ふるさとチョイスの情報漏洩、自分は対象？アプリ版再開とパスワード再設定【第6報】

2026年10月21日2026年11月10日

「ふるさとチョイスの会員情報が流出したらしいけれど、自分も対象？」「パスワードは変えたほうがいい？」「ふるさとチョイスを名乗るメールは本物？」「サイトはいつ再開する？」と気になっている方に向けて、ふるさとチョイスの情報漏洩（情報流出）について、公式発表に書かれていることだけを整理しました。11月9日の第6報（アプリ版の再開）、11月5日の第5報、ふるさとチョイスの公式サイトに11月6日に掲載された【重要】のお知らせ2件、11月9日に更新されたよくあるご質問は、2026年11月10日に確認しています。内容は、株式会社トラストバンクが2026年10月20日に公表した「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」、10月23日の同（第2報）、10月26日の同（第3報）と同日の「不正アクセスによる個人情報流出に関するよくあるご質問（寄附者様向け）」、10月28日の同（第4報）、親会社の株式会社チェンジホールディングスが10月20日・23日・26日・28日に出した適時開示の原文を、2026年11月4日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

【結論】トラストバンクは2026年10月20日、ふるさと納税サイト「ふるさとチョイス」の会員情報に第三者による不正アクセスがあり、4,454,097件の寄附者の個人情報が外部に流出したことが判明したと公表しました。10月23日の第2報では、このうち5名について、ポイント履歴・寄附履歴・クレジットカード情報（下4桁、名義、有効期限）などの追加の情報項目も外部流出していたことが判明したとしています。

10月20日に流出が確認された項目は、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額。件数と内容は「今後の調査により変動する可能性があります」
追加流出の5名のうち2名はクレジットカード情報（下4桁、名義、有効期限）。カード情報はトラストバンクのシステムには保存されておらず、「当該情報のみでクレジットカード決済を行うことはできません」としています。5名には個別に連絡済み
会員には、流出の有無と流出が確認された情報項目について2026年10月21日より順次、個別にメールが送られています（第2報）
公式のお願いは、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている場合、そのサービスのパスワードを変更すること
10月26日のよくあるご質問によると、全会員の現在のパスワードは無効化されていて、サービス再開後に新しいパスワードを設定する
10月26日の第3報で、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を順次再開。新たな寄附の受付を始めるものではなく、寄附者向けサイトは停止したままで再開時期は未定。件数や項目の変更はなし
10月28日の第4報で、提携先サイト内で寄附の申し込みから決済までが完結するサービスに係る連携システムの運用を再開。各提携先サイトでの寄附受付は「順次再開される予定」で、「すべての提携先サイトにおいて寄附受付が再開されるものではございません」。寄附者向けサイトを含むその他のサービスは引き続き一時停止。寄附者の問い合わせはメール toiawase@trustbank.co.jp
11月5日の第5報で、「ふるさとチョイス」Web版の寄附の受付を11月6日12時00分より順次再開すると公表。アプリ版とチョイスPayは「今後、再開を予定しているサービス」。全会員の現在のパスワードは無効化されており、ログインには新しいパスワードの設定が必要。件数や項目の変更は第5報に記載なし
11月9日の第6報で、「ふるさとチョイス」アプリ版を11月9日15時00分より再開すると公表。チョイスPayは「今後、再開を予定しているサービス」のまま。件数や項目の変更は第6報に記載なし

📋 2026年国内の情報漏えい・サイバー攻撃一覧（毎日更新）

公式発表のあった事案を523件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。

直近の公表:

漏えいした企業・サービスを全件チェックする →

ふるさとチョイスの公式サイトと再開状況（11月9日確認）

ふるさとチョイスの公式サイトはふるさとチョイス（https://www.furusato-tax.jp/）、運営会社トラストバンクの公式発表はトラストバンクのニュースルームに掲載されています。メールやSMSのリンクからではなく、ブックマークや公式アプリなど自分で開いた経路から確認してください。

サービス	状況（公式発表・お知らせの記載）
「ふるさとチョイス」Web版	2026年11月6日12時00分より順次、寄附の受付を再開（11月5日の第5報）。公式サイトのお知らせ「【重要】サービス再開のお知らせと安全対策の強化について」（11月6日）も「11月6日12時より再開したサービス」として「「ふるさとチョイス」Web版」を挙げている
「ふるさとチョイス」アプリ版	2026年11月9日15時00分より再開（11月9日の第6報）。第6報は「必要な安全対策とその検証を実施し、運用再開に向けた安全性を確認できた」としている
チョイスPay	「今後、再開を予定しているサービス」（第6報でも同じ）。再開日は公式発表に記載なし（2026年11月10日確認）
ログイン	「全会員様の現在のパスワードを無効化しております」「ログインにあたり、新しいパスワードを設定いただきますようお願いいたします」（第5報）。他サービスのID（dアカウント、Amazon、Yahoo!、Google、Apple ID、LINE等）のみでログインしている人は「今回のパスワード再設定は不要」（11月6日のお知らせ）

パスワードの再設定について、公式サイトのお知らせ「【重要】パスワード再設定のお願い」（11月6日）は、ログイン画面で登録メールアドレスを入力して「メール送信」を選び、件名「【ふるさとチョイス】ログインIDの通知とパスワードの再設定のお知らせ」のメールに書かれた認証コードを「パスワードの再設定」画面に入力する手順を案内しています。「※メールは会員情報に登録されているメールアドレスにのみ送信されます」とあり、同じメールアドレスで複数のログインIDを登録している場合は、ログインIDごとに再設定が必要です。公式の手順では、このメールはログイン画面で自分が「メール送信」を選んだあとに届く流れになっています。操作をしていないのに再設定をうながすメールやSMSが届いた場合は、リンクを開かずに公式サイトを自分で開いて確認してください。

自分は対象？公式発表でわかること早見表

公式発表の対象は「「ふるさとチョイス」の会員情報」です。会員登録をして寄附をしていた人の情報が対象で、件数は4,454,097件と書かれています。10月23日の第2報では、このうち5名について追加の情報項目の流出が判明しました。

知りたいこと	公式発表に書かれていること
対象	「「ふるさとチョイス」の会員情報」。「会員登録いただいている寄附者様の個人情報が外部に流出したことが判明いたしました」
件数	4,454,097件（「現時点で確認できている、外部に流出した個人情報の件数」。今後の調査により変動する可能性あり）。第2報も同じ件数を「参考」として再掲
流出の状況	「現時点で流出が確認されている個人情報」として公表。可能性ではなく、流出を確認したという書き方
追加で流出が判明した項目（第2報）	前回公表のうち5名について、［ポイント履歴］5名、［寄附履歴］2名、［クレジットカード情報（下４桁、名義、有効期限）］2名、［生年月日］2名、［送付先］1名、［住所の一部削除(県名)］1名（「各項目の対象者には重複があり、対象となる寄附者様は5名となります」）
対象者への知らせ方	「「ふるさとチョイス」にご登録の会員の皆様には、個人情報の流出の有無および流出が確認された情報項目について、2026年10月21日より順次、個別にメールをお送りしております」（第2報）。追加項目の5名には「個別にご連絡をしております」。10月26日のよくあるご質問では「流出が確認された方には流出した項目を、確認されていない方にはその旨をお知らせしております」「「流出あり」と「流出なし」の両方のメールが届いた場合は、同じメールアドレスで複数の会員登録がある場合になります」。送信元のアドレスは記載なし
メールが届いていない場合	「メールが届いていない、内容が分からないなどの場合は、お問い合わせ窓口にご連絡ください。確認のうえ、個別にお答えします」（10月26日のよくあるご質問）
提携先サイトで寄附を申し込んだ人	「寄附申込から決済まで提携先内で完了するサイトを利用した寄附に関する個人情報の流出は確認されておりません」（10月26日のよくあるご質問）。10月28日の第4報で提携先サイトとの連携システムの運用が再開され、各提携先サイトでの寄附受付は「順次再開される予定」（すべての提携先サイトで同時に再開されるものではない）
サービスの再開（第5報）	「2026年11月6日12時00分より、再開するサービス」は「「ふるさとチョイス」Web版」。「今後、再開を予定しているサービス」は「「ふるさとチョイス」アプリ版」「チョイスPay」。「全会員様の現在のパスワードを無効化しております」「ログインにあたり、新しいパスワードを設定いただきますようお願いいたします」
サービスの再開（第6報）	「2026年11月9日15時00分より再開するサービス」は「「ふるさとチョイス」アプリ版」。「今後、再開を予定しているサービス」は「チョイスPay」
会員登録をせずに寄附した人	公式発表に記載なし（対象は「会員情報」とだけ書かれている）
退会済みの人	公式発表に記載なし
自分が対象かを調べるページ	公式発表に記載なし（照会ページの案内はない。よくあるご質問は、個別のお知らせメールを確認するよう案内）
問い合わせ先	寄附者様：株式会社トラストバンク　E-mail：toiawase@trustbank.co.jp（電話窓口の記載はなし）。第2報で報道関係者向けの窓口（フォーム）が別に追加

お知らせは、トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（10月20日）、同（第2報）（10月23日）、同（第3報）（10月26日）、同（第4報）（10月28日）、トラストバンク「不正アクセスによる個人情報流出に関するよくあるご質問（寄附者様向け）」（10月26日）として公式サイトのニュースルームに掲載されています。親会社のチェンジホールディングス（東証プライム・コード3962）も、同じ日に「当社連結子会社における不正アクセスによる個人情報の外部流出に関するお知らせ」（適時開示・PDF）を出しています。10月20日の件数と項目は両方とも同じです。

ふるさとチョイスのサイトは今どうなっている？

2026年11月9日に確認した時点では、ふるさとチョイスのサイト（https://www.furusato-tax.jp/）は通常のページが表示され、「ふるさとチョイスからのお知らせ」の欄に11月6日付の「【重要】サービス再開のお知らせと安全対策の強化について」と「【重要】パスワード再設定のお願い」が掲載されています（詳しくは上の「ふるさとチョイスの公式サイトと再開状況」）。以下は、Web版の再開までの経緯です。2026年11月4日に確認した時点では、サイトは通常のページではなく、【重要なお知らせ】だけが表示される状態でした。そこには、会員情報に第三者による不正アクセスが行われ「会員登録いただいている寄附者様の個人情報が外部に流出したことが判明いたしました」とあり、問い合わせ窓口として同じメールアドレス（toiawase@trustbank.co.jp）が書かれています。

10月20日の公式発表は、サービスの再開時期について「現時点では未定であり、安全性の確認状況を踏まえ、決定次第お知らせいたします」としていました。10月26日の第3報は、自治体やお礼の品の取扱事業者が使う寄附管理システムについて「本日（10月26日）より順次運用を再開することといたしました」としています（同日のよくあるご質問は、この管理システムについて「2026年10月25日より」「順次再開することとしております」と書いています）。そのうえで「今回の再開は、自治体様やお礼の品取扱事業者様が利用する寄附管理システムを対象とするものであり、新たな寄附の受付を開始するものではございません」「現在、寄附者様向けサイトについても、外部の専門家・専門機関の協力のもと、必要な安全対策とその検証を進めております。再開時期が決まり次第、改めてお知らせいたします」としています。10月28日の第4報は、提携先サイト内で寄附のお申し込みから決済までが完結するサービスに係る連携システムについて「10月28日より運用を再開することといたしました」とし、「なお、これらのサイトを利用した寄附に関する個人情報の流出は確認されておりません」としています。各提携先サイトでの寄附受付は「各提携先における動作確認やデータ連携の確認等の準備状況を踏まえ、順次再開される予定です」とされ、寄附者様向けサイトを含むその他のサービスは「引き続き一時停止しております」とされていました。そのうえで11月5日の第5報が、「ふるさとチョイス」Web版の寄附の受付を11月6日12時00分より順次再開すると公表しています。11月9日の第6報は、「ふるさとチョイス」アプリ版を11月9日15時00分より再開するとしています。

すでに申し込んだ寄附について、第3報は「運用再開に伴い、寄附受付の確認やお礼の品の発送手配が順次進められますが、自治体様やお礼の品によっては発送手続きにお時間を要し、お届けに遅れが生じる可能性がございます」としています。ワンストップ特例申請・確定申告については、よくあるご質問で「寄附者の皆様の税控除・申告手続きに支障が生じないよう、サービスの復旧及び再開に向け取り組んでおります。詳細な再開目処や手続きにつきましては、決まり次第速やかにお知らせいたします」としています。

問い合わせはメール窓口へ

公式発表の「本件に関するお問い合わせ窓口（寄附者様）」は、株式会社トラストバンク E-mail：toiawase@trustbank.co.jpです。電話番号や受付時間は書かれていません。10月23日の第2報では、寄附者向けとは別に、報道関係者向けの窓口（フォーム）が追加されています。チェンジホールディングスの適時開示でも、寄附者向けの問い合わせ先は同じメールアドレスで、IRに関する問い合わせ先とは分けられています。

問い合わせ先は、メールやSMSに書かれたものではなく、公式サイトのお知らせに書かれたものを使ってください。

何が漏れた？公表された項目と件数

10月20日の公式発表の見出しは「現時点で流出が確認されている個人情報」で、流出を確認したと書かれています。そのうえで「上記は、現時点で確認できている、外部に流出した個人情報の件数及び内容であり、今後の調査により変動する可能性があります」と添えられています。10月23日の第2報では、「前回公表のうち5名の寄附者様について、以下の通り追加の情報項目が外部流出していたことが判明いたしました」としています。10月26日の第3報とチェンジホールディングスの同日の適時開示（第3報）でも、件数（4,454,097件）と項目は第2報までと同じです。

項目	公式発表の内容
対象サービス	「ふるさとチョイス」の会員情報
件数	4,454,097件
情報項目	氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額
追加の情報項目（第2報・5名）	［ポイント履歴］5名、［寄附履歴］2名、［クレジットカード情報（下４桁、名義、有効期限）］2名、［生年月日］2名、［送付先］1名、［住所の一部削除(県名)］1名
今後の見込み	今後の調査により変動する可能性あり。判明した事実（流出した情報の項目及び件数、再発防止策等）は「確定次第、速やかにお知らせいたします」（10月20日）

パスワード：「ハッシュ化されたパスワード」が流出

流出した項目には「ハッシュ化されたパスワード」が含まれています。ハッシュ化は、パスワードをそのままの文字ではなく、元に戻しにくい形に変換して保存する方法です。公式発表はハッシュ化の方式や、元のパスワードが割り出されるおそれについては書いていません。そのうえで、同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている人に、そのサービスのパスワードを変更するよう求めています（次の章を参照）。ふるさとチョイス自体のパスワードについて、10月26日のよくあるご質問は「今回の不正アクセスを受け、安全を期すため、全会員様の現在のパスワードを無効化しております。大変お手数をおかけしますが、サービス再開後に、新しいパスワードを設定いただくようお願い致します」とし、「弊社においても寄附者様が設定されていたパスワードを確認することができないため、ご教示することができません」としています。

寄附控除試算額とは

10月20日の公式発表と第2報は「寄附控除試算額」という項目名を挙げているだけでした。10月26日のよくあるご質問は「今回流出が確認されたのは、ふるさとチョイスのシミュレーションで算出された「控除上限試算額」のみです。シミュレーションの際にご入力いただいた年収や家族構成などの情報は、流出は確認されておりません」と説明しています。どの範囲の会員の情報かは書かれていません。

クレジットカード情報や寄附の履歴は？

2026年10月20日の公式発表で挙げられた情報項目には、クレジットカード情報や寄附の履歴は含まれていませんでした。10月23日の第2報では、前回公表のうち5名について追加の情報項目が外部流出していたことが判明したとし、［寄附履歴］2名、［クレジットカード情報（下４桁、名義、有効期限）］2名などを挙げています。［ポイント履歴］［寄附履歴］［送付先］が具体的にどの情報を指すかの説明はありません。

クレジットカード情報について、第2報は「マイページ上の保存済みカード情報表示ページへのアクセス時に、その都度、決済代行会社から取得し、表示する仕組みとなっており、当社のシステムには保存されておりません」とし、上記2名について「当該カード情報表示ページへの第三者によるアクセスが確認されました」としています。また「当該情報のみでクレジットカード決済を行うことはできません」とし、5名には「個別にご連絡をしております」としています。10月26日のよくあるご質問は「上記の2名の寄附者様以外の方についての流出は確認されておりません」としています。

10月5日公表の「Amazon Pay」の件とは別の事案

トラストバンクは2026年10月5日にも「「ふるさとチョイス」における個人情報の漏えいに関するお詫びとお知らせ」を出しています。こちらは、Amazon Payを使った寄付手続きでシステムの不具合により、ほかの利用者の申込データが別の利用者の画面に表示される可能性があったもので、件数は254件です。原因は申込情報を復元する処理の不具合とされ、不正アクセスではありません。今回の4,454,097件とは別の事案です。

漏れた項目ごとに気をつけたい連絡

公式発表は「当社や関係先を装った不審なメール、SMS、電話、郵便物にご注意ください」と案内しています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。

項目	考えられる連絡	注意すること
メールアドレス	トラストバンクや関係先を装った不審なメール（公式）	身に覚えのないメールに書かれたURLや添付ファイルは開かない（公式）
電話番号	不審なSMS・電話（公式）	SMSのURLは開かない（公式）。心当たりのない番号には出ない・折り返さない
住所・氏名	不審な郵便物（公式）	名前や住所が合っていても、本物とは限らないと考える
ハッシュ化されたパスワード	同じメールアドレスとパスワードを使うほかのサービスへの不正ログイン	ほかのサービスのパスワードを変更する（公式のお願い）
寄附控除試算額	ふるさと納税や税金の手続きを話題にした連絡	不審なWebサイトに個人情報やパスワード等を入力しない（公式）
クレジットカード情報（下4桁・名義・有効期限）※第2報の5名のうち2名	下4桁や名義を示してカード会社などを名乗る連絡	情報が合っていても本物とは限らないと考える。公式は「当該情報のみでクレジットカード決済を行うことはできません」としている

メール・SMS：URLや添付ファイルは開かない

公式発表は「身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないようお願いいたします」としています。第2報によると、会員には2026年10月21日より順次、流出の有無と流出が確認された情報項目を知らせる個別のメールが送られています。送信元のアドレスやメールの文面は書かれていません。メールの送信元の表示は偽装されることもあるため、ふるさとチョイスを名乗るメールが届いた場合は、本文のリンクからログインや情報入力をせず、内容がわからなければメール窓口で確かめる方法があります。

警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。

電話・郵便物：心当たりがなければ応じない

公式発表は、メールとSMSに加えて「電話、郵便物」にも注意するよう案内しています。電話番号と住所は、流出が確認された項目に含まれています。見慣れない番号からの着信やSMSの見分け方は8180・8190・8170の電話やSMSは何？、番号の桁数から国内・海外を見分ける方法は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。うっかり出てしまった・折り返してしまった場合の対処は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。

今やること（公式の案内と一般的な対策）

公式が案内していること（順番に）

公式発表の「寄附者の皆様へのお願い」と問い合わせ窓口から、利用者がすることを順に並べると次のとおりです。

同じ組み合わせを使っているほかのサービスのパスワードを変える：「「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせを他のサービスでもご利用の場合は、不正ログインを防ぐため、他のサービスのパスワードを変更していただきますようお願いいたします」
不審なメール・SMS・電話・郵便物に注意する：「当社や関係先を装った不審なメール、SMS、電話、郵便物にご注意ください」
URL・添付ファイルを開かず、入力もしない：「身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないようお願いいたします」
わからないことはメール窓口へ：株式会社トラストバンク E-mail：toiawase@trustbank.co.jp

公式発表がパスワードの変更を求めているのは「他のサービス」です。ふるさとチョイス自体のパスワードは、10月26日のよくあるご質問によると「全会員様の現在のパスワードを無効化」していて、「サービス再開後に、新しいパスワードを設定いただくようお願い致します」としています（2026年11月4日確認）。11月5日に更新されたよくあるご質問は「ログインIDとパスワードでご利用の方は、お手数ですが、11月6日12時00分以降、以下の手順に沿って新しいパスワードを設定いただきますようお願いいたします」としています（2026年11月9日確認）。Web版は11月6日12時00分から再開しているため、ログインするときは、ふるさとチョイスの公式サイトを自分で開き、ログイン画面から新しいパスワードを設定してください（手順は上の「ふるさとチョイスの公式サイトと再開状況」）。

一般的な対策（公式の案内ではないもの）

以下は公式発表の案内ではなく、メールアドレスや電話番号、パスワード（ハッシュ化されたもの）が流出した場合に一般的に取られる対策です。

使い回し先を洗い出す：ふるさとチョイスに登録したメールアドレスで、ほかにどのサービスに登録しているかを思い出し、同じパスワードのものから順に、そのサービスの公式サイトやアプリで変更する（考え方はパスワード流出の真相と安全対策）
ログインの通知や2段階認証を使う：メールや銀行、通販など大事なサービスで、新しい端末からのログイン通知や2段階認証が使えるなら設定しておく
カードの利用明細を見ておく：第2報では5名のうち2名でカード情報（下4桁、名義、有効期限）の流出が判明しています（公式は「当該情報のみでクレジットカード決済を行うことはできません」としています）。ふるさとチョイスや使い回し先のサービスでカードを登録している場合は、カード会社の公式アプリや会員サイトで利用明細を確認し、身に覚えのない請求があればカードの裏面に書かれた番号でカード会社に連絡する
「補償」「返金」「確認」を名乗る連絡に応じない：第6報までの公式発表には補償の案内はありません（次の章を参照）

アカウントの乗っ取りを防ぐ考え方は、楽天証券の乗っ取り事件から学ぶセキュリティ対策でも解説しています。

補償・お詫びはある？

公式発表には「寄附者様ならびに関係者の皆様に多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます」（10月20日）、「寄附者様ならびに関係者の皆様には、多大なるご心配とご迷惑をおかけしておりますことを、改めて深くお詫び申し上げます」（第2報）というお詫びの文言があります。一方で、補償・お詫びのポイントや金券などの記載はありません（第6報、11月9日更新のよくあるご質問、11月6日の公式サイトのお知らせまで。2026年11月10日確認時点）。

公式発表は「身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないよう」呼びかけています。補償をうたう連絡が届いても、本文のリンクから情報を入力しないでください。今後、補償などの発表があれば、トラストバンクの公式サイトのニュースルームで確かめられます。

個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。

経緯・原因と公表の履歴

公式発表によると、2026年10月19日（月）に「通常と異なるアクセス傾向を把握したため確認を行ったところ」、10月17日（土）に不正アクセスがあったことを確認し、会員の個人情報が外部に流出したことが判明しました。原因については「今回の不正アクセスによって検知した脆弱性の対応について外部の専門家の協力のもと、詳細調査を進める」としていて、具体的な手口は書かれていません。判明後の対応として挙げられているのは次のとおりです。

10月19日15時50分、被害拡大の防止と安全確保のため「ふるさとチョイス」関連サービスを停止
外部の専門家の協力のもと、事実関係と影響範囲を確認
セキュリティ対策、監視体制、情報管理体制の強化
10月20日に個人情報保護委員会への報告を完了。10月21日（水）に所轄警察署へ被害申告を行う予定としていた（10月20日時点）。10月26日のよくあるご質問は「10月20日に個人情報保護委員会へ報告し、10月21日に所轄の警察署へ被害届の相談をいたしました」としている
10月26日、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を順次再開（第3報。新たな寄附の受付ではなく、寄附者向けサイトは安全対策と検証を進めている段階）
10月28日、提携先サイト内で寄附の申し込みから決済までが完結するサービスに係る連携システムの運用を再開（第4報。各提携先サイトでの寄附受付は順次再開の予定。寄附者向けサイトを含むその他のサービスは引き続き一時停止）
11月6日12時00分より、「ふるさとチョイス」Web版の寄附の受付を順次再開（第5報。アプリ版・チョイスPayは今後再開予定）
11月9日15時00分より、「ふるさとチョイス」アプリ版を再開（第6報。チョイスPayは今後再開予定）

チェンジホールディングスの適時開示は、これに加えて「個人情報の保護に関する法律に基づく本人への通知及び個人情報保護委員会への確報など、必要な対応を適切に進めてまいります」とし、2027年3月期の連結業績への影響は「現在精査中」としています。チェンジホールディングスは10月23日に同（第2報）、10月26日に同（第3報）、10月28日に同（第4報）も適時開示しています（いずれもPDF）。第3報では寄附管理システムについて「本運用は、サービスの完全な再開に向けた第一歩であり、寄附の再開を可能にするものではございません」とし、「なお、他のサービスにつきましては、引き続き一時停止しております」としています。業績への影響は第4報でも「現在精査中」です。

日付	公表・出来事
2026年10月5日（月）	（別事案）Amazon Payを使った寄付手続きの不具合で、申込データ254件が別の利用者のブラウザ上で閲覧可能な状態になったと公表
2026年10月17日（土）	不正アクセスが発生（10月19日の確認で判明）
2026年10月19日（月）	通常と異なるアクセス傾向を把握して確認し、不正アクセスと会員の個人情報の外部流出が判明。15時50分に「ふるさとチョイス」関連サービスを停止。トラストバンクが「不正アクセスの疑いに伴うサービス一時停止のお知らせ」を公表
2026年10月20日（火）	個人情報保護委員会への報告を完了。トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」を公表（チェンジホールディングスの適時開示では同日18時）。チェンジホールディングスも適時開示
2026年10月21日（水）	所轄の警察署へ被害届の相談（10月26日のよくあるご質問で公表。10月20日の発表では被害申告を行う予定としていた）。会員への個別のメールを順次送付（第2報で公表）
2026年10月23日（金）	トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第2報）」を公表（前回公表のうち5名に追加の流出項目・うち2名はクレジットカード情報（下4桁、名義、有効期限）・報道関係者向けの窓口を追加）。チェンジホールディングスも適時開示（第2報）
2026年10月26日（月）	トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第3報）」を公表（自治体・事業者向けの寄附管理システムを順次運用再開・新たな寄附の受付ではない・寄附者向けサイトの再開時期は未定）。同日「不正アクセスによる個人情報流出に関するよくあるご質問（寄附者様向け）」を掲載（全会員のパスワードを無効化など）。チェンジホールディングスも適時開示（第3報）
2026年10月28日（水）	トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第4報）提携先サイトとの連携システムの再開について」を公表（提携先サイトとの連携システムの運用を再開・各提携先サイトでの寄附受付は順次再開の予定・寄附者向けサイトを含むその他のサービスは引き続き一時停止）。チェンジホールディングスも適時開示（第4報）
2026年11月5日（木）	トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第5報）」を公表（「ふるさとチョイス」Web版を11月6日12時00分より順次再開・アプリ版とチョイスPayは今後再開予定・全会員のパスワードは無効化済みで新しいパスワードの設定を依頼）。同日、よくあるご質問を更新（最終更新 13時00分・パスワードの再設定方法）
2026年11月6日（金）	12時00分より「ふるさとチョイス」Web版の寄附の受付を順次再開（第5報）。ふるさとチョイスの公式サイトに「【重要】サービス再開のお知らせと安全対策の強化について」「【重要】パスワード再設定のお願い」を掲載
2026年11月9日（月）	トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（第6報）」を公表（「ふるさとチョイス」アプリ版を15時00分より再開・チョイスPayは今後再開予定）。同日、よくあるご質問を更新（最終更新 15時00分・アプリ版の再開を追記）

10月19日のお知らせは、トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」です。この時点では「不正アクセスの疑いがある事象を検知した」という書き方で、流出の件数や項目は書かれていませんでした。2026年11月4日に確認した時点で、トラストバンクのニュースルームの最新は10月28日の第4報で、よくあるご質問は「最終更新：2026年10月26日 16時30分」のままでした。2026年11月9日に確認した時点では、本件の最新は11月5日の第5報で、よくあるご質問は「最終更新：2026年11月5日 13時00分」で、Q2にパスワードの再設定方法が書かれています。2026年11月10日に確認した時点では、本件の最新は11月9日の第6報（アプリ版の再開）で、よくあるご質問は「最終更新：2026年11月9日 15時00分」になっています。件数や項目を変える続報は掲載されていません。チェンジホールディングスの適時開示は、10月20日・23日・26日・28日の4件です。

ほかの事案（同じ時期に公表された情報漏えい）

同じ時期に公表された事案として、阪急阪神百貨店（H2O ID）の情報漏えいやニフティの情報漏えいの可能性、会員IDが対象になったローソンIDの不正アクセス（漏れた項目と今やること）も、公式発表をもとに整理しています。そのほかの事案は2026年国内の情報漏えい・サイバー攻撃一覧で確認できます。

よくある質問

ふるさとチョイスの情報漏えいで、自分が対象かどうか確認する方法はありますか？

A. 自分が対象かを調べる照会ページの案内はありません。トラストバンクは10月23日の第2報で、「ふるさとチョイス」に登録している会員に、個人情報の流出の有無と流出が確認された情報項目について、2026年10月21日より順次、個別にメールを送っているとしています。10月26日のよくあるご質問によると、流出が確認された人には流出した項目を、確認されていない人にはその旨を知らせていて、メールが届いていない・内容が分からない場合は問い合わせ窓口に連絡すれば個別に答えるとしています。会員登録をせずに寄附した人や退会済みの人の扱いは書かれていません。確認したい場合は、トラストバンクのメール窓口（toiawase@trustbank.co.jp）に問い合わせてください。

ふるさとチョイスのパスワードも漏れたのですか？

A. 流出が確認された項目に「ハッシュ化されたパスワード」が含まれています。公式発表は、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている場合、不正ログインを防ぐため、ほかのサービスのパスワードを変更するよう求めています。ふるさとチョイス自体のパスワードは、10月26日のよくあるご質問によると全会員の現在のパスワードが無効化されていて、サービス再開後に新しいパスワードを設定するよう案内されています。

クレジットカード情報は漏れましたか？

A. 2026年10月23日の第2報で、前回公表のうち5名の寄附者について追加の情報項目の外部流出が判明し、そのうち2名でクレジットカード情報（下4桁、名義、有効期限）が含まれていたとしています。カード情報はトラストバンクのシステムには保存されておらず、2名についてカード情報表示ページへの第三者によるアクセスが確認されたとのことです。第2報は、この情報のみでクレジットカード決済を行うことはできないとし、5名には個別に連絡しているとしています。10月20日に公表された項目（4,454,097件）に、クレジットカード情報は挙げられていません。10月26日のよくあるご質問は、この2名以外の人についての流出は確認されていないとしています。

ふるさとチョイスを名乗るメールやSMSが届きました。開いても大丈夫？

A. 公式発表は、トラストバンクや関係先を装った不審なメール・SMS・電話・郵便物に注意するよう呼びかけ、身に覚えのないメールやSMSに書かれたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないよう案内しています。第2報は、会員に2026年10月21日より順次、個別にメールを送っているとしていますが、送信元アドレスは書かれていません。11月6日のお知らせ「【重要】パスワード再設定のお願い」によると、パスワード再設定の手続きでは、ログイン画面で自分が「メール送信」を選んだあとに、件名「【ふるさとチョイス】ログインIDの通知とパスワードの再設定のお知らせ」のメールが届きます。わからない場合はメール窓口（toiawase@trustbank.co.jp）で確かめてください。

ふるさとチョイスの再開予定は？いつから使えますか？

A. ふるさとチョイスの関連サービスは2026年10月19日15時50分から停止しています。10月26日の第3報で、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用が順次再開されましたが、新たな寄附の受付を始めるものではないとしています。10月28日の第4報では、提携先サイト内で寄附の申し込みから決済までが完結するサービスに係る連携システムの運用を再開し、各提携先サイトでの寄附受付は「順次再開される予定」としています（すべての提携先サイトで同時に再開されるものではない）。11月5日の第5報で、「ふるさとチョイス」Web版の寄附の受付を11月6日12時00分より順次再開するとしています。この時点では、アプリ版とチョイスPayは今後再開を予定しているサービスとされていました。全会員の現在のパスワードは無効化されているため、ログインには新しいパスワードの設定が必要です（2026年11月6日確認）。11月9日の第6報で、「ふるさとチョイス」アプリ版を11月9日15時00分より再開するとしています。チョイスPayは今後再開を予定しているサービスのままで、再開日は第6報に書かれていません（2026年11月10日確認）。

あわせて読みたい：フジッコの情報漏えいの可能性、自分は対象？

あわせて読みたい：ハッシュ化パスワードも対象になったリンツの情報漏えい

まとめ

トラストバンクは2026年10月20日、「ふるさとチョイス」の会員情報への第三者による不正アクセスで、4,454,097件の寄附者の個人情報が外部に流出したことが判明したと公表した（件数・内容は今後の調査で変動する可能性あり）
10月20日に流出が確認された項目は、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額
10月23日の第2報で、前回公表のうち5名に追加の流出項目（ポイント履歴・寄附履歴・クレジットカード情報（下4桁、名義、有効期限）・生年月日・送付先など）が判明。カード情報は2名で、この情報のみでは決済できないとされている。5名には個別に連絡
会員には10月21日から順次、流出の有無と流出が確認された情報項目を知らせる個別のメールが送られている（送信元のアドレスは記載なし）
同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている人は、そのサービスのパスワードを変更するよう公式が求めている
不審なメール・SMS・電話・郵便物に注意し、URLや添付ファイルは開かない。問い合わせはメール toiawase@trustbank.co.jp
10月26日のよくあるご質問によると、全会員の現在のパスワードは無効化されていて、サービス再開後に新しいパスワードを設定する。寄附控除試算額はシミュレーションで算出された「控除上限試算額」のみで、入力した年収や家族構成などの流出は確認されていない
関連サービスは10月19日15時50分から停止。10月26日の第3報で自治体・事業者向けの寄附管理システム、10月28日の第4報で提携先サイトとの連携システムの運用を再開（提携先サイトでの寄附受付は順次再開の予定）。11月5日の第5報で「ふるさとチョイス」Web版を11月6日12時00分より順次再開（ログインには新しいパスワードの設定が必要）。11月9日の第6報でアプリ版を11月9日15時00分より再開（チョイスPayは今後再開予定）。補償の記載はなし。10月5日公表のAmazon Payの不具合（254件）は別の事案

この記事は、2026年11月9日の第6報と、11月6日にふるさとチョイスの公式サイトに掲載されたお知らせまでの情報（2026年11月10日確認）で書いています。続報で内容が変わる可能性があるため、続報が出た場合はトラストバンクやチェンジホールディングスの公式のお知らせを優先してください。