【緊急】ふるさとチョイスで会員情報445万件が流出｜寄附者が確認すること

ふるさと納税のサイト「ふるさとチョイス」を運営する株式会社トラストバンクは、不正アクセスにより会員の個人情報4,454,097件が外部に流出したと、2026年10月20日付のお知らせで公表しました。会員の方は、自分は対象なのか、何が漏れたのか、パスワードやクレジットカードは無事なのかが気になるのではないでしょうか。

公式発表で確定していることと、発表に記載がないことは、分けて読む必要があります。この2つを混ぜて読むと、件数や影響の範囲を取り違えやすくなるのです。

本記事では、2026年10月21日時点の公式発表に沿って、確定したことを整理します。あわせて、寄附者が今すぐ行う対応と、会員のID・パスワードを預かる企業・自治体が点検する項目を解説します。問い合わせ先・確認先は、巻末の表のとおりです。

何が起きたか：不正アクセスの経緯とサービス停止

トラストバンクの公式発表『不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ』によると、不正アクセスの確認から公表までの経過は、次のとおりです。

同社は、外部の専門家とともに原因と影響の範囲を調べています。脆弱性（システムの弱点）への対応、セキュリティ対策、監視と情報管理の体制の強化も進めています。サービスの再開時期は未定です。

誰が影響を受けるか：流出した4,454,097件と情報の項目

公式発表が示した流出の規模は、次のとおりです。

流出が確認されている項目は、次の6つです。

ハッシュ化されたパスワードとは、元のパスワードそのものではなく、一定の計算で別の文字列に変換して保管したものです。それでも、同じ組み合わせを使う他サービスでは、パスワードの変更が公式に案内されています（次章）。

クレジットカード情報などの決済情報と、二次被害（流出した情報を使った詐欺などの被害）については、発表に記載がありません。本件の寄附者向けの問い合わせ窓口は、巻末の表のとおりです。個別に対象かどうかを確認できるかは、公式発表に記載がありません。

寄附者が今すぐ確認・対応すること：パスワードの変更と不審な連絡への警戒

寄附者に対する公式の案内は、3点です。順番に確認していきましょう。

流出した項目には、氏名、住所、電話番号が含まれます。つまり、相手があなたの氏名や住所を言い当てても、同社からの連絡である証拠にはならないのです。連絡の文面が公式発表と似ていても、本物の証拠にはなりません。判断に迷う連絡は、メールやSMSに書かれたリンクや連絡先を使わず、公式サイトを自分で開き、掲載された窓口から確認します。

ただし、2026年10月21日現在、「ふるさとチョイス」はサービスが停止中（2026年10月19日15時50分より）のため、そのパスワードの扱いは、再開時の公式の案内に従ってください。

会員情報を預かる企業・自治体の点検項目：停止・通知・届出の手順

この章は、会員の氏名・住所・パスワードを預かるサービスの運営側向けです。寄附者の方は、まとめへ進めます。

同社は、通常と異なるアクセスを把握した当日にサービスを停止し、翌日に個人情報保護委員会への報告と公表を行いました。この対応は1つの事例です。顧客の会員情報を預かる貴社は、次の4つを入口に、自社の初動の計画を確かめます。

件数を公表するときは、今回のように「件数」と「人数」を分けて書くことも、読み手の取り違えを防ぎます。

まとめ：確定した事実を受け止め、パスワードと不審な連絡に備える

確定している事実は、2026年10月20日に公表された、会員情報4,454,097件の外部流出です。件数であって人数ではなく、決済情報の記載はなく、サービスの再開時期は未定です。この3点を分けて受け止めることが、取り違えを防ぎます。

寄附者はすぐに次の3つを対応してください。

企業・自治体の持ち帰りは、会員情報の保管先と、停止の判断、公表と届出の手順を、自社の分で書き出すことです。貴社の会員情報は、どのシステムに保管されているでしょうか。まずは、保管する項目とシステムの一覧をつくるところから始めてみましょう。

続報は公式サイトで確認できます。困ったときの連絡先と、公式発表の所在を、次の表にまとめます。