ふるさとチョイスへの不正アクセスによる会員の個人情報の流出（4,454,097件、調査中）

事案の概要と確認状況

• 10月19日に通常と異なるアクセスの傾向を把握して確認したところ、10月17日に会員情報への第三者による不正アクセスがあったことを確認した
• ふるさとチョイスに会員登録している寄附者の個人情報が外部に流出したことが判明した。現時点で4,454,097件の流出を確認。10月23日の第2報で、流出が確認された会員のうち5人について、追加の項目の流出も判明したと公表
• 秩父別町が、利用する外部サービスとしてふるさとチョイスを挙げ、寄附者の氏名・住所・電話番号・メールアドレスとお礼の品の配送先情報（氏名・住所・電話番号など）が漏えいした可能性があると公表
• 件数と内容は現時点で確認できている範囲で、今後の調査で変わる可能性がある。外部の専門家の協力のもと、原因と影響範囲を調べている

発覚から公表までの経緯

発生時期

2026年10月17日 〜 2026年10月17日／2026年10月17日（土）に不正アクセスがあったことを確認。開始・終了の時刻は書かれていない

発覚・検知

2026年10月19日 〜 2026年10月19日／2026年10月19日（月）に通常と異なるアクセス傾向を把握して確認した

1. 2026.10.28

   第4報。提携先サイト内で寄附の申込から決済まで完結する連携システムを、10月28日に再開したと公表。これらのサイトを利用した寄附に関する個人情報の流出は確認されていないとした。提携先ごとの寄附受付は順次再開予定で、寄附者向けサイトを含むそのほかのサービスは引き続き一時停止

   この公表資料を見る（新しいタブで開く）
2. 2026.10.26

   第3報。自治体やお礼の品の事業者が使う寄附の管理システムの運用を、10月26日から順次再開すると公表。新たな寄附の受付を始めるものではないとし、寄附者向けのサイトは安全対策の検証を続け、再開時期は未定とした

   この公表資料を見る（新しいタブで開く）
3. 2026.10.26

   寄附者向けのよくあるご質問を公表。会員の現在のパスワードを無効化しており、再開後に新しいパスワードを設定するよう案内。クレジットカード情報の流出は2名。提携先サイトで完結する寄附の流出は確認されていないとした。10月20日に個人情報保護委員会へ報告し、10月21日に所轄の警察署へ被害届の相談をしたと説明

   この公表資料を見る（新しいタブで開く）
4. 2026.10.23

   第2報で、10月20日に公表した会員のうち5人について、ポイント履歴（5人）・寄附履歴（2人）・クレジットカード情報の下4桁・名義・有効期限（2人）・生年月日（2人）・送付先（1人）・「住所の一部削除(県名)」（1人）の項目も外部に流出していたことがわかったと公表（項目ごとの対象者は重複しており、合わせて5人）。カード情報は同社のシステムには保存されておらず、マイページの保存済みカード情報の表示ページに第三者がアクセスしたもので、この情報だけではカード決済はできないと説明。5人には個別に連絡した。会員には10月21日から順次、流出の有無と流出した項目を個別にメールで知らせている

   この公表資料を見る（新しいタブで開く）
5. 2026.10.20

   トラストバンクが、10月17日の不正アクセスで会員登録している寄附者の個人情報が外部に流出したと公表。現時点で確認できている件数は4,454,097件で、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額が含まれる。10月19日15時50分から関連サービスを停止し、再開時期は未定。10月20日に個人情報保護委員会へ報告し、10月21日に警察へ被害を申告する予定

   この公表資料を見る（新しいタブで開く）
6. 2026.10.20

   利用自治体の秩父別町が、町が利用する外部サービスの一覧にふるさとチョイスを追加し、寄附者の氏名・住所・電話番号・メールアドレスとお礼の品の配送先情報が漏えいした可能性があると公表

   この公表資料を見る（新しいタブで開く）
7. 2026.10.19

   トラストバンクが、ふるさとチョイスで不正アクセスの疑いがある事象を検知し、関連サービスを一時停止して調査していると公表

   この公表資料を見る（新しいタブで開く）

規模と対象範囲

情報の種類と対象外の範囲

公表された情報の種類

• 氏名
• メールアドレス
• 住所
• 電話番号
• ハッシュ化されたパスワード（10月20日の公表）
• 寄附控除試算額（10月20日の公表。シミュレーションで入力した年収・家族構成は流出は確認されていないと説明）
• ポイント履歴（10月23日の第2報。5名）
• 寄附履歴（10月23日の第2報。2名）
• クレジットカード情報の下4桁・名義・有効期限（10月23日の第2報。2名）
• 生年月日（10月23日の第2報。2名）
• 送付先（10月23日の第2報。1名）
• 住所の一部（県名の削除。10月23日の第2報。1名）

対象外・未確認と公表された範囲

• 寄附の申込から決済まで提携先サイト内で完結するサイトを利用した寄附に関する個人情報の流出は確認されていないと説明（2026年10月26日のよくあるご質問、10月28日の第4報）
• クレジットカード情報の流出は2名の寄附者に限ると説明（10月23日の第2報、10月26日のよくあるご質問。ほかの方の流出は確認されていないとする）