トラストバンク「ふるさとチョイス」不正アクセス

要点

• 侵入口どこから入られたかは公表されていない。
• 決定的な失敗公表されていない
• 被害「ふるさとチョイス」の会員情報4,454,097件（氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額）が外部に流出した。
• 公表まで発見の当日に公表

この事例への問い

出典で答えられた問いは 6 つのうち 4 つです。答えは出典の原文のままで、原文が出典の頁にあることを機械で照合しています。

原因や侵入口は？

「今回の不正アクセスによって検知した脆弱性の対応について」

当サイトの注記 どの脆弱性かは公表されていない

株式会社トラストバンク（2026年10月20日）・2026年10月26日に照合

被害の規模は？

「件数：4,454,097件」

株式会社トラストバンク（2026年10月20日）・2026年10月26日に照合

何が漏れたのか？

「情報項目：氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額」

株式会社トラストバンク（2026年10月20日）・2026年10月26日に照合

業務はいつ戻ったのか？

「本日より、その運用を再開いたしました」

当サイトの注記 再開したのは寄附管理システムだけで、寄附はまだ再開していない

株式会社チェンジホールディングス（2026年10月26日）・2026年10月26日に照合

同じ被害を防ぐには？

侵入口が公表されていないため、事例から言える手立ては無い。トラストバンクは、「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている人に、ほかのサービスのパスワードを変えるよう呼びかけている。トラストバンクや関係先を装った不審なメール、SMS、電話、郵便物にも注意するよう求めている

当サイトのまとめ（出典の引用ではありません）

収録した出典では確かめられていない問い身代金の要求や支払いはあったのか？誰の仕業か？

攻撃の道筋

入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。

被害

「ふるさとチョイス」の会員情報4,454,097件（氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額）が外部に流出した。うち5名は、ポイント履歴など追加の項目も流出した。2名は、保存済みカード情報（下4桁、名義、有効期限）を表示するマイページに第三者がアクセスした。カード情報はトラストバンクのシステムには保存されておらず、この情報だけでは決済できないとしている。1名は登録住所の一部（県名）を削除された。トラストバンクは「ふるさとチョイス」の関連サービスを10月19日に停止した。10月26日に寄附管理システムの運用を再開したが、寄附の受け付けは再開していない

決定的な失敗

1. 公表されていない。

経過

2026年10月17日から9日間の記録。軸は日数の平方根で縮めています。

1. 2026.10.170日目

   発生「ふるさとチョイス」が管理する会員情報に第三者が不正にアクセスした（10月19日の確認で判明）

2. 2026.10.192日目

   発見・公表通常と異なるアクセス傾向に気づき、確認で10月17日の不正アクセスと会員の個人情報の流出が分かった。15時50分に「ふるさとチョイス」関連サービスを停止し、不正アクセスの疑いによるサービスの一時停止を公表

3. 2026.10.203日目

   漏えい会員情報4,454,097件の外部流出を公表。親会社のチェンジホールディングスも適時開示した。同日、個人情報保護委員会への報告を完了

4. 2026.10.214日目

   会員に、流出の有無と流出した項目を知らせるメールを順次送り始めた

5. 2026.10.236日目

   第2報。5名でポイント履歴や寄附履歴なども流出し、1名は登録住所の一部（県名）が削除されていたと説明

6. 2026.10.269日目

   一部再開第3報。自治体と事業者が使う寄附管理システムの運用を再開。寄附の再開ではなく、ほかのサービスは停止が続く

日数の比較

収録したほかの事例と同じ目盛りに並べています。全事例の図と表

防げた手立て

番号は攻撃の道筋の図と対応します。

• 侵入口が公表されていないため、事例から言える手立ては無い。トラストバンクは、「ふるさとチョイス」と同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている人に、ほかのサービスのパスワードを変えるよう呼びかけている。トラストバンクや関係先を装った不審なメール、SMS、電話、郵便物にも注意するよう求めている

  全体