ふるさとチョイス不正アクセス・個人情報漏洩の影響 まとめ｜445万4,097件、自治体・提携サイトで寄附受付停止

ふるさと納税サイト「ふるさとチョイス」を運営する株式会社トラストバンクは、2026年10月17日に発生した第三者による不正アクセスで、会員情報4,454,097件が外部に流出したことを10月20日に公表しました。同社は10月19日15時50分から関連サービスを停止し、外部専門家とともに影響範囲の調査を続けています。

影響は「ふるさとチョイス」本体だけでなく、連携するふるさと納税サイトの寄附受付にも及び、自治体が相次いで注意喚起を公表しています。横須賀市は本体を含む13サイトでの寄附受付停止を報告し、京都市も自市の返礼品掲載が停止したと説明しました。

※2026年10月22日（日本時間）までに確認できた公式発表を掲載しています。下記の自治体・サイトは、同じトラストバンクの不正アクセス事案に関連して公表・停止された先です。各自治体や各連携サイトが個別に侵害されたという意味ではありません。「4,454,097件」は運営会社が発表した会員情報全体の数字であり、自治体別の漏えい人数ではありません。

ふるさとチョイス不正アクセスのサマリー

• 運営会社はトラストバンク。2026年10月17日に第三者の不正アクセスが発生しました。
• 10月19日に通常と異なるアクセス傾向を把握し、同日15時50分から関連サービスを停止しました。
• 10月20日、会員の個人情報4,454,097件の外部流出を正式に公表しました。件数や対象項目は調査で変動する可能性があります。
• 流出が確認された情報項目は、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額です。
• 10月20日に個人情報保護委員会への報告を完了。10月21日に警察へ被害申告を行う予定と発表しました。
• 横須賀市は、ふるさとチョイス本体と12の連携サイトで寄附受付が停止したと報告しています。
• JRE MALLふるさと納税は、ふるさとチョイスとデータ連携する一部自治体の返礼品が申し込めない一方、連携していない自治体は受付を継続すると説明しています。
• 京都市、横須賀市、神奈川県、新潟県など多くの自治体が公表していますが、各自治体固有の個人情報流出件数が公表されたわけではありません。
• 10月22日の確認範囲では、運営会社が全サービスの復旧完了を公表した情報は確認されず、再開時期は未定と案内されています。

影響を公表した自治体・提携サイト一覧

以下は、ふるさと納税の受付停止、返礼品掲載の停止、会員情報流出の連絡、寄附者への注意喚起などを公式に掲載した自治体の確認分です。流出が判明した会員情報はトラストバンク側のデータであり、表中の自治体がそれぞれ別個に445万4,097件を漏えいさせたものではありません。自治体単位で対象者が確定した数字と、サイト全体の公表件数は区別して扱います。以下は全国すべての利用自治体の網羅一覧ではありません。

北海道・東北

関東

甲信越・北陸・東海

近畿

中国・四国

九州

ふるさとチョイスの提携先で寄附受付停止、一部サイトは影響範囲を限定

横須賀市が10月21日に報告した寄附受付停止対象は、ふるさとチョイス本体と連携先12サイトの計13サイトです。これは横須賀市の寄附受付に関する公表上の数であり、連携サイト全体の会員情報がすべて流出したことを示しません。個々の寄附サイトでは、自治体や商品によって受付状況が異なる場合があります。

上記以外に、自治体によっては「ANAのふるさと納税」「Yahoo!ショッピングふるさと納税」を停止・影響対象として掲載しています。これらは各自治体の受付方式や連携形態に基づく案内であり、当該サービスの全機能が停止したことや、利用者情報が漏えいしたことを意味しません。生駒市の公表、斑鳩町の公表で確認できます。

また、御殿場市は「ふるさとチョイスGCF」「災害支援」「企業版」、アプリに加え、自治体の運用に関わるCMS・APIの停止も案内しています。寄附を申し込む利用者側だけでなく、返礼品を管理する自治体業務にも影響が及んでいます。御殿場市の公表

10月17日からの不正アクセスと公表の経緯

トラストバンクは「今回の不正アクセスによって検知した脆弱性」への対応を進めると説明しています。ただし、どの製品・設定が悪用されたか、具体的なCVE番号、攻撃者の属性については発表していません。直近に公表されたPHPの重大脆弱性など、別のサイバー攻撃との関連を現時点で特定する根拠はありません。

流出した情報と利用者への注意事項

トラストバンクが確認した情報項目には、氏名・連絡先だけでなく、ハッシュ化されたパスワードや寄附控除試算額が含まれます。ハッシュ化は元の文字列をそのまま保存しない方式ですが、パスワードの強度やハッシュ方式などの条件次第で推測されるおそれがあります。利用者が別サービスでも同じパスワードを使用している場合は、使い回し先の変更を優先してください。

寄附控除試算額は、ふるさと納税の控除上限の目安を計算する際の情報です。公表された項目から寄附者個々人の収入や家族構成そのものが流出したとまでは判断できませんが、ふるさと納税に関係する連絡を装う詐欺に悪用される恐れがあります。

トラストバンクは、不審なメール、SMS、電話、郵便物への注意を呼びかけています。寄附者は、パスワード再設定、返礼品配送、寄附金控除、払い戻しなどをうたう連絡を受けた際、メッセージ内のリンクではなく、公式のお知らせや自治体窓口から確認してください。

事業者・自治体の情報システム担当者が確認したい事項

ふるさと納税の受付、GCF、災害支援、企業版ふるさとチョイス、CMS・APIの利用有無を洗い出し、寄附者・返礼品事業者・自治体担当部署への影響を分けて確認します。特に外部連携がある場合は、どの自治体・サービスで寄附受付やデータ更新が停止しているかを整理します。

トラストバンクからの調査結果を受け取る窓口を一本化し、自治体別の対象者数が確認された場合は追加告知・個別連絡・個人情報保護委員会への報告要否を判断します。復旧時には、寄附受付と決済だけでなく、返礼品掲載、データ連携、CMS・APIの同期が正常に戻ったかを確認します。

本件の既報：10月19日のサービス停止に関する第一報、10月20日の445万4,097件の個人情報流出に関する記事。本記事は自治体・提携サービスへの波及情報を継続的に集約する目的で構成しています。

出典

• 不正アクセスによる寄付者様情報の外部流出に関するお詫びとお知らせ – 株式会社トラストバンク
• 不正アクセスの疑いに伴うサービス一時停止のお知らせ – 株式会社トラストバンク
• ふるさと納税ポータルサイト「ふるさとチョイス」における不正アクセスによる個人情報の外部流出および寄附受付の一時停止について – 横須賀市
• 一部自治体の返礼品においてエラーとなり寄付できない事象について – JRE MALLふるさと納税
• 「ふるさとチョイス」における会員情報の流出及びサービスの一時停止について – 京都市
• ふるさとチョイスへの不正アクセスによる情報流出について – 神奈川県
• 個人情報の外部流出について – 新潟県
• ふるさとチョイスのサービス一時停止について – 直島町
• ふるさとチョイスにおける個人情報の流出について – 福崎町
• ふるさと納税仲介サイト「ふるさとチョイス」への不正アクセス及び個人情報の漏洩について – 海南市