ふるさとチョイス445万件の情報漏えい、漏れた氏名・住所・電話番号・寄附控除試算額で何をされるのかまとめました

ふるさと納税サイト「ふるさとチョイス」を運営する株式会社トラストバンクは、2026年10月20日に、10月17日の不正アクセスで会員の個人情報4,454,097件が外部に流出したことが判明したと公表しました［1］。流出したとされるのは、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額です［1］。

公表文には、クレジットカードなど決済の情報についての記載はありません［1］。パスワードもハッシュ化されたものとされています。ただ、それで安心とは言い切れません。この記事では、「自分は何をされるのか」と「会社としてどこから手を打つか」の2つにお答えします。

要点は3つです。

• 利用者への注意：「ふるさとチョイス」「自治体」「返礼品」を名乗るメール・SMS・電話・郵便物は、住所や名前が合っていても本物とは限りません。
• 利用者がやるとよいこと：同じメールアドレスとパスワードを他のサービスで使っているなら、そちらのパスワードを変えることです。
• 会社がまず見直す所：ログインの確認を、利用者が選ぶ「任意」のままにしていないかどうかです。

何が起きたか

同社は、流出した項目や件数、再発防止策などは確定し次第公表するとしています［1］。サービスの再開時期も未定です［1］。続報で内容が変わる可能性があります。

なお同社は、2026年4月にも「ふるさとチョイス」での不正ログインを公表しています［3］。第三者が何らかの経路で手に入れたとみられるIDとパスワードを使ったログインの試み（リスト型攻撃）の可能性が高いとされ、不正アクセスが確認されたアカウントは2,688件でした［3］。今回とは別の事故ですが、ログインの入口はすでに狙われていました。

漏れた情報で何ができてしまうか

いずれも一般論で、今の時点で確認された被害ではありません。

ハッシュ化とは、パスワードをそのまま保存せず、元に戻しにくい形に変えて保存する方法です。ただ、短いパスワードやよく使われる言葉のパスワードは、推測で元の文字列を割り出されることがあると一般的に言われています。同じパスワードを他のサービスでも使っていれば、そちらにもログインを試みられるおそれがあります。同社も、同じ組み合わせを他のサービスで使っている場合はパスワードを変えるよう求めています［1］。

気をつけたいのは、「ふるさと納税の利用者」という属性そのものが知られたことです。返礼品の発送、寄附の受領証明書、確定申告やワンストップ特例の手続きなど、本物の連絡が届く理由がたくさんあります。偽の連絡も、それに合わせて作られると見分けにくくなります。

また、SMSは送り主の名前を偽装でき、本物と同じスレッドに並ぶことがあると、通信会社も注意を呼びかけています［5］。同社も今回、当社や関係先を装った不審なメール・SMS・電話・郵便物に注意するよう呼びかけています［1］。

このサービスで認証が使われる場所

4月の公表文で、同社はマイページが閲覧された可能性のある利用者にパスワードの変更や認証コードの設定を案内し、利用者全体にもログイン認証コードの設定（未設定の場合）を勧めていました［3］。つまり、認証コードは今も利用者が選ぶ形のままです［4］。

会社がまず見直すとよい所

1. ログインの確認を「任意」から外せないか。4月の不正ログインはリスト型攻撃とみられ［3］、今回はメールアドレスとハッシュ化されたパスワードが流出しています［1］。設定していない利用者のアカウントは、次の入口になりえます。今回の公表文の再発防止策は「セキュリティ対策、監視体制、及び情報管理体制の強化」で、認証の強化についての記載はありません［1］。
2. 確認コードの届け先を見直す。今のコードは登録メールに届く方式です［4］。メールアドレスが流出した今、そのメールのアカウントを守れているかは利用者まかせです。別の経路で本人を確かめる手段も検討するとよいでしょう。
3. 窓口と会員情報の変更手続きを見直す。氏名・住所・電話番号・メールアドレスがそろって流出したため、これらを答えられることを本人確認の根拠にしている所は、そのままでは通ってしまうおそれがあります。

認証の観点から

米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています［6］。

メールのコードもSMSのコードも、届いた数字を入力する方式です。偽サイトに誘導されて入力すれば、相手に使われるおそれがあります。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今回流出したのは、氏名・住所・電話番号・メールアドレスといった、本人確認の手がかりにされやすい情報です。だからこそ、知っていることではなく、本人だけが持っている回線で確かめる仕組みが要ります。

年末に向けて寄附が増える時期の前に、入口の見直しを進めておくとよいでしょう。

お問い合わせはこちら