S会員情報4,454,097件の外部流出を確認暫定評価

トラストバンク／ふるさとチョイス事案の概要と評価

記事更新 2026/10/20

会員情報445万4,097件の流出を確認。氏名・連絡先、ハッシュ化パスワード、寄附控除試算額が対象です。

事案の概要

トラストバンクは2026年10月20日、ふるさとチョイスの会員情報に不正アクセスがあり、寄附者の個人情報が外部に流出したことを公表しました。

2026年10月19日に通常と異なるアクセス傾向を把握し、17日に不正アクセスがあったことを確認したとしています。被害拡大防止と安全確保のため、19日15時50分に関連サービスを停止しました。

外部専門家と原因・影響範囲を調べています。10月20日の公表時点でサービスの再開時期は未定です。個人情報保護委員会へは20日に報告を終え、警察への被害申告を21日に予定しています。

テレビ新広島は、19日20時時点で福山市を含む全国の自治体で返礼品掲載や寄附受付が利用できず、福山市は他のふるさと納税サイトで受付を続けていると報じました。

現時点で流出を確認した会員情報は4,454,097件です。氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額が対象とされています。調査によって件数・内容が変わる可能性があります。

件数を重複のない人数へ換算しません。パスワードはハッシュ化されたものと公表されており、平文パスワードの流出や解読・悪用の確認とは区別します。

ふるさとチョイスと同じメールアドレス・パスワードの組み合わせを他サービスでも使っている場合は、他サービスのパスワードを変更するよう呼びかけています。

トラストバンクや関係先を装った不審なメール・SMS・電話・郵便に注意し、心当たりのないURLや添付を開かず、個人情報やパスワードを入力しないよう案内しています。

氏名と連絡先等の会員レコード4,454,097件の実流出をS3としてSを維持。寄附控除試算額はA1相当。ハッシュ化パスワードの解読・実効権限は未確認でS2やH2を自動適用しない。深い情報の大規模露出H1、例外的社会連鎖X1の根拠も不足。調査で件数・内容が変動する可能性を残して暫定。

Sの評価基準
深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。