株式会社トラストバンクは2026年10月20日、運営するふるさと納税サイト「ふるさとチョイス」で不正アクセスがあり、会員の個人情報が外部に流出したと発表した。流出が確認された会員情報は4,454,097件にのぼる。氏名や住所などの連絡先に加え、ハッシュ化されたパスワードや寄附控除試算額も含まれている。
同社は被害拡大を防ぐため、10月19日から「ふるさとチョイス」関連のサービスを停止している。外部の専門家の協力を得て、原因と影響範囲の調査を進めているという。サービスの再開時期は、発表時点で未定とされた。
10月17日に不正アクセス、19日に異常を把握
発表によると、同社は10月19日に通常と異なるアクセス傾向を把握し、確認を始めた。その結果、10月17日に不正アクセスがあり、会員の個人情報が外部に流出したことが分かったという。不正アクセスから把握までには2日かかったことになる。
同社は、被害拡大の防止と安全確保を最優先とし、10月19日15時50分に関連サービスを停止した。不正アクセスの手口や侵入の経路については、発表では示されていない。同社は、今回の不正アクセスで検知した脆弱性について、外部の専門家とともに詳しく調べるとしている。
流出したのは氏名・住所・寄附控除試算額など6項目
流出が確認された情報は、「ふるさとチョイス」の会員情報である。項目は、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額の6つだ。寄附控除試算額は、ふるさと納税で控除を受けられる寄附額の目安を示すもので、所得水準をうかがわせる情報ともいえる。
同社は、件数と項目は現時点で確認できている範囲であり、今後の調査で変わる可能性があると説明している。流出した情報の項目や件数、再発防止策は、確定次第知らせる方針だ。クレジットカード情報が対象に含まれるかどうかは、発表では示されていない。
個人情報保護委員会へ報告、警察にも被害申告へ
同社は10月20日に、個人情報保護委員会への報告を済ませた。10月21日には、所轄の警察署へ被害を申告する予定としている。関係機関による調査や捜査にも全面的に協力するという。
今後の対策として、セキュリティ対策、監視体制、情報管理体制を強化する方針を示した。サービスの再開は、安全性の確認状況を踏まえて決めるとしている。
会員にはパスワード変更と不審な連絡への注意を呼びかけ
同社は会員に向けて、2つの対応を求めている。1つ目は、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている場合に、そちらのパスワードを変更することだ。流出したパスワードはハッシュ化されているものの、不正ログインを防ぐための措置として呼びかけている。
2つ目は、同社や関係先を装った不審なメール、SMS、電話、郵便物への注意である。身に覚えのないメッセージのURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワードを入力しないよう求めている。住所と電話番号が流出しているため、メールだけでなく郵便や電話による詐欺にも警戒が必要だ。
企業への示唆
今回の事案では、不正アクセスから把握までに2日かかった。自社のWebサービスで、通常と異なるアクセス傾向を検知して担当者に知らせる仕組みが機能しているかを点検したい。会員情報を大量に持つサービスでは、検知から停止の判断までの手順を事前に決めておくことも重要である。
従業員が個人でふるさと納税を利用している場合、会社のメールアドレスやパスワードを使い回している可能性もある。社内向けに、パスワードの使い回しをやめることや、ふるさと納税をかたる不審な連絡に注意することを周知しておくとよい。あわせて、自社が保有する個人情報の項目を見直し、業務に不要な情報を持ち続けていないかを確認したい。
ITトレンドで情報漏洩対策サービスについてチェック！[情報漏えい対策サービスを徹底比較！メリットや選び方も解説]
不正アクセスによる会員情報流出のニュースはこちらもチェック！[ソースネクストに不正アクセス、パスワードを含む会員情報22,519,960件が流出の可能性——会員情報取得APIが悪用され、発覚まで4日間]
まとめ
トラストバンクは、「ふるさとチョイス」への不正アクセスにより、会員情報4,454,097件が外部に流出したと発表した。氏名や住所、ハッシュ化されたパスワード、寄附控除試算額が含まれ、関連サービスは10月19日から停止している。
原因や侵入経路は調査中で、件数や項目は今後変わる可能性がある。利用者はパスワードの使い回しを見直し、企業は自社サービスの検知体制と保有データを点検しておきたい。
