ふるさとチョイス 第2報、会員情報445万件の外部流出を確認

事案の概要データ

図解：この事故の構造

何が起きたのか

トラストバンクは2026年10月19日、ふるさと納税ポータルサイト「ふるさとチョイス」で不正アクセスの疑いがある事象を検知したと公表しました。その翌20日、第2報で会員情報4,454,097件の外部流出が確認されたことを発表しています。

不正アクセスが行われたのは10月17日です。10月19日15時50分に関連サービスを停止し、再開時期は未定とされています。

個人情報保護委員会への報告は完了しており、10月21日に警察へ被害申告を行う予定とされています。侵入口は未公表で、今後の調査で件数が変動する可能性も示されています。

「疑い」から「445万件確定」まで1日

10月19日の初報では、漏えいの有無も件数も公表されていませんでした。それが翌20日には445万件の外部流出確認へと進んでいます。

疑いの段階で公表し、判明次第すぐに続報を出す。この姿勢は、2026年10月のNTTソルマーレ（10月15日に停止判断→16日に流出確認）と同じです。

一方で、利用者から見れば「昨日は疑いだったのに、今日は445万件」という急展開です。初報を見て安心していた人が、翌日に対象者だと知ることになります。

だからこそ、初報の段階でも「調査中であり、件数が増える可能性がある」ことを伝えておくことが重要になります。

ふるさと納税サイトが持つ情報の重さ

ふるさと納税のポータルサイトには、寄付者の氏名・住所・連絡先に加えて、寄付の金額と寄付先の自治体が記録されます。

寄付額の上限は年収によって決まるため、寄付履歴からはおおよその年収が推測できます。住所・氏名・連絡先に加えて年収帯まで分かるデータは、詐欺のターゲティングに極めて有効です。

445万件という規模は、2026年10月の事案のなかでも上位に入ります。ソースネクスト（約2,251万件）、スカイチケット（約1,464万件）、焼肉きんぐ（約1,078万件）、ユミルリンク（延べ約900万件）に続く規模です。

対象となった方は、ふるさと納税や自治体を装った連絡に警戒してください。また、ふるさとチョイスのパスワードを変更し、同じパスワードを他サービスで使っていればそちらも変更することをおすすめします。

警察への被害申告まで進んだ

この事案では、個人情報保護委員会への報告に加えて、警察への被害申告が予定されていることが明示されています。

情報漏えいは、被害を受けた企業にとっては犯罪被害です。不正アクセス禁止法違反などにあたる可能性があり、捜査機関への申告は正当な対応です。

中小企業でも、不正アクセスを受けた場合は警察へ相談できます。各都道府県警にサイバー犯罪相談窓口があり、被害の申告だけでなく、対応についての助言も受けられます。「どうせ捕まらない」と諦めず、まず相談することに意味があります。

時系列で見る経過

• 2026年10月17日不正アクセスが行われる
• 2026年10月19日不正アクセスの疑いがある事象を検知し、初報を公表
• 2026年10月19日 15時50分関連サービスを停止（再開時期は未定）
• 2026年10月20日第2報。会員情報4,454,097件の外部流出を確認したと公表
• 2026年10月20日個人情報保護委員会への報告を完了
• 2026年10月21日警察へ被害申告を行う予定

中小企業が学ぶべきポイント

1. 初報の段階で「件数が増える可能性がある」ことを明示する。急展開は不信を招く。
2. 疑いの段階でも公表し、判明次第すぐに続報を出す。利用者が自衛を始められる。
3. 寄付履歴からは年収帯が推測できる。住所・氏名と合わせて詐欺の精度が上がる。
4. 不正アクセスは犯罪被害。各都道府県警のサイバー犯罪相談窓口へ申告・相談できる。
5. 個人情報保護委員会への報告（速報は概ね3〜5日以内）を初動手順に組み込む。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope