ふるさとチョイス ― 不正アクセスの疑いでサービス停止

要点

発表された事実

株式会社トラストバンクは2026年10月19日、ふるさと納税サイト「ふるさとチョイス」で不正アクセスの疑いがある事象を検知したため、被害拡大の防止と安全確保を優先して関連サービスを一時停止し、調査していると公表した（トラストバンク）。
TBSによると、同日午前にサーバーを点検していたところ不正アクセスの疑いを確認し、午後3時50分ごろからサービスを止めた。個人情報が流出したかどうかは調査中（TBS NEWS DIG）。
千葉県習志野市は、14時54分に運営事業者から報告を受け、15時50分にポータルサイトの閉鎖を確認したと公表した。市が使うサービスとして、ふるさとチョイスサイト、GCF（ガバメントクラウドファンディング）サイト、災害支援サイト、企業版サイト、アプリ、チョイスPayアプリ、ふるさとチョイスCMS、CMS API、チョイスPayCMS、パートナーサイトを挙げている（習志野市）。
東京都西東京市は、ふるさとチョイスの連携パートナーサイト（auPAYふるさと納税、セゾンのふるさと納税、JRE MALLふるさと納税、ニフティふるさと納税など）も停止の対象に挙げた（西東京市）。JRE MALLふるさと納税は、ふるさとチョイスとデータ連携している自治体の返礼品に寄付できない状態で、自社が不正アクセスを受けたものではないと説明した（JRE MALLふるさと納税）。
【2026-10-20追記】産経ニュース（10月20日10時8分）によると、10月20日午前9時半の時点でも、ふるさとチョイスはサービスを利用できない状態だった。トラストバンクのお知らせは10月19日の掲載から更新されておらず、今後の対応は調査結果を踏まえて知らせるとしたまま（産経ニュース、トラストバンク）。
【2026-10-20追記】トラストバンクは10月20日、「不正アクセスによる寄付者様情報の外部流出に関するお詫びとお知らせ」を公表した。10月19日（月）に通常と異なるアクセス傾向を把握して確認したところ、10月17日（土）に不正アクセスがあったことを確認し、会員の個人情報が外部に流出したことが判明した。このため10月19日15時50分に「ふるさとチョイス」関連サービスを停止したとしている（不正アクセスによる寄付者様情報の外部流出に関するお詫びとお知らせ）。
【2026-10-20追記】流出が確認された個人情報は「ふるさとチョイス」の会員情報4,454,097件で、項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。いずれも現時点で確認できた件数・内容で、今後の調査で変わる可能性があるとしている（同）。
【2026-10-20追記】10月20日に個人情報保護委員会への報告を完了し、10月21日（水）に所轄警察署へ被害申告を行う予定。今回の不正アクセスで検知した脆弱性への対応について、外部の専門家の協力のもと詳細調査を進めるとしている。サービスの再開時期は未定（同）。

わかったこと

【2026-10-20追記】侵入の有無と時期：10月17日（土）に会員情報への不正アクセスがあり、会員の個人情報が外部に流出した。19日に通常と異なるアクセス傾向を把握して判明した（トラストバンク、10月20日）。
【2026-10-20追記】寄付者の個人情報への影響：ふるさとチョイスの会員情報4,454,097件が流出。項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額（同。件数・内容は今後の調査で変わる可能性あり）。
【2026-10-25追記】トラストバンクは10月23日の第2報で、10月20日に公表した会員のうち5名について、追加の情報流出が判明したと発表した。内訳はポイント履歴5名、寄附履歴2名、クレジットカード番号の下4桁・名義・有効期限2名、生年月日2名、送付先1名、住所の一部（削除した県名）1名。カード情報は決済代行会社から都度取得して表示しており同社では保存していないが、カード情報を表示するページへの第三者のアクセスが確認されたとしている。5名には個別に連絡済み（トラストバンク第2報）。
【2026-10-27追記】トラストバンクは10月26日、第3報「自治体・事業者向け管理システムの運用再開について」を公表した。自治体やお礼の品の取扱事業者が使う寄附管理システムについて、外部の専門家・専門機関の協力で安全対策とその検証を行い、安全性を確認できたとして、同日から順次運用を再開する。寄附受付の確認やお礼の品の発送手配が順次進むが、自治体やお礼の品によっては届くのが遅れる可能性がある。新たな寄附の受付を始めるものではなく、寄附者向けサイトは安全対策と検証を続けており、再開時期が決まり次第知らせるとしている（トラストバンク第3報）。
【2026-10-27追記】同日（最終更新16時30分）には寄附者向けのよくある質問も公開した。全会員の現在のパスワードを無効化しており、サービス再開後に新しいパスワードの設定が必要。流出の有無と項目は10月21日から個別に送っているメールで知らせており、「流出あり」「流出なし」の両方が届いた場合は同じメールアドレスで複数の会員登録がある。クレジットカード情報（下4桁・名義・有効期限）の流出は2名で、ほかの寄附者の流出は確認されていない。流出した「控除上限試算額」について、シミュレーションで入力した年収や家族構成などの流出は確認されていない。提携先サイト内で申込から決済まで完了する寄附の情報流出も確認されていない。ワンストップ特例申請・確定申告の手続きは、再開の目処が決まり次第知らせるとしている。10月21日には所轄の警察署へ被害届の相談をした（トラストバンクよくあるご質問）。なお、よくある質問では管理システムを「2026年10月25日より」順次再開するとしており、第3報の「本日（10月26日）より」と日付が食い違っている。
【2026-10-29追記】トラストバンクは10月28日、第4報「提携先サイトとの連携システムの再開について」を公表した。提携先サイト内で寄附の申込から決済までが完結するサービスの連携システムについて、外部の専門家・専門機関の協力で安全対策とその検証を行い、10月28日から運用を再開した。これらのサイトを使った寄附の個人情報の流出は確認されていない。提携先ごとの寄附受付は、各社の動作確認やデータ連携の確認を踏まえて順次再開され、一斉には再開しない。寄附管理システムと提携先連携システム以外の、寄附者向けサイトを含むサービスは停止が続き、再開時期は決まり次第知らせるとしている（トラストバンク第4報）。
【2026-11-09夕追記】親会社チェンジホールディングスは11月5日の第5報で、外部の専門家・専門機関と安全対策と検証を行い、「ふるさとチョイス」Web版の寄附受付を11月6日12時に再開すると公表した。アプリ版とチョイスPayは準備完了後に再開する予定とした（チェンジHD 第5報（PDF））。
【2026-11-09夕追記】11月9日の第6報で、アプリ版の寄附受付を同日15時に再開し、Web版・アプリ版のいずれも使える状態になったと公表した。チョイスPayは準備完了後に再開し、その際に不正アクセス関連の「最終報」を出す予定。流出件数（4,454,097件）と項目は第2報から変わっていない。業績への影響は精査中（チェンジHD 第6報（PDF））。利用自治体の鴻巣市によると、チョイスPayとマイページ内の配送状況確認サービスは引き続き停止している（鴻巣市）。
【2026-11-13夕追記】チェンジホールディングスは11月12日、2027年3月期の連結業績予想を下方修正した。売上収益は578億〜590億円から470億〜530億円、営業利益は115億〜125億円から0〜60億円に引き下げた。日本経済新聞によると、Web版を18日間停止した影響で、ふるさとチョイスの流通総額は従来想定を20〜60%下回ると見込んでいる。営業利益の引き下げには子会社イー・ガーディアンののれん減損（約60億円）も含まれ、不正アクセスだけの影響額は報道からは切り分けられない（日本経済新聞、MONEY BOX（適時開示の要約））。

わかっていないこと

自治体向けCMSのデータに影響があるかどうか（【2026-10-20追記】10月20日の発表は「当社が管理する会員情報」への不正アクセスとしており、CMS側のデータには触れていない）
侵入されたシステムが寄付サイト・アプリ・CMS・APIのどれか
自治体向けのCMSやAPIも止まっているのか（トラストバンクは「関連サービス」とだけ書いている）（【2026-10-27追記】第3報で、自治体・事業者向けの寄附管理システムを10月26日から順次再開するとした。CMS APIや連携パートナーサイトの扱いは書かれていない）（【2026-10-29追記】第4報で、提携先サイトとの連携システムを10月28日に再開し、提携先ごとに寄附受付を順次再開するとした。CMSの扱いは書かれていない）
侵入経路（【2026-10-20追記】時期は10月17日と判明。同社は「今回の不正アクセスによって検知した脆弱性」の詳細調査を進めるとしているが、どのような脆弱性かは公表していない）
ハッシュ化されたパスワードのハッシュ方式（ソルトの有無やアルゴリズム）
サービスの再開時期（【2026-10-20追記】10月20日午前9時半時点でも停止が続いている。同日の発表でも再開時期は「現時点では未定」。【2026-10-27追記】自治体・事業者向けの寄附管理システムは10月26日から順次再開。寄附者向けサイトと新たな寄附の受付、ワンストップ特例申請・確定申告の手続きの再開時期は未定）（【2026-10-29追記】第4報で、提携先サイト内で申込から決済まで完結するサービスの連携システムを10月28日に再開した。寄附者向けサイトの再開時期は引き続き未定）（【2026-11-09夕追記】Web版は11月6日12時、アプリ版は11月9日15時に寄附受付を再開。チョイスPayとマイページ内の配送状況確認サービスは停止が続き、再開時期は未定）

関係しそうな既知の手口

（考察）ふるさとチョイスは、寄付者向けのサイトだけでなく、自治体が使うCMSやAPI、他社のふるさと納税サイトとのデータ連携の中心にある。1社のシステムを止めると、連携サイトでの受付までまとめて止まる構造が、今回はっきり表に出た。

概要

ふるさとチョイスで不正アクセスの疑いが見つかり、10月19日午後から寄付サイトなど関連サービスが止まっている。
ふるさとチョイスとデータ連携する他社のふるさと納税サイトでも、対象自治体の返礼品に寄付できなくなった。
個人情報の流出の有無と影響の範囲は調査中で、再開時期は示されていない。
【2026-10-20追記】10月20日、同社は10月17日の不正アクセスで会員情報4,454,097件（氏名・メールアドレス・住所・電話番号・ハッシュ化パスワード・寄附控除試算額）が外部に流出したと公表した。再開時期は未定。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-17（土）	会員情報への第三者による不正アクセス（トラストバンク、10月20日）
2026-10-19（月）午前	サーバーの点検中に不正アクセスの疑いを確認（TBS NEWS DIG）。トラストバンクは10月20日の発表で、19日に通常と異なるアクセス傾向を把握して確認したと説明
2026-10-19（月）14:54	運営事業者から習志野市に、システムに不正アクセスが疑われる不審な挙動があると報告（習志野市）
2026-10-19（月）15:50頃	ふるさとチョイスなどのサービスを一時停止。習志野市職員もポータルサイトの閉鎖を確認（TBS NEWS DIG、習志野市）
2026-10-19（月）16時時点	JRE MALLふるさと納税で、ふるさとチョイスとデータ連携する自治体の返礼品が寄付できない状態（JRE MALLふるさと納税）
2026-10-19（月）	トラストバンクが「不正アクセスの疑いに伴うサービス一時停止のお知らせ」を公表。各自治体も相次いで案内
2026-10-20（火）9:30時点	ふるさとチョイスは引き続き利用できない状態（産経ニュース）
2026-10-20（火）	トラストバンクが会員の個人情報4,454,097件の外部流出を公表。個人情報保護委員会への報告を完了し、10月21日に所轄警察署へ被害申告予定。再開時期は未定（トラストバンク）
2026-10-23（金）	第2報。10月20日公表の会員のうち5名で、ポイント履歴・寄附履歴・カード番号下4桁と名義・有効期限・生年月日などの追加流出が判明し、個別に連絡（トラストバンク第2報）
2026-10-26（月）	第3報。自治体・事業者向けの寄附管理システムを同日から順次再開。お礼の品の到着が遅れる可能性あり。寄附者向けサイトは再開時期未定。寄附者向けのよくある質問も公開（16:30最終更新）（トラストバンク第3報、よくあるご質問）
2026-10-28（水）	第4報。提携先サイト内で申込から決済まで完結するサービスの連携システムを同日再開。各提携先の寄附受付は順次再開。寄附者向けサイトは停止を継続し、再開時期は未定（トラストバンク第4報）
2026-11-05（木）	チェンジHDが第5報。Web版の寄附受付を11月6日12時に再開すると公表。アプリ版・チョイスPayは準備完了後（チェンジHD 第5報（PDF））
2026-11-06（金）12:00	「ふるさとチョイス」Web版の寄附受付を再開（同上、鴻巣市）
2026-11-09（月）15:00	第6報。アプリ版の寄附受付を再開し、Web版・アプリ版とも利用可能に。チョイスPayは再開時に最終報を出す予定（チェンジHD 第6報（PDF））
2026-11-12（木）	親会社チェンジHDが業績予想を下方修正。Web版の18日間の停止などで、ふるさとチョイスの流通総額は従来想定を20〜60%下回る見込み（日本経済新聞）

発表内容の整理

事実（トラストバンクの発表）

ふるさとチョイスで不正アクセスの疑いがある事象を検知し、関連サービスを一時停止した。
専門チームで事実関係と影響範囲を確認しており、今後の対応は調査結果を踏まえて改めて知らせる。

事実（トラストバンクの10月20日の発表）【2026-10-20追記】

10月19日（月）に通常と異なるアクセス傾向を把握して確認したところ、10月17日（土）に不正アクセスがあったことを確認し、会員の個人情報が外部に流出したことが判明した。10月19日15時50分に関連サービスを停止した。
流出が確認された個人情報：「ふるさとチョイス」の会員情報、4,454,097件。氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。今後の調査で変わる可能性がある。
今回の不正アクセスで検知した脆弱性への対応について、外部の専門家の協力のもと詳細調査を進め、セキュリティ対策・監視体制・情報管理体制を強化する。再開時期は未定。
10月20日に個人情報保護委員会への報告を完了。10月21日（水）に所轄警察署へ被害申告を行う予定。流出した情報の項目・件数、再発防止策などは確定次第知らせる。
寄附者向けの問い合わせ窓口はメール（toiawase@trustbank.co.jp）（トラストバンク）。

事実（自治体・連携サイトの案内）

発表元	内容
習志野市	14時54分に事業者から報告、15時50分に閉鎖を確認。被害の有無は事業者が調査中。市が使うサイト・アプリ・CMS・CMS API・チョイスPayCMS・パートナーサイトを列挙
西東京市	ふるさとチョイスサイト、GCFサイト、連携パートナーサイト（auPAYふるさと納税、セゾンのふるさと納税、ふるラボ、JRE MALLふるさと納税、KABU&ふるさと納税、Vふるさと納税、マルイふるさと納税、まいふるby AEON CARD、ケアネットふるさと納税、HISふるさと納税、ふるさと納税デパート、ニフティふるさと納税）が停止の対象。窓口での寄付や「さとふる」「楽天市場」経由は通常どおり
檜原村	第一報（10月19日午後5時）で、同社が当該サイト等を停止し事実関係と影響範囲を確認中と案内（檜原村）
JRE MALLふるさと納税	ふるさとチョイスとデータ連携している自治体の返礼品は寄付できない。それ以外の返礼品は通常どおり。自社が不正アクセスを受けたものではない

事実（別件）

トラストバンクは10月5日、ふるさとチョイスのAmazon Payによる寄付手続きで、申込情報を復元する処理の不具合により、2025年11月13日〜2026年9月7日に254件の申込データが別の利用者の画面で閲覧可能だったと公表している。これはシステムの不具合によるもので、今回の不正アクセスの疑いとは別の事案として発表されている（トラストバンク）。

考察

公表されているのは「疑い」と「停止」までで、侵入の有無も含めて何もわかっていない段階だ。それでも、自社の寄付サイトだけでなく、他社の連携サイトでの受付まで止まったことから、ふるさとチョイスから外へ出るデータの通り道もまとめて閉じたと読める（考察。自治体向けCMSやAPIが止まっているかは、発表からは読み取れない）。どのシステムが疑われているかが示されれば、寄付者の情報と自治体側の情報のどちらに影響しうるかが見えてくる。

【2026-10-20追記】翌20日の発表で、流出は「疑い」ではなく、寄付者の会員情報約445万件の流出として確定した。19日午後に自治体へ「不審な挙動」として報告した段階から、1日で件数まで公表したことになる。一方で、侵入から把握まで2日かかっており、その間に会員情報が持ち出されていた（考察）。流出項目に寄附控除試算額が含まれるため、年収や家族構成の見当をつけられる情報と住所・電話番号が結びついた形で出たことになる（考察）。

関係しそうな既知の手口

事実（既知の知見・同種事例）

10月には、セカンドリテイリング（ゲオ・セカンドストリート）やリクルート「カーセンサー」が、不正アクセスや不審なアクセスを検知した段階でアプリやサービスを一斉に止めている（セカンドリテイリングの記事、カーセンサーの記事）。
自治体が委託した防災メール配信基盤「SpeeCAN RAIDEN」への不正アクセスでは、1つの基盤から全国の自治体に影響が広がった（SpeeCAN RAIDENの記事）。

考察

プラットフォームの停止は「連携先ごと」止まる：連携パートナーサイトは、自社が侵入されていなくても、ふるさとチョイスのデータ連携に頼る返礼品の受付ができなくなった。ふるさと納税は年末に向けて寄付が増える時期に入っており、止まっている間の影響は自治体の歳入にも及ぶ（考察）。
寄付者情報はなりすましに使いやすい：ふるさと納税の申し込みには氏名・住所・電話番号・メールアドレスに加え、寄付先と返礼品の情報が伴う。仮に漏えいがあれば、「返礼品の配送確認」「寄付金受領証明書の再発行」を装った連絡が考えられる（考察。漏えいは確認されていない）。【2026-10-20追記】10月20日の発表で、氏名・メールアドレス・住所・電話番号・寄附控除試算額の流出が確認された。寄付先や返礼品の情報は流出項目に挙げられていない。

利用者・運用者がいまできること

事実（発表に基づく）

西東京市は、不審なメールやメッセージのURL・添付ファイルを開かず、氏名・住所・パスワード・口座情報などを入力しないよう呼びかけている。窓口での寄付や、他のポータルサイト経由の寄付は通常どおり受け付けている（西東京市）。
【2026-10-27追記】ふるさとチョイスの全会員のパスワードは無効化されており、寄附者向けサイトの再開後に新しいパスワードを設定する必要がある。自分の情報が流出したかは、10月21日から届いている個別のお知らせメールで確認し、届いていない場合は問い合わせ窓口（toiawase@trustbank.co.jp）に連絡する（トラストバンクよくあるご質問）。
【2026-10-20追記】トラストバンクは、「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、他のサービスのパスワードを変更するよう求めている。同社や関係先を装った不審なメール・SMS・電話・郵便物に注意し、身に覚えのないメールやSMSのURLや添付ファイルを開かず、不審なサイトに個人情報やパスワードを入力しないよう呼びかけている（トラストバンク）。

考察（利用者向け）

ふるさとチョイスやトラストバンク、自治体を名乗る「再手続き」「本人確認」のメールやSMSが来ても、リンクは開かず公式サイトのお知らせを確かめる。
【2026-10-20追記】パスワードはハッシュ化されていたが、方式は公表されていない。ふるさとチョイスと同じパスワードを他で使っているなら、再開を待たずに他のサービス側を変えておく（考察）。

考察（運用者向け：自治体・連携事業者）

ふるさとチョイスCMSのアカウントを使っている自治体は、再開時の案内に備え、パスワードの変更や不要なアカウントの削除を準備しておく。
データ連携に頼る受付は、連携元の停止で一斉に止まる。停止時の案内文と代替の受付方法を、あらかじめ決めておくとよい。

参考リンク

原文をGitHubで読む ↗