスワードを設定しておきたい。新しいパスワードは他のサービスと使い回さないこと。以前と同じパスワードを別のサービスでも使っていた場合は、そちらも変更しておくと安心だ。企業の総務・経理担当者で、社員向けにふるさと納税の案内を出している場合は、偽の再設定メールへの注意を一言添えておくとよい。
参照: トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第6報）」（2026年11月9日）／同（第5報）（2026年11月5日）／同（第4報）（2026年10月28日）／同（第3報）（2026年10月26日）／同（第2報）（2026年10月23日）
