ふるさとチョイス情報流出445万4097件と今すぐ確認すること

資料で確認できること

17日に不正アクセス、19日に異常を把握し15時50分に関連サービスを停止

トラストバンクは、10月19日に通常と異なるアクセス傾向を把握し、確認の結果、10月17日に不正アクセスがあったことを確認したと説明しています。会員の個人情報が外部へ流出したことも判明しました。

会社は10月19日15時50分、被害拡大防止と安全確保を理由に「ふるさとチョイス」関連サービスを停止しました。公式発表は翌20日付です。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

当事者の説明

氏名・連絡先・ハッシュ化パスワード・寄附控除試算額など445万4097件

発表時点で外部流出を確認した対象は、「ふるさとチョイス」の会員情報445万4097件です。項目として、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額が挙げられています。

会社は、この件数と内容が今後の調査で変動する可能性を明記しています。ハッシュ化されたパスワードであっても、会社自身が同じメールアドレスとパスワードの組み合わせを他サービスで使っている場合の変更を求めています。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

当事者の説明

専門家と調査し、個人情報保護委員会へ報告　再開時期は未定

会社は外部専門家と詳細調査を進め、セキュリティ対策、監視体制、情報管理体制を強化するとしています。10月20日に個人情報保護委員会への報告を完了したと公表しました。

10月21日に所轄警察署へ被害申告を行う予定とも記載しています。10月21日朝の確認時点で、その申告が完了したとの更新は公式発表上で確認できません。サービス再開時期も未定です。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

当事者の説明

同じ組み合わせを使う他サービスのパスワードを変更する

トラストバンクは、「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせを他サービスでも使用している場合、不正ログイン防止のため、他サービス側のパスワードを変更するよう案内しています。

同社や関係先を装ったメール、SMS、電話、郵便物への注意も求めています。身に覚えのないメッセージのURLや添付ファイルを開かず、不審なサイトに個人情報やパスワードを入力しないことが必要です。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

未確認の点

侵入経路、個人別の流出項目、二次被害、再開条件は未確認

10月21日の確認時点で、詳しい侵入経路、不正アクセスが可能だった時間帯、個人ごとの流出項目、ハッシュ方式、第三者による解読・不正ログイン・なりすましの有無、流出件数の最終確定、具体的な再発防止策、サービス再開時期は確定していません。

寄附履歴、決済情報、マイナンバー関連情報など、公式発表に流出項目として記載されていない情報を流出したと断定する根拠もありません。今後の調査結果で対象項目が更新される可能性は、発表に沿って残しておく必要があります。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年10月21日に取得したトラストバンクの10月20日付公式発表を確認したものです。JBJは会社、利用者、自治体、返礼品事業者、外部専門家、関係機関、攻撃者への直接取材や、システム・ログ・流出データの独立調査を行っていません。掲載画像は公式情報と利用者の記録を照合する姿勢を表す説明用イメージで、トラストバンク、ふるさとチョイスの実際の職員・利用者・設備・画面・情報・被害記録ではありません。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

JBJの見解

確認済みの流出と、個人ごとの影響を分けて考える

445万4097件という大きな数字は確認済みの会員情報件数として公表されています。ただし、445万4097人の全員に同じ二次被害が起きた、すべての項目が全員分そろって流出した、金銭被害が確認されたという意味までは示されていません。

会社の責任や対策を厳しく確認することと、利用者ごとの対象や被害を資料の範囲を超えて断定しないことは両立します。まず、登録情報と使い回した認証情報を自分の記録から確認する必要があります。

JBJの見解

登録情報、使い回し、通知、不審な動きを一つずつ記録する

利用者は、会員登録の有無、登録メールアドレス、同じパスワードを使った可能性のある他サービス、パスワード変更日時、会社から届いた通知、公式発表のURLと確認日時を整理してください。パスワードそのものをメモや相談文に記載する必要はありません。

不審なログイン通知、メール、SMS、電話、郵便物があれば、受信日時、表示された送信元、求められた行動、アクセスしてしまったか、入力・送金した情報を分けて保存します。金銭やアカウントの被害が疑われる場合は、関係サービス、金融機関、警察などの公式窓口へ早めに連絡してください。

• 資料 01株式会社トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ

JBJの見解

説明責任を求めながら、利用者や自治体への攻撃へ広げない

多数の会員情報の流出が確認された以上、トラストバンクには、原因、対象の最終確定、個別通知、認証情報のリスク評価、再発防止、安全な再開条件を具体的に説明する責任があります。利用者や自治体が説明と改善を求めることは正当です。

一方、寄附先の自治体、返礼品の事業者、個々の従業員、利用者へ責任を広げる根拠は、今回の公表にはありません。JBJは会社への正当な批判を抑えるのではなく、確認された責任と、資料で確認できない断定・無関係な人への攻撃を区別します。