本文へ移動
株式会社トラストバンク ロゴ株式会社トラストバンク状態:対応中

ふるさとチョイス 不正アクセス事件

トラストバンクは2026年10月20日、「ふるさとチョイス」の会員情報が不正アクセスを受け、4,454,097件の個人情報が外部に流出したと発表した。氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額が対象としている。23日には5名について寄附履歴やカード情報の一部などの追加流出を公表した。停止していたサービスはWeb版が11月6日、アプリ版が9日に再開し、全会員のパスワードを無効化して再設定を求めている。

公表された件数(最大の区分)

4,454,097件

対象とされた主な情報

  • 氏名
  • メールアドレス
  • 住所
  • 電話番号
  • パスワード(ハッシュ化)
  • 寄附控除試算額
公表日
2026年10月20日
発生日
2026年10月17日
公式発表
8本を確認
公式発表の最終確認
2026年11月11日
このページの目次
  1. 利用者が確認すること
  2. 対象者と対象の情報
  3. 原因と企業の対応
  4. 経過
  5. 規模の比較
  6. 集団訴訟
  7. 補償情報
  8. 出典・更新履歴
  9. よくある質問

利用者が確認すること

企業の案内にもとづく確認事項

  • ログインにあたり、新しいパスワードを設定する(全会員のパスワードは無効化済み。Web版のログイン画面からメールアドレスを入力し、届いた認証コードで再設定。他サービスのIDのみでログインしている人は不要)
  • 同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そちらも変更する
  • 自分の流出の有無と項目は、10/21 から届いている個別メールで確認する。届いていない場合は窓口へ
  • 不審なメール、SMS、電話、郵便物に注意する
  • ワンストップ特例申請、寄附履歴の確認、確定申告関連の手続きは、Web版・アプリ版の再開で通常どおり利用できるとしている(FAQ 11/9 追記)
  • 窓口(寄附者):toiawase@trustbank.co.jp

対象者と対象の情報

対象者

「ふるさとチョイス」の会員(寄附者)。

対象情報・件数

  • 件数:4,454,097件(現時点で確認できている数字で、今後の調査で変動する可能性があるとしている)
  • 項目:氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額
  • 追加(第2報、対象は5名。重複あり):ポイント履歴 5名/寄附履歴 2名/クレジットカード情報(下4桁、名義、有効期限)2名/生年月日 2名/送付先 1名/住所の一部削除(県名)1名
  • カード情報は同社システムに保存しておらず、2名についてはマイページのカード情報表示ページへの第三者のアクセスが確認された。この情報だけでは決済できないとしている
  • シミュレーションで入力した年収や家族構成などの流出は確認されていない(FAQ)
  • 提携先サイト内で申込から決済まで完結する寄附については、流出は確認されていない

原因と企業の対応

発生原因

第三者による不正アクセス。第1報で「今回の不正アクセスによって検知した脆弱性」への対応を進めるとしているが、脆弱性の内容など詳しい原因は公表されていない。

企業の対応

  • 10/19 15時50分:「ふるさとチョイス」関連サービスを停止
  • 10/20:第1報を公表。個人情報保護委員会へ報告
  • 10/21:所轄警察署へ被害届の相談。会員へ、流出の有無と流出した項目を知らせるメールを順次送付
  • 10/23:第2報(5名の追加項目)。対象の5名には個別に連絡
  • 10/26:自治体・事業者向けの寄附管理システムを順次再開(第3報)
  • 10/28:提携先サイトとの連携システムを再開(第4報)
  • 11/6 12時00分:「ふるさとチョイス」Web版で寄附の受付を再開(第5報)。全会員のパスワードを無効化
  • 11/9 15時00分:アプリ版を再開(第6報)。チョイスPay は今後再開予定

経過

  1. 不正アクセスが発生 出典(新しいタブで開きます)

  2. 通常と異なるアクセス傾向を把握。15時50分に関連サービスを停止 出典(新しいタブで開きます)

  3. 第1報を公表(4,454,097件)。個人情報保護委員会へ報告 出典(新しいタブで開きます)

  4. 会員への個別メールの送付を開始。警察署へ被害届の相談 出典(新しいタブで開きます)

  5. 第2報。5名について追加の情報項目の流出を公表 出典(新しいタブで開きます)

  6. 第3報。自治体・事業者向けの寄附管理システムを順次再開 出典(新しいタブで開きます)

  7. 第4報。提携先サイトとの連携システムを再開 出典(新しいタブで開きます)

  8. 第5報。Web版を 11/6 12時から再開すると発表。全会員のパスワードを無効化 出典(新しいタブで開きます)

  9. 第6報。アプリ版を15時に再開。チョイスPay は今後再開予定 出典(新しいタブで開きます)

規模の比較

当サイトに掲載している事件を、各社が公表した件数の大きい順に並べています。件数の数え方(件・人・アカウント)は事件ごとに異なります。

  1. 1ソースネクスト株式会社 ロゴ
    ソースネクスト会員情報 不正アクセス事件2,252万(公表値:22,519,960件)
  2. 2株式会社アドベンチャー ロゴ
    skyticket 不正アクセス事件1,464万(公表値:約1,464万件)
  3. 4株式会社第一興商 ロゴ
    第一興商 委託先マルウェア感染事件872万(公表値:約8,724,000件)
  4. 5タイムズモビリティ株式会社 ロゴ
    タイムズカー情報漏えい事件663万(公表値:6,628,007件)
  5. 6ブックオフグループホールディングス株式会社 ロゴ
    ブックオフ会員情報 不正アクセス事件643万(公表値:6,427,735件)
  6. 8株式会社トラストバンク ロゴ
    ふるさとチョイス 不正アクセス事件445万(公表値:4,454,097件)
  7. 9株式会社リクルート ロゴ
    カーセンサーnet 不正アクセス事件371万(公表値:最大3,709,551件)
  8. 10株式会社ローソン ロゴ
    ローソンID 不正アクセス事件216万(公表値:2,155,345件)
  9. 11エイチ・ツー・オー リテイリング株式会社 ロゴ

集団訴訟

参加登録をしない場合について(一般的な説明)

集団訴訟では、一般的に、参加登録をした人だけが後日の補償・賠償の対象になるケースが多いとされています。登録をしなかった場合、後から同じ条件で参加できるとは限りません。正式な参加条件は、必ず各窓口でご確認ください。

現時点で確認できる集団訴訟の情報はありません。

参加の判断はご自身でお願いします。補償の有無・内容は情報未確認

補償情報

補償に関する情報は確認できていません

出典・更新履歴

よくある質問

本ページは一般的な情報の提供を目的としたもので、法律相談ではありません。参加を推奨するものでもありません。