「ふるさとチョイスの会員情報が流出したらしいけれど、自分も対象？」「パスワードは変えたほうがいい？」「ふるさとチョイスを名乗るメールは本物？」と気になっている方に向けて、公式発表に書かれていることだけを整理しました。内容は、株式会社トラストバンクが2026年10月20日に公表した「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」と、親会社の株式会社チェンジホールディングスが同日に出した適時開示の原文を、2026年10月21日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】トラストバンクは2026年10月20日、ふるさと納税サイト「ふるさとチョイス」の会員情報に第三者による不正アクセスがあり、4,454,097件の寄附者の個人情報が外部に流出したことが判明したと公表しました。
- 流出が確認された項目は、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額。件数と内容は「今後の調査により変動する可能性があります」
- 公式のお願いは、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている場合、そのサービスのパスワードを変更すること
- ふるさとチョイスの関連サービスは10月19日15時50分から停止中で、再開時期は未定。問い合わせはメール toiawase@trustbank.co.jp
📋 2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）
公式発表のあった事案を261件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。
直近の公表:
自分は対象？公式発表でわかること早見表
公式発表の対象は「「ふるさとチョイス」の会員情報」です。会員登録をして寄附をしていた人の情報が対象で、件数は4,454,097件と書かれています。
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| 対象 | 「「ふるさとチョイス」の会員情報」。「会員登録いただいている寄附者様の個人情報が外部に流出したことが判明いたしました」 |
| 件数 | 4,454,097件（「現時点で確認できている、外部に流出した個人情報の件数」。今後の調査により変動する可能性あり） |
| 流出の状況 | 「現時点で流出が確認されている個人情報」として公表。可能性ではなく、流出を確認したという書き方 |
| 対象者への知らせ方 | トラストバンクの発表に記載なし。チェンジホールディングスの適時開示に「個人情報の保護に関する法律に基づく本人への通知」を進めるとあるが、方法（メール・郵送など）と時期は書かれていない |
| 会員登録をせずに寄附した人 | 公式発表に記載なし（対象は「会員情報」とだけ書かれている） |
| 退会済みの人 | 公式発表に記載なし |
| 自分が対象かを調べるページ | 公式発表に記載なし（照会ページの案内はない） |
| 問い合わせ先 | 株式会社トラストバンク E-mail：toiawase@trustbank.co.jp（電話窓口の記載はなし） |
お知らせは、トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」として公式サイトのニュースルームに掲載されています。親会社のチェンジホールディングス（東証プライム・コード3962）も、同じ日に「当社連結子会社における不正アクセスによる個人情報の外部流出に関するお知らせ」（適時開示・PDF）を出しています。件数と項目は両方とも同じです。
ふるさとチョイスのサイトは今どうなっている？
2026年10月21日に確認した時点で、ふるさとチョイスのサイト（https://www.furusato-tax.jp/）は通常のページではなく、【重要なお知らせ】だけが表示される状態です。そこには、会員情報に第三者による不正アクセスが行われ「会員登録いただいている寄附者様の個人情報が外部に流出したことが判明いたしました」とあり、問い合わせ窓口として同じメールアドレス（toiawase@trustbank.co.jp）が書かれています。
公式発表は、サービスの再開時期について「現時点では未定であり、安全性の確認状況を踏まえ、決定次第お知らせいたします」としています。サイトが使えない間は、ログインしてパスワードを変えたり、登録情報を確かめたりすることはできません。
問い合わせはメール窓口へ
公式発表の「本件に関するお問い合わせ窓口（寄附者様）」は、株式会社トラストバンク E-mail：toiawase@trustbank.co.jpです。電話番号や受付時間は書かれていません。チェンジホールディングスの適時開示でも、寄附者向けの問い合わせ先は同じメールアドレスで、IRに関する問い合わせ先とは分けられています。
問い合わせ先は、メールやSMSに書かれたものではなく、公式サイトのお知らせに書かれたものを使ってください。
何が漏れた？公表された項目と件数
公式発表の見出しは「現時点で流出が確認されている個人情報」で、流出を確認したと書かれています。そのうえで「上記は、現時点で確認できている、外部に流出した個人情報の件数及び内容であり、今後の調査により変動する可能性があります」と添えられています。
| 項目 | 公式発表の内容 |
|---|---|
| 対象サービス | 「ふるさとチョイス」の会員情報 |
| 件数 | 4,454,097件 |
| 情報項目 | 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額 |
| 今後の見込み | 今後の調査により変動する可能性あり。判明した事実（流出した情報の項目及び件数、再発防止策等）は「確定次第、速やかにお知らせいたします」 |
パスワード：「ハッシュ化されたパスワード」が流出
流出した項目には「ハッシュ化されたパスワード」が含まれています。ハッシュ化は、パスワードをそのままの文字ではなく、元に戻しにくい形に変換して保存する方法です。公式発表はハッシュ化の方式や、元のパスワードが割り出されるおそれについては書いていません。そのうえで、同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている人に、そのサービスのパスワードを変更するよう求めています（次の章を参照）。
寄附控除試算額とは
公式発表は「寄附控除試算額」という項目名を挙げているだけで、その中身（どの画面で入力・計算した金額か、どの範囲の会員の情報か）の説明はありません。2026年10月21日時点ではふるさとチョイスのサイトが停止中のため、サイト上の説明も確認できませんでした。続報で説明が出た場合は、そちらを確認してください。
クレジットカード情報や寄附の履歴は？
2026年10月20日の公式発表で挙げられている情報項目に、クレジットカード情報、寄附先の自治体、お礼の品、寄附の履歴は含まれていません。ただし、公式発表は件数と内容が「今後の調査により変動する可能性があります」としているため、「漏れていない」とまでは書かれていません。続報を確認してください。
10月5日公表の「Amazon Pay」の件とは別の事案
トラストバンクは2026年10月5日にも「「ふるさとチョイス」における個人情報の漏えいに関するお詫びとお知らせ」を出しています。こちらは、Amazon Payを使った寄付手続きでシステムの不具合により、ほかの利用者の申込データが別の利用者の画面に表示される可能性があったもので、件数は254件です。原因は申込情報を復元する処理の不具合とされ、不正アクセスではありません。今回の4,454,097件とは別の事案です。
漏れた項目ごとに気をつけたい連絡
公式発表は「当社や関係先を装った不審なメール、SMS、電話、郵便物にご注意ください」と案内しています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。
| 項目 | 考えられる連絡 | 注意すること |
|---|---|---|
| メールアドレス | トラストバンクや関係先を装った不審なメール（公式） | 身に覚えのないメールに書かれたURLや添付ファイルは開かない（公式） |
| 電話番号 | 不審なSMS・電話（公式） | SMSのURLは開かない（公式）。心当たりのない番号には出ない・折り返さない |
| 住所・氏名 | 不審な郵便物（公式） | 名前や住所が合っていても、本物とは限らないと考える |
| ハッシュ化されたパスワード | 同じメールアドレスとパスワードを使うほかのサービスへの不正ログイン | ほかのサービスのパスワードを変更する（公式のお願い） |
| 寄附控除試算額 | ふるさと納税や税金の手続きを話題にした連絡 | 不審なWebサイトに個人情報やパスワード等を入力しない（公式） |
メール・SMS：URLや添付ファイルは開かない
公式発表は「身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないようお願いいたします」としています。トラストバンクの発表には、案内メールを送るかどうかや送信元のアドレスは書かれていません。メールの送信元の表示は偽装されることもあるため、ふるさとチョイスを名乗るメールが届いても、本文のリンクからログインや情報入力をしないのが安全です。
警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。
電話・郵便物：心当たりがなければ応じない
公式発表は、メールとSMSに加えて「電話、郵便物」にも注意するよう案内しています。電話番号と住所は、流出が確認された項目に含まれています。見慣れない番号からの着信やSMSの見分け方は8180・8190・8170の電話やSMSは何？、番号の桁数から国内・海外を見分ける方法は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。うっかり出てしまった・折り返してしまった場合の対処は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。
今やること（公式の案内と一般的な対策）
公式が案内していること（順番に）
公式発表の「寄附者の皆様へのお願い」と問い合わせ窓口から、利用者がすることを順に並べると次のとおりです。
- 同じ組み合わせを使っているほかのサービスのパスワードを変える：「「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせを他のサービスでもご利用の場合は、不正ログインを防ぐため、他のサービスのパスワードを変更していただきますようお願いいたします」
- 不審なメール・SMS・電話・郵便物に注意する：「当社や関係先を装った不審なメール、SMS、電話、郵便物にご注意ください」
- URL・添付ファイルを開かず、入力もしない：「身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないようお願いいたします」
- わからないことはメール窓口へ：株式会社トラストバンク E-mail：toiawase@trustbank.co.jp
公式発表がパスワードの変更を求めているのは「他のサービス」です。ふるさとチョイス自体のパスワード変更については、サービスが停止中のこともあり、2026年10月21日に確認した時点では案内がありません。再開時に手続きの案内が出るかどうかは、公式のお知らせを確認してください。
一般的な対策（公式の案内ではないもの）
以下は公式発表の案内ではなく、メールアドレスや電話番号、パスワード（ハッシュ化されたもの）が流出した場合に一般的に取られる対策です。
- 使い回し先を洗い出す：ふるさとチョイスに登録したメールアドレスで、ほかにどのサービスに登録しているかを思い出し、同じパスワードのものから順に、そのサービスの公式サイトやアプリで変更する（考え方はパスワード流出の真相と安全対策）
- ログインの通知や2段階認証を使う：メールや銀行、通販など大事なサービスで、新しい端末からのログイン通知や2段階認証が使えるなら設定しておく
- カードの利用明細を見ておく：今回の公表項目にカード情報はありませんが、使い回し先のサービスでカードを登録している場合は、カード会社の公式アプリや会員サイトで利用明細を確認し、身に覚えのない請求があればカードの裏面に書かれた番号でカード会社に連絡する
- 「補償」「返金」「確認」を名乗る連絡に応じない：公式発表には補償の案内はありません（次の章を参照）
アカウントの乗っ取りを防ぐ考え方は、楽天証券の乗っ取り事件から学ぶセキュリティ対策でも解説しています。
補償・お詫びはある？
公式発表には「寄附者様ならびに関係者の皆様に多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます」というお詫びの文言があります。一方で、補償・お詫びのポイントや金券などの記載はありません（2026年10月21日確認時点）。
公式発表は「身に覚えのないメールやSMSに記載されたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないよう」呼びかけています。補償をうたう連絡が届いても、本文のリンクから情報を入力しないでください。今後、補償などの発表があれば、トラストバンクの公式サイトのニュースルームで確かめるのが安全です。
個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。
経緯・原因と公表の履歴
公式発表によると、2026年10月19日（月）に「通常と異なるアクセス傾向を把握したため確認を行ったところ」、10月17日（土）に不正アクセスがあったことを確認し、会員の個人情報が外部に流出したことが判明しました。原因については「今回の不正アクセスによって検知した脆弱性の対応について外部の専門家の協力のもと、詳細調査を進める」としていて、具体的な手口は書かれていません。判明後の対応として挙げられているのは次のとおりです。
- 10月19日15時50分、被害拡大の防止と安全確保のため「ふるさとチョイス」関連サービスを停止
- 外部の専門家の協力のもと、事実関係と影響範囲を確認
- セキュリティ対策、監視体制、情報管理体制の強化
- 10月20日に個人情報保護委員会への報告を完了。10月21日（水）に所轄警察署へ被害申告を行う予定
チェンジホールディングスの適時開示は、これに加えて「個人情報の保護に関する法律に基づく本人への通知及び個人情報保護委員会への確報など、必要な対応を適切に進めてまいります」とし、2027年3月期の連結業績への影響は「現在精査中」としています。
| 日付 | 公表・出来事 |
|---|---|
| 2026年10月5日（月） | （別事案）Amazon Payを使った寄付手続きの不具合で、申込データ254件が別の利用者のブラウザ上で閲覧可能な状態になったと公表 |
| 2026年10月17日（土） | 不正アクセスが発生（10月19日の確認で判明） |
| 2026年10月19日（月） | 通常と異なるアクセス傾向を把握して確認し、不正アクセスと会員の個人情報の外部流出が判明。15時50分に「ふるさとチョイス」関連サービスを停止。トラストバンクが「不正アクセスの疑いに伴うサービス一時停止のお知らせ」を公表 |
| 2026年10月20日（火） | 個人情報保護委員会への報告を完了。トラストバンクが「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」を公表（チェンジホールディングスの適時開示では同日18時）。チェンジホールディングスも適時開示 |
| 2026年10月21日（水） | 所轄警察署へ被害申告を行う予定（公式発表時点の予定） |
10月19日のお知らせは、トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」です。この時点では「不正アクセスの疑いがある事象を検知した」という書き方で、流出の件数や項目は書かれていませんでした。2026年10月21日に確認した時点で、トラストバンクのニュースルームとチェンジホールディングスのIRニュースには、10月20日の発表のあとの続報（第2報）は掲載されていません。
ほかの事案（同じ時期に公表された情報漏えい）
同じ時期に公表された事案として、阪急阪神百貨店（H2O ID）の情報漏えいやニフティの情報漏えいの可能性、会員IDが対象になったローソンIDの不正アクセス（漏れた項目と今やること）も、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。
よくある質問
ふるさとチョイスの情報漏えいで、自分が対象かどうか確認する方法はありますか？
A. 自分が対象かを調べる照会ページの案内はありません。公式発表の対象は「「ふるさとチョイス」の会員情報」（4,454,097件）で、会員登録をせずに寄附した人や退会済みの人の扱いは書かれていません。対象者への通知の方法と時期も記載がありません。確認したい場合は、トラストバンクのメール窓口（toiawase@trustbank.co.jp）に問い合わせてください。
ふるさとチョイスのパスワードも漏れたのですか？
A. 流出が確認された項目に「ハッシュ化されたパスワード」が含まれています。公式発表は、ふるさとチョイスと同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている場合、不正ログインを防ぐため、ほかのサービスのパスワードを変更するよう求めています。ふるさとチョイスはサービス停止中で、2026年10月21日時点では、ふるさとチョイス自体のパスワード変更の案内はありません。
クレジットカード情報は漏れましたか？
A. 2026年10月20日の公式発表で流出が確認された項目は、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額で、クレジットカード情報は挙げられていません。ただし、件数と内容は今後の調査により変動する可能性があるとされているため、続報を確認してください。
ふるさとチョイスを名乗るメールやSMSが届きました。開いても大丈夫？
A. 公式発表は、トラストバンクや関係先を装った不審なメール・SMS・電話・郵便物に注意するよう呼びかけ、身に覚えのないメールやSMSに書かれたURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワード等を入力しないよう案内しています。案内メールの送信元アドレスは公式発表に書かれていません。わからない場合はメール窓口（toiawase@trustbank.co.jp）で確かめてください。
ふるさとチョイスはいつから使えますか？
A. ふるさとチョイスの関連サービスは2026年10月19日15時50分から停止しています。公式発表は、再開時期は「現時点では未定」で、安全性の確認状況を踏まえて決定次第知らせるとしています。2026年10月21日の確認時点で、再開のお知らせは出ていません。
あわせて読みたい：同じ10月20日に公表されたフジテレビ番組宣伝システムの不正アクセス（最大730件）
まとめ
- トラストバンクは2026年10月20日、「ふるさとチョイス」の会員情報への第三者による不正アクセスで、4,454,097件の寄附者の個人情報が外部に流出したことが判明したと公表した（件数・内容は今後の調査で変動する可能性あり）
- 流出が確認された項目は、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額
- 同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている人は、そのサービスのパスワードを変更するよう公式が求めている
- 不審なメール・SMS・電話・郵便物に注意し、URLや添付ファイルは開かない。問い合わせはメール toiawase@trustbank.co.jp
- 関連サービスは10月19日15時50分から停止中で再開時期は未定。補償の記載はなし。10月5日公表のAmazon Payの不具合（254件）は別の事案
この記事は、2026年10月20日の公式発表までの情報（2026年10月21日確認）で書いています。続報で内容が変わる可能性があるため、続報が出た場合はトラストバンクやチェンジホールディングスの公式のお知らせを優先してください。
📋 2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）
公式発表のあった事案を261件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。
直近の公表:
出典
- 株式会社トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日・2026年10月21日確認）
- 株式会社チェンジホールディングス「当社連結子会社における不正アクセスによる個人情報の外部流出に関するお知らせ」（2026年10月20日・適時開示・PDF）
- 株式会社トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」（2026年10月19日）
- 株式会社トラストバンク「「ふるさとチョイス」における個人情報の漏えいに関するお詫びとお知らせ」（2026年10月5日・別事案）
- 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」
コメント